Sicherer PHP Code?

[Vinzenz Mai]

Hallo @all,

Viel schlimmer:

Wenn $BOESEWICHT ursprünglich folgendes eingegeben hatte: '</textarea><script type="text/javascript"> ganz_furchtbar_boeser_JS_code; </script><textarea>'

Dann würde das PHP-Skript nach dem Auslesen aus der Datei folgendes ausspucken:

nein, Nils hat ja vorgesorgt, siehe meine Analyse:

Nach dem if-else-Konstrukt hat $inhalt nun den Inhalt:

'</textarea><script type="text/javascript"> ganz_furchtbar_boeser_JS_code; </script><textarea>'

Nils läßt darüber erneut stripslashes laufen und erhält somit

'<textarea><script type="textjavascript"> ganz_furchtbar_boeser_JS_code_jetzt_kaputt_weil_nicht_mehr_genug_slashes; <script><textarea>'

<textarea name="textfeld" rows="10" cols="50"><textarea><script type="textjavascript"> ganz_furchtbar_boeser_JS_code_jetzt_kaputt_weil_nicht_mehr_genug_slashes; <script><textarea></textarea>.

Der Browser stellt wunderbar gültigen HTML-Code dar ... und - oh Schreck! - führt böses Javascript aus ...

Ist der HTML-Code wirklich noch gültig?
<textarea> in <textarea>, nicht geschlossen, in <textarea> zweimal <script> geöffnet, einmal mit einer seltsamen Typ-Angabe ...

Bringt hier Nils unbewußt den Angriff zu Fall? Versuchen die Browser den kaputten Code irgendwie zu interpretieren? Will ich's wirklich wissen? ...

Freundliche Grüße

Vinzenz