Dopar

Hey Leute,

ich hab da ne kurze Frage. Man kann ja mit PHP Bilder generieren und via img-Tag einbinden. (<img src="">). Wenn ich da nun den Usern die Freiheit lasse Bilder mit <img einzubinden: Könnten sie dann - theoretisch - irgendwelche Schadcodes einschleusen oder kann man da wirklich ausschließlich BILDER einbinden? Selbiges gilt für den CSS Befehl (background-image: url()

Danke im vorraus.

Mister Ad

Wolla

<img source = "http://example.org/script.php"> führt ein Script auf dem fernen Server aus.

<img source = "http://example.org/script.jpg"> kann auch ein Script ausführen, wenn man die jpg-Endung verbogen hat.

Oder meintest du etwas anderes?

__________________
Warum denkt mein Hund eigentlich immer dann, wenn es an der Tür klingelt, es sei für ihn?

Dopar

Ich meinte:

Wenn ich einem Benutzer die Freiheit lasse, einen IMG Tag zu füllen mit einer belibigen Resource:

Besteht dann Gefahr, dass er Schädliche Scripts ausführen kann, bzw in meine Seite einbinden?

Flor1an

Also du solltest den User natürlich kein HTML Eintragen lassen sonst könnte er XSS Angriffe starten. Wenn du ihn nur eine URL angeben lässt dann wird ja nie das Skript auf deinem Server ausgeführt sondern nur dort wo das Skript selbst liegt.

Vlt. solltest du dir die Grundsätzliche Funktionsweise von PHP/Webservern/HTTP nochmal anschauen!

Dopar

Das ist mir durchaus bekannt

Was mir allerdings nicht sonderlich bekannt ist, sind die Methoden des Cross Site Scriptings. Habe noch nie probiert etwas via XSS zu zuerstören und irgendwelche gloreichen Ideen haben Hacker ja öfter.

Flor1an

Ja bei XSS spielt aber PHP keine Rolle sondern JavaScript. Und beim Imagetag musst du natürlich aufpassen das er nur eine URL angibt und die Daten auch später durch htmlentities jagst damit kein JavaScript Code in den Tag geschrieben werden kann!