Variable als textarea-Standart und XSS

15.03.2010, 21:04

Hallo liebe Leute,

folgendes Szenario:

Ich will einen variablen String (vom Benutzer eingegeben also potentiell böse, gell?) als Standarttext in einer Textarea ausgeben lassen. Ungefähr so:

PHP-Code:

  echo '<textarea name="text" cols="50" rows="10">' . $pre . '</textarea>';

Sollte man ja so nicht machen wegen XSS-Angriffen, oder?

Also lieber so:

PHP-Code:

  echo '<textarea name="text" cols="50" rows="10">' .htmlentities($pre, ENT_QUOTES) . '</textarea>';

Dabei habe ich das Problem, dass das Formular zwar zunächst richtig ausgegeben wird, dass beim Absenden aber die Notierungen der HTML-Sonderzeichen übermittelt werden; klar: denn die habe ich ja selbst in das Formular reinschreiben lassen.

Nun will ich diese Notierung als Sonderzeichen aber aus dem Grund nicht in der Datenbank haben, weil ich es zulassen will, dass solche Sonderzeichen eingegeben werden können (absichtlich und nicht durch den oben genannten Fehler) ohne dass sie eine Änderung der Formatierung bewirken. D.h. ich will den Text aus der Datenbank prinzipiell (auch wenn er nicht in einem Formular steht) per htmlentities ausgeben lassen.

Wo stehe ich auf dem Schlauch?

Danke schon mal
Christoph

nikosch · 15.03.2010, 21:07

Benutze statt htmlentities lieber htmlspecialchars.

15.03.2010, 21:09

1. Wieso dies?

2. Das war aber noch keine Lösung meines Problems, oder?

nikosch · 15.03.2010, 21:43

Bei mir geht das problemlos.

[MOD: verschoben, nix FG]

15.03.2010, 21:56

Moment mal: Was geht bei Dir problemlos? - In meinem Post habe ich versucht das Problem darzustellen, dass ich einerseits die HTML-Notierung aus Gründen der Sicherheit vor XSS-Angriffen ausgeben lassen möchte, dass diese andererseits aber nicht übermittelt werden sollen.

Was soll da bei Dir problemlos gehen? - Wenn die HTML-Notierung im Formular steht, dann wird sie wohl auch so übermittelt, oder was?

nikosch · 15.03.2010, 22:01

Probiers aus, mit specialchars auf jeden Fall nicht. Wie sollte man sonst </textarea> in eine Textarea schreiben?

Babbsdrebbler · 15.03.2010, 22:15

Ich würde dir die Doku zu zum lesen raten:
strip_tags
htmlspecialchairs
htmlentities

Ansonsten habe ich nichts gegen deine Lösung, auser dass du den Zeichensatz noch mit angeben solltest. Wenn du das umegehen willst und trotzdem validieren versuch es mal mit BB Codes

nikosch · 15.03.2010, 22:23

Nirgendwo steht etwas von Validierung.

15.03.2010, 22:50

Zitat:

Zitat von nikosch

Nirgendwo steht etwas von Validierung.

Nun, vermutlich weil es hier auch nicht um Validierung geht.

nikosch · 15.03.2010, 22:59

Eben. Bezog sich auf Babbsdrebbler..

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
[Erledigt] sql - Variable ??	Exception	PHP Tipps 2010	9	20.02.2010 04:03
[Erledigt] Variable aus textarea übergeben	ellielmo	PHP Tipps 2010	6	21.01.2010 23:20
[Erledigt] variable setzen wenn nachfolgende variable nicht leer	taurus	PHP Tipps 2009	4	14.05.2009 22:24
Problem Undefined variable:	banbanban	PHP Tipps 2009	5	04.03.2009 17:55
[Erledigt] session register - variable nicht uebergeben?	peroja	PHP Tipps 2009	4	06.01.2009 15:24
Variable per Session übergeben? Spricht etwas dagegen?	Lapje	PHP Tipps 2008	6	20.10.2008 21:49
Undefined variable Undefined property: block	xxJJxx	PHP Tipps 2008	16	05.08.2008 15:30
Textarea Feld dynamisch vergrößern und verkleinern?	php_frage	HTML, Usability und Barrierefreiheit	5	25.04.2006 08:42
problem mit variable	snatch-ic	PHP Tipps 2007	5	13.12.2005 13:18
Variable durch 2. Variable bestimmen	Quagga	PHP Tipps 2005-2	11	26.10.2005 17:34
Variable in einer Variable	Beatbox	PHP Tipps 2005	7	15.01.2005 15:55
Warum wird Variable nicht übergeben???	Anuschka	PHP Tipps 2005	2	06.01.2005 13:22
Textarea ...	Tschuu	HTML, Usability und Barrierefreiheit	2	03.01.2005 14:13
Variable in Textarea eintragen	Beatbox	PHP Tipps 2004-2	1	28.11.2004 19:36

15.03.2010, 21:04
high Gast Beiträge: n/a	Variable als textarea-Standart und XSS Hallo liebe Leute, folgendes Szenario: Ich will einen variablen String (vom Benutzer eingegeben also potentiell böse, gell?) als Standarttext in einer Textarea ausgeben lassen. Ungefähr so: PHP-Code: `echo '<textarea name="text" cols="50" rows="10">' . $pre . '</textarea>';` Sollte man ja so nicht machen wegen XSS-Angriffen, oder? Also lieber so: PHP-Code: `echo '<textarea name="text" cols="50" rows="10">' .htmlentities($pre, ENT_QUOTES) . '</textarea>';` Dabei habe ich das Problem, dass das Formular zwar zunächst richtig ausgegeben wird, dass beim Absenden aber die Notierungen der HTML-Sonderzeichen übermittelt werden; klar: denn die habe ich ja selbst in das Formular reinschreiben lassen. Nun will ich diese Notierung als Sonderzeichen aber aus dem Grund nicht in der Datenbank haben, weil ich es zulassen will, dass solche Sonderzeichen eingegeben werden können (absichtlich und nicht durch den oben genannten Fehler) ohne dass sie eine Änderung der Formatierung bewirken. D.h. ich will den Text aus der Datenbank prinzipiell (auch wenn er nicht in einem Formular steht) per htmlentities ausgeben lassen. Wo stehe ich auf dem Schlauch? Danke schon mal Christoph


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

15.03.2010, 21:07
nikosch moderatives Dielektrikum Registriert seit: 21.05.2008 Beiträge: 35.987 PHP-Kenntnisse: Fortgeschritten	Benutze statt htmlentities lieber htmlspecialchars. __________________ -- One pixel is still too big. Please make it smaller. ASAP. Initiative Mittelstand. Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers. --

15.03.2010, 21:09
high Gast Beiträge: n/a	1. Wieso dies? 2. Das war aber noch keine Lösung meines Problems, oder?

15.03.2010, 21:43
nikosch moderatives Dielektrikum Registriert seit: 21.05.2008 Beiträge: 35.987 PHP-Kenntnisse: Fortgeschritten	Bei mir geht das problemlos. [MOD: verschoben, nix FG] __________________ -- One pixel is still too big. Please make it smaller. ASAP. Initiative Mittelstand. Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers. --

15.03.2010, 21:56
high Gast Beiträge: n/a	Moment mal: Was geht bei Dir problemlos? - In meinem Post habe ich versucht das Problem darzustellen, dass ich einerseits die HTML-Notierung aus Gründen der Sicherheit vor XSS-Angriffen ausgeben lassen möchte, dass diese andererseits aber nicht übermittelt werden sollen. Was soll da bei Dir problemlos gehen? - Wenn die HTML-Notierung im Formular steht, dann wird sie wohl auch so übermittelt, oder was?

15.03.2010, 22:01
nikosch moderatives Dielektrikum Registriert seit: 21.05.2008 Beiträge: 35.987 PHP-Kenntnisse: Fortgeschritten	Probiers aus, mit specialchars auf jeden Fall nicht. Wie sollte man sonst </textarea> in eine Textarea schreiben? __________________ -- One pixel is still too big. Please make it smaller. ASAP. Initiative Mittelstand. Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers. --

15.03.2010, 22:15
Babbsdrebbler Neuer Benutzer Registriert seit: 25.10.2009 Beiträge: 23 PHP-Kenntnisse: Fortgeschritten	Ich würde dir die Doku zu zum lesen raten: strip_tags htmlspecialchairs htmlentities Ansonsten habe ich nichts gegen deine Lösung, auser dass du den Zeichensatz noch mit angeben solltest. Wenn du das umegehen willst und trotzdem validieren versuch es mal mit BB Codes

15.03.2010, 22:23
nikosch moderatives Dielektrikum Registriert seit: 21.05.2008 Beiträge: 35.987 PHP-Kenntnisse: Fortgeschritten	Nirgendwo steht etwas von Validierung. __________________ -- One pixel is still too big. Please make it smaller. ASAP. Initiative Mittelstand. Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers. --

15.03.2010, 22:59
nikosch moderatives Dielektrikum Registriert seit: 21.05.2008 Beiträge: 35.987 PHP-Kenntnisse: Fortgeschritten	Eben. Bezog sich auf Babbsdrebbler.. __________________ -- One pixel is still too big. Please make it smaller. ASAP. Initiative Mittelstand. Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers. --