haemoglobin

Hallo,

aus reinem interesse würde ich gerne wissen ob ich etwas vergessen habe, was zur Sicherheit beim Einsatz von Ajax beiträgt. Von folgenden Dingen habe ich schon gelesen:

• Die Validierung der Usereingaben findet nicht Clientseitig, sondern Serverseitig statt - sollte meiner Meinung nach selbstverständlich sein. Bevorzugt durch eine Whitelist.
  
• Eventuell vorhandene Sonderzeichen müssen vor dem senden an den Browser escaped werden. Bei PHP z.B. mit htmlspecialchars().
  |
  └→ ich meine mal gelesen zu haben das hmtlspecialchars() teilweise nicht genug ist, kann mich aber nicht erinnern wo genau. Suchen hat bisher auch nicht gebracht. Hat da vielleicht jemand von euch einen Link?
  
  
• Wenn man JSON nutzt, soll man einen JSON-Parser anstelle von eval() nutzen, da sonst Javascript Injections ermöglicht werden. Desweiteren soll es hilfreich sein einen JSON String in Javascript-Kommentaren einzuschließen.
  
• Außerdem soll man zufällig erzeugte Tokens verwenden, damit der Server weiß, dass der Request von der eigenen Seite kommt.

Mister Ad

Chriz

Clientseitig kann schon stattfinden, macht sogar Sinn, darf halt nur nicht die einzige Prüfung sein. Das entstehende Problem ist, dass du dann Code doppelt prüfst, entsprechend die Logik verteilst. Das kann dann schon zum Problem werden.

xm22

Das ist... naja - Kann man sich eigentlich sparen. Das kann man auch mit einer Session machen.. Tokens können Probleme bringen, wenn Du mehrere Requests machst.
Wenn Du schon htmlspecialchars benutzt, brauchst Du das auch nicht.

Ein Tipp: Benutz für Ajax Frameworks wie jQuery, die nehmen einem unheimlich viel Handarbeit ab.

Davon habe ich noch nichts gehört. Was wichtig ist, dass Du als 2. PArameter ENT_QUOTES (Auch " und nicht nur ' escapen) und als 3. Parameter das verwendete charset benutzt.

agrajag

Diese Tokens können schon sinnvoll sein wenn du CSRF verhinden möchtest. Und das ist eine Sache die wirklich häufig ausgenutzt wird....

Jein. Dabei geht es um völlig verschiedene Dinge. Wenn du einen JSON-String per eval() parst wird auch jeder andere Müll der da drin steht geparst....

__________________
Today you...Tomorrow me.

xm22

Was für Müll?

agrajag

Zum Beispiel ein alert() oder jeder andere JS-Code...

__________________
Today you...Tomorrow me.

xm22

Wenn Du json "evalst", wird kein Code, der sich irgendwo darin befindet, ausgeführt. Dann könnte man das ja gar nicht mehr benutzen, oder traut sich einer zu, einen String komplett nach möglichen JS-Elementen zu durchsuchen?

haemoglobin

Sollte ich Ajax mal einsetzen werde ich es wohl mit jQuery machen. Für Javascript ohne Serveranfragen nutze ich es ohnehin schon.

Ich finde den Link zu diesem Blogbeitrag leider nicht mehr. Es kann natürlich auch sein das ich es mit einer anderen Funktion verwechsel, ich bin mir allerdings ziemlich sicher das es htmlspecialchars() war. Aber wenn der Einsatz von htmlspeciachlars() teilweise nicht genug wäre, hätte sich hier wohl schon jemand gemeldet der da ebenfalls von gelesen/gehört hat.
Falls ich dich nicht falsch verstehe.

xm22

Ah - Ich verstehe, was Du meinst. Natürlich musst Du dafür sorgen, dass korrektes json zurück kommt. Wenn man statt json einfach alert(document.cookie) zurück liefert, dann ist das natürlich fatal. Allerdings bleibt dann trotzdem die Problematik, dass man _nie_ händisch auf alle Angriffsversuche reagieren kann. htmlspecialchars sorgt natürlich _nur_ für die Maskierung von Zeichen..