was muss gefiltert werden, bei Foren und PNs

CC84 · 06.09.2006, 21:55

Hi, ich bin gerade auf der Suche nach nem Tut oder zumindet einer Liste, was man alles filtern sollte, um Script Injections zu verhindern? SQL Injections lassen sich ja durch real_escape_string abfangen, aber wenn ich das ganze später wieder auf die seite lasse, möchte ich ungerne, dass da jemand mit html Code die Seite verunstaltet oder gar mit Javascript Passwörter usw. abfängt.

Ich will also quasi das, was aus ner Eingabemaske kommt in die DB packen und später wieder auf der Seite ausgeben und dabei verhindern, dass die User mist bauen.

Danke

CC

KingCrunch · 06.09.2006, 22:04

Wie wärs denn mit sämtliche Sonderzeichen escapen?

Wenn er dann HTML einbaut, wird es direkt als solches wieder angezeigt und nicht vom Browser verarbeitet. Hätte zudem den Vorteil, dass man auch Source posten kann.

CC84 · 07.09.2006, 08:06

reicht addslashes? oder was bietet sich da an?

dsmcg · 07.09.2006, 09:12

Vileicht htmlentities()

CC84 · 07.09.2006, 11:01

Zitat:

Zitat von dsmcg

Vileicht htmlentities()

MERCI!

cytrobic · 07.09.2006, 12:50

ich hab bei mir strip_tags() eingebaut, das sollte alle HTML versuche raushauen, stattdessen habe ich [b] und [i] und sowas was dann umgewandelt wird in die entsprechenden html codes...

KingCrunch · 07.09.2006, 17:46

Meine irgendwo gehört zu haben, dass das null-Byte an einigen Stellen Probleme bereiten kann (bug), aber ansonsten isses eher nen Speicherplatz und Optik-Feature ^^

07.09.2006, 20:02

Zitat:

Meine irgendwo gehört zu haben, dass das null-Byte an einigen Stellen Probleme bereiten kann (bug),

... bei ereg() oder eregi() war das so ...

freitz · 08.09.2006, 00:38

hmm was ist ein nul-byte?

CC84 · 08.09.2006, 21:58

das Null Byte definiert in C ein String Ende und wird als \0 dargestellt. Ob es tatsächlich den Ascii Wert 0 hat weiß ich jedoch nicht.

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
phpbb foren für mehrere user	kid01	PHP Tipps 2006	5	26.11.2006 13:22
Englisch-sprachige Foren zu PHP/MySQL/...	agrajag	Off-Topic Diskussionen	5	20.11.2006 21:57
Sylies in Foren bzw GB	shocky	PHP Tipps 2006	7	22.09.2006 15:40
Aus mehreren Tabellen (Foren) den Top User ermitteln	wizzardxx	PHP Tipps 2006	9	15.02.2006 10:39
2Anfänger Foren?!	scooter	Off-Topic Diskussionen	3	06.02.2006 09:53
Suche ein Script, ähnlich wie die Profile bei den Foren		Beitragsarchiv	10	09.09.2005 12:08
Fertige foren samt account-verwaltung		PHP Tipps 2005-2	7	14.08.2005 21:41
Kategorien in den Foren	Spike_php	PHP Tipps 2004-2	2	23.12.2004 15:49
2 große Foren "verbünden"... !?! *45$* !!		Beitragsarchiv	14	15.12.2004 11:10
Farben bei foren Einträgen unterschiedlich	themonk	HTML, Usability und Barrierefreiheit	1	10.12.2004 15:55
Foren Beiträge		PHP Tipps 2004	4	18.10.2004 09:31

06.09.2006, 21:55
CC84 Erfahrener Benutzer Registriert seit: 03.01.2006 Beiträge: 253	was muss gefiltert werden, bei Foren und PNs Hi, ich bin gerade auf der Suche nach nem Tut oder zumindet einer Liste, was man alles filtern sollte, um Script Injections zu verhindern? SQL Injections lassen sich ja durch real_escape_string abfangen, aber wenn ich das ganze später wieder auf die seite lasse, möchte ich ungerne, dass da jemand mit html Code die Seite verunstaltet oder gar mit Javascript Passwörter usw. abfängt. Ich will also quasi das, was aus ner Eingabemaske kommt in die DB packen und später wieder auf der Seite ausgeben und dabei verhindern, dass die User mist bauen. Danke CC


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

06.09.2006, 22:04
KingCrunch Erfahrener Benutzer Registriert seit: 13.08.2007 Beiträge: 1.976	Wie wärs denn mit sämtliche Sonderzeichen escapen? Wenn er dann HTML einbaut, wird es direkt als solches wieder angezeigt und nicht vom Browser verarbeitet. Hätte zudem den Vorteil, dass man auch Source posten kann. __________________ Nicht jeder Fehler ist ein Bug.

07.09.2006, 08:06
CC84 Erfahrener Benutzer Registriert seit: 03.01.2006 Beiträge: 253	reicht addslashes? oder was bietet sich da an?

07.09.2006, 09:12
dsmcg Erfahrener Benutzer Registriert seit: 11.10.2005 Beiträge: 2.405	Vileicht htmlentities() __________________ Wie man Fragen richtig stellt

07.09.2006, 12:50
cytrobic Erfahrener Benutzer Registriert seit: 01.02.2004 Beiträge: 550	ich hab bei mir strip_tags() eingebaut, das sollte alle HTML versuche raushauen, stattdessen habe ich [b] und [i] und sowas was dann umgewandelt wird in die entsprechenden html codes... __________________ keine

07.09.2006, 17:46
KingCrunch Erfahrener Benutzer Registriert seit: 13.08.2007 Beiträge: 1.976	Meine irgendwo gehört zu haben, dass das null-Byte an einigen Stellen Probleme bereiten kann (bug), aber ansonsten isses eher nen Speicherplatz und Optik-Feature ^^ __________________ Nicht jeder Fehler ist ein Bug.

08.09.2006, 00:38
freitz Benutzer Registriert seit: 16.10.2004 Beiträge: 90	hmm was ist ein nul-byte? __________________ mgtt 2007

08.09.2006, 21:58
CC84 Erfahrener Benutzer Registriert seit: 03.01.2006 Beiträge: 253	das Null Byte definiert in C ein String Ende und wird als \0 dargestellt. Ob es tatsächlich den Ascii Wert 0 hat weiß ich jedoch nicht.