Einer geht noch, einer geht noch rein

[Tom]

Hello,

Insgesamt sehe ich das Problem weitaus weniger gravierend. Mit der Wandlung sämtlichen Textes in Entities kann nichts passieren, egal was der Angreifer anstellt - damit hat man dann aber auch nur unformatierten Text, allenfalls ein nl2br ginge noch zusätzlich. Mit exakt definiertem BB-Code dürfte ebenfalls kein Risiko bestehen. Und das unveränderte Durchschleifen von Texteingaben verwende ich, wenn es um die Bearbeitung von HTML-Quellcode im Rahmen eines CMS geht, der Eingeber/Angreifer also weiß, was er tut, und das mit voller Absicht.

Ich sehe die Gefahr nach wie vor bei dem Aberglauben, dass bestimmte Funktionen (z.B. htmlentities() in PHP) sicher geschrieben wären. Mit manchen Codierungen kommt diese Funktion (noch) nicht zurecht und lässt sie daher leider raw passieren. Was dann der Browser daraus macht, ist dann extrem spannend. In anderen Sprachen oder Systemen gibt es ähnliche Lücken. Es fehlt mir dazu leider im Moment noch der Überblick. Den gedachte ich mit Hilfe dieses Threads zu verbessern. :-)

Harzliche Grüße aus http://www.annerschbarrich.de

Tom