umfrage über seite

[R4Zz0R]

@ cortex
Guten Morgen erstmal :)

OK der zusammenhang leuchtet ein.
Das browser alles fressen, kann ich bei mozilla nicht behaupten.
(ich hasse die sicherheitslücke IE)
Der macht mir ab und an schon deutlich das manche sachen nicht so funktionieren wie sie sollen oder das ich mal blödsin gebastelt hab, zb bei tabellen (und farben sind bei mir immer etwas unterschiedlich)
Aber damit kann ich noch leben.

Um dem beitrag mal eine neue richtung zu geben, mal eine etwas konkretere frage.

Welche kombination von string funktionen würdet ihr mir empfehlen um meine seite vor missbrauch durch designsprengen oder code injektions algemein zu schützen?

Für einen tipp wäre ich dankbar, und um die anderen fehler (das script ins dokument, der html start tag und andere auffälligkeiten) werde ich mich jetzt nach und nach kümmern.

MFG & Thx an alle.

R4Zz0R

[cortex]

morgen,

man hat prinzipiell 2 probleme mit user-daten:

1. beim speichern, vor allem in eine db
2. bei der ausgabe

das sicherste wäre, alle hereinkommenden daten gegen eine whitelist zu validieren. alternativ können potentiell schädliche zeichen wie single / double quote, semikolon, backslash, backtick und spitze klammern bei der eingabe nicht zugelassen werden (black list). dies ist eine robuste - da einfache - möglichkeit, eine app grundlegend abzusichern.

ansonsten wäre zu nennen:

zu 1. mysql_real_escape_string( )
zu 2. htmlentities( )

weiterführende literatur:

Serverfrieden - PHP-Anwendungen individuell absichern
Gesundes Misstrauen - Sicherheit von Webanwendungen
cms-sicherheit.de
Formulare und die Sicherheit von interaktiven Web-Anwendungen

cx

[R4Zz0R]

Also wäre eine (potentielle) lösung für mein problem ein code der jedes (vom user eingegebenene) formularfeld überprüft.

zb. einen

preg_filter

preg_filter — Perform a regular expression search and replace

oder aber, ein code der mit
str_replace
alle sonderzeichen und code tags gegen leerzeichen oder was anderes ersetzt.

@cortex

Vielen dank für die schnelle hilfe und den guten tip.

MFG
R4Zz0R

[urvater]

Zitat von R4Zz0R

Also wäre eine (potentielle) lösung für mein problem ein code der jedes (vom user eingegebenene) formularfeld überprüft.

Wieso nur von User eingegebene Formularfelder?
Ich kann doch ohne weiteres dein Formular auf meinem Rechner nachbauen. Dauert max 1 Min. und ich kann ALLE Felder ausfüllen und an deine Seite senden. Ergo müssen auch alle Felder gegen Mißbrauch geprüft werden. Aber das hat ja auch schon Cortex geschrieben.

[R4Zz0R]

Ja stimmt, sry so meinte ich das auch.

[vt1816]

Zitat von R4Zz0R

[...]
Über konstruktive kritik, gästebucheinträge und vorsläge würde ich mich freuen.

Zum Beispiel:
Line 117, Column 4: end tag for element "P" which is not open
</p>✉
The Validator found an end tag for the above element, but that element is not currently open. This is often caused by a leftover end tag from an element that was removed during editing, or by an implicitly closed element (if you have an error related to an element being used where it is not allowed, this is almost certainly the case). In the latter case this error will disappear as soon as you fix the original problem.

If this error occurred in a script section of your document, you should probably read this FAQ entry.
Line 118, Column 118: NET-enabling start-tag requires SHORTTAG YES
…webspace-01.png" alt="free webspace"/></a>✉
The sequence <FOO /> can be interpreted in at least two different ways, depending on the DOCTYPE of the document. For HTML 4.01 Strict, the '/' terminates the tag <FOO (with an implied '>'). However, since many browsers don't interpret it this way, even in the presence of an HTML 4.01 Strict DOCTYPE, it is best to avoid it completely in pure HTML documents and reserve its use solely for those written in XHTML.

Line 96, Column 124: NET-enabling start-tag requires SHORTTAG YES
…webspace-01.png" alt="free webspace"/></a>✉
The sequence <FOO /> can be interpreted in at least two different ways, depending on the DOCTYPE of the document. For HTML 4.01 Strict, the '/' terminates the tag <FOO (with an implied '>'). However, since many browsers don't interpret it this way, even in the presence of an HTML 4.01 Strict DOCTYPE, it is best to avoid it completely in pure HTML documents and reserve its use solely for those written in XHTML.


Schmücke Deine Seite nicht mit Federn die ihr nicht zustehen!

Verbesse die Grammatik und Orthographie!
Zum Beispiel: Erweiterung Des Kontaktformulars. oder Nach kleineren fehlern in der programmierung

Auch wenn Du die Gästebucheinträge jetzt erst nach Kontrolle veröffentlichst, lassen sich noch immer vollständig leere Einträge erzeugen.


Es gibt noch viel zu tun - fang schon mal an...

[R4Zz0R]

Ähhmm...

Also Gästebuch, ist schonmal richtig das ging am 15ten noch leere einträge zu machen.
Gefixt hatte ich das am 16ten...

Html hab ich validiert abgesehen von den alt tags in den smilies die hab ich (aus faulheit ) weggelassen.

If this error occurred in a script section of your document, you should probably read this FAQ entry.
Line 118, Column 118: NET-enabling start-tag requires SHORTTAG YES
…webspace-01.png" alt="free webspace"/></a>✉
The sequence <FOO /> can be interpreted in at least two different ways, depending on the DOCTYPE of the document. For HTML 4.01 Strict, the '/' terminates the tag <FOO (with an implied '>'). However, since many browsers don't interpret it this way, even in the presence of an HTML 4.01 Strict DOCTYPE, it is best to avoid it completely in pure HTML documents and reserve its use solely for those written in XHTML.

ist auch verbessert...

Grammatik und Orthographie kümmere ich mich auch noch drum.

Thx & MFG
R4Zz0R

[vt1816]

Zitat von R4Zz0R

[...]
Html hab ich validiert ...

Stimmt, dann sind die Fehler und Warnungen bestimmt bei w3:

Errors found while checking this document as HTML 4.01 Transitional!
Result: 54 Errors, 8 warning(s)

Line 196, Column 78: NET-enabling start-tag requires SHORTTAG YES
… mit 12 aus langeweile angefangen.<br />✉
The sequence <FOO /> can be interpreted in at least two different ways, depending on the DOCTYPE of the document. For HTML 4.01 Strict, the '/' terminates the tag <FOO (with an implied '>'). However, since many browsers don't interpret it this way, even in the presence of an HTML 4.01 Strict DOCTYPE, it is best to avoid it completely in pure HTML documents and reserve its use solely for those written in XHTML.

Line 197, Column 5: NET-enabling start-tag requires SHORTTAG YES
<br />✉
The sequence <FOO /> can be interpreted in at least two different ways, depending on the DOCTYPE of the document. For HTML 4.01 Strict, the '/' terminates the tag <FOO (with an implied '>'). However, since many browsers don't interpret it this way, even in the presence of an HTML 4.01 Strict DOCTYPE, it is best to avoid it completely in pure HTML documents and reserve its use solely for those written in XHTML.

Line 198, Column 55: NET-enabling start-tag requires SHORTTAG YES
Und vor ca. nem halbem Jahr brauchte ich includes.<br />✉
The sequence <FOO /> can be interpreted in at least two different ways, depending on the DOCTYPE of the document. For HTML 4.01 Strict, the '/' terminates the tag <FOO (with an implied '>'). However, since many browsers don't interpret it this way, even in the presence of an HTML 4.01 Strict DOCTYPE, it is best to avoid it completely in pure HTML documents and reserve its use solely for those written in XHTML.

Line 199, Column 72: NET-enabling start-tag requires SHORTTAG YES
…wierig waren, habe ich PHP angefangen...<br />✉
The sequence <FOO /> can be interpreted in at least two different ways, depending on the DOCTYPE of the document. For HTML 4.01 Strict, the '/' terminates the tag <FOO (with an implied '>'). However, since many browsers don't interpret it this way, even in the presence of an HTML 4.01 Strict DOCTYPE, it is best to avoid it completely in pure HTML documents and reserve its use solely for those written in XHTML.

Line 200, Column 5: NET-enabling start-tag requires SHORTTAG YES
<br />✉
The sequence <FOO /> can be interpreted in at least two different ways, depending on the DOCTYPE of the document. For HTML 4.01 Strict, the '/' terminates the tag <FOO (with an implied '>'). However, since many browsers don't interpret it this way, even in the presence of an HTML 4.01 Strict DOCTYPE, it is best to avoid it completely in pure HTML documents and reserve its use solely for those written in XHTML.

Line 211, Column 29: NET-enabling start-tag requires SHORTTAG YES
Eintrag:<br>kleiner <br />✉
The sequence <FOO /> can be interpreted in at least two different ways, depending on the DOCTYPE of the document. For HTML 4.01 Strict, the '/' terminates the tag <FOO (with an implied '>'). However, since many browsers don't interpret it this way, even in the presence of an HTML 4.01 Strict DOCTYPE, it is best to avoid it completely in pure HTML documents and reserve its use solely for those written in XHTML.

Line 212, Column 59: NET-enabling start-tag requires SHORTTAG YES
deine rechtschriebung is mal wieder überaus .. na ja..<br />✉
The sequence <FOO /> can be interpreted in at least two different ways, depending on the DOCTYPE of the document. For HTML 4.01 Strict, the '/' terminates the tag <FOO (with an implied '>'). However, since many browsers don't interpret it this way, even in the presence of an HTML 4.01 Strict DOCTYPE, it is best to avoid it completely in pure HTML documents and reserve its use solely for those written in XHTML.

Line 213, Column 16: NET-enabling start-tag requires SHORTTAG YES
eigensinnig<br />✉
The sequence <FOO /> can be interpreted in at least two different ways, depending on the DOCTYPE of the document. For HTML 4.01 Strict, the '/' terminates the tag <FOO (with an implied '>'). However, since many browsers don't interpret it this way, even in the presence of an HTML 4.01 Strict DOCTYPE, it is best to avoid it completely in pure HTML documents and reserve its use solely for those written in XHTML.

...