Fremdes Stylesheet Sicherheitsrisiko ?

[Heiko Knüttel]

Hi !

Frage : Ich würde es Usern einer php-generierten Seite gerne erlauben, ihr eigenes Stylesheet einzubinden, indem sie einen Link dazu angeben, also z.b die Seite aufrufen mit

http://www.domain.de/seite.php?style="www.anderedomain.de/userstylesheet.css"

Spricht da irgendetwas dagegen, dh kann man mit so einem Feature irgendwelchen Unsinn anstellen, außer die Anzeige so zu verballhornen, daß man nix mehr lesen kann (das wär nicht mein Problem)?

[pseudo_user]

Hi,

nein, eigentlich nicht.
Du includierst doch die CSS datei im Head oder?
Dann können die ja angeben was die wollen.
Ich kann mir nicht vorstellen das die was anstellen können.
Aber wenn doch würde mich mal Interessieren was.....
werde diesen Thread weiter verfolgen!

bis dann!

[Mathias Brodala]

Hallo Heiko.

Frage : Ich würde es Usern einer php-generierten Seite gerne erlauben, ihr eigenes Stylesheet einzubinden, indem sie einen Link dazu angeben, also z.b die Seite aufrufen mit

http://www.example.org/seite.php?style="www.example.com/userstylesheet.css"

Spricht da irgendetwas dagegen, dh kann man mit so einem Feature irgendwelchen Unsinn anstellen, außer die Anzeige so zu verballhornen, daß man nix mehr lesen kann (das wär nicht mein Problem)?

Wenn du die Interpretation des Stylesheets alleinig dem Client überlässt, musst du dir hier keine Gedanken machen.

Einen schönen Samstag noch.

Gruß, Mathias

[Der Martin]

Hallo,

Frage : Ich würde es Usern einer php-generierten Seite gerne erlauben, ihr eigenes Stylesheet einzubinden

also so wie hier in diesem Forum, wo schließlich auch registrierte Benutzer ihr eigenes Stylesheet einbinden können und so die Forumsansicht ganz nach eigenem Geschmack anpassen können.

Spricht da irgendetwas dagegen, dh kann man mit so einem Feature irgendwelchen Unsinn anstellen, außer die Anzeige so zu verballhornen, daß man nix mehr lesen kann (das wär nicht mein Problem)?

Ich wüsste nicht, *was* dagegensprechen würde. Hier funktioniert's prima, und es ist ja konzeptbedingt gewährleistet, dass derjenige, der ein bestimmtes Stylesheet haben will, auch selbst das Ergebnis sieht - und niemand sonst.

So long,
 Martin

[Detlef G.]

Hallo Heiko

Frage : Ich würde es Usern einer php-generierten Seite gerne erlauben, ihr eigenes Stylesheet einzubinden, indem sie einen Link dazu angeben, also z.b die Seite aufrufen mit

http://www.domain.de/seite.php?style="www.anderedomain.de/userstylesheet.css"

Spricht da irgendetwas dagegen, dh kann man mit so einem Feature irgendwelchen Unsinn anstellen, außer die Anzeige so zu verballhornen, daß man nix mehr lesen kann (das wär nicht mein Problem)?

Wenn du dies wirklich _nur_ jedem deiner User für sich selbst ermöglichen, es über die Userverwaltung einbinden würdest, wie auch hier im Forum, dann spricht nichts dagegen. Jeder soll die Seite für sich selbst so verhunzen wie er will. Außerdem gibt es bei vielen Browsern sowieso die Möglichkeit, ein eigenes Stylesheet zu verwenden.

Wenn du dies allerdings über einen Parameter realisierst, dann kann jeder, der einen Link auf deine Seite setzt, diese mit einem beliebigen Stylesheet würzen, ohne dass ein (zumindest unaufmerksamer) Seitenbesucher es bemerkt, dass es nicht das originale CSS ist. Damit wäre es leicht möglich Inhalte auszublenden, Hintergrundbilder (z.B. Werbung) einzublenden, ja selbst Inhalte hinzuzufügen.
Du würdest damit ermöglichen, einen Link auf deine Seite so zu setzen, dass diese manipuliert angezeigt wird, obwohl sie von deinem Server ausgeliefert wird.

Auf Wiederlesen
Detlef

[Timo "God's Boss" Reitz]

Frage : Ich würde es Usern einer php-generierten Seite gerne erlauben, ihr eigenes Stylesheet einzubinden, indem sie einen Link dazu angeben,

Falls du möchtest, dass jeder Besucher sein eigenes Stylesheet nutzen kann, das stellt kein Problem dar, solange du ein bisschen aufpasst.

http://www.domain.de/seite.php?style="www.anderedomain.de/userstylesheet.css"

So würde ich es auf gar keinen Fall machen! Ein Benutzer könnte so durch ein manipuliertes Stylesheet (dafür reicht ja ein simpler Link) getäuscht werden:
Der Mozilla Firefox beispielsweise kennt die schöne (proprietäre) CSS-Eigenschaft -moz-binding. Damit kann man problemlos die Inhalte der gesamten Seite durch komplett eigene Inhalte austauschen!
Falls man sich auf deiner Seite anmelden kann, würde man so mindestens an die Zugangsdaten kommen. Falls JavaScript aktiviert ist und die Benutzer auch Änderungen vornehmen können (in einem Forum beispielsweise Beiträge schreiben), könnte so ein durchtriebenes Subjekt den Benutzer Beiträge schreiben lassen, ohne dass dieser das merkt. Und zwar mit seinem Account und seiner IP-Adresse!