XSS Schutz bei Editor?

[Forumsgast]

Hallo,
ich habe einen WYSIWYG Editor geschrieben. Nun bietet dieser die Möglichkeit, auch HTML Code einzugeben. Der Inhalt wird dann in eine MYSQL Tabelle geschrieben. Nun auch HTML Code. Natürlich kann ich XSS mit Methoden wie htmlspecialchars oder htmlentities verhindern, allerdings wird dann auch der Code nicht interpretiert. Und die HTML Tags sollen ja Interpetiert werden, nur JavaScript und sonstige gefährliche Codes nicht.

Gibt es da eine Möglichkeit, das Problem zu lösen? Wie würdet ihr das ganze angehen?

[Forumsgast]

Schau dir mal den HTMLPurifier an.
Falls du es nicht findest: http://lmgtfy.com/?q=HTMLPurifier

[Extremefall]

Leider ist das wiederum auf eine PHP Version beschränkt. Gibt es auch Möglichkeit, es programmiertechnisch zu lösen? Zum Beispiel tags mit str_replace gegen eigene BBCodes zu wechseln und beim Auslesen dann diese Codes mit str_replace wieder in HTML Codes ändern? Würde so etwas möglich sein?

[Forumsgast]

Leider ist das wiederum auf eine PHP Version beschränkt.

Einen Server mit PHP 5+ sollte man mittlerweile finden ...

Klar kannst du das selber programmieren, aber mit str_replace ist es nicht getan, da die Tags richtig verschatelt werden müssen, du musst die Attribute auslesen und überprüfen usw...

[Forumsgast]

mit strip_tags die gefährlichen rausfiltern

[Forumsgast]

mit strip_tags die gefährlichen rausfiltern

Nein! Absolut gefährlich.
Nimm den Purifier (oder eine vergleichbare Lib) oder lass es sein.

[Forumsgast]

Nein! Absolut gefährlich.

wieso ?

[Forumsgast]

Weil nicht allein spezielle Tags potentiell schädlichen Inhalt besitzen können. Auch DIVs und SPANs können mit den richtigen Attributen gefährlich werden, ganz zu schweigen von IMG-Tags.
Dazu kommt auch noch, dass du damit immer noch nicht das Problem fehlerhafter Verschachtelung gelöst hast.

[Extremefall]

Könnte ich nicht einfach alle JavaScript Tags der Zeichenkette entfernen, mit str_replace? Ist nur JavaScript gefährlich oder auch HTML?

[Forumsgast]

Siehe mein letztes Posting.

[Extremefall]

Wäre es denn notwendig, so etwas zu sichern? Ich habe ein cms für andere geschrieben und um Zugang zu der Seite zu bekommen, muss man eingeloggt sein. Und der Nutzer will sicher nicht sich selbst schaden. Es gibt auch keine Registrierungsmöglichkeit. Oder kann ich in diesem Fall XSS vernachlässigen?

[Forumsgast]

Es geht nicht nur um XSS, das was die meinen Editoren an HTML produzieren ist meist recht gruselig, da kann der Purfier auch nachhelfen...
Ich versteh immer noch nicht warum du den nicht einsetzen willst ???