mysql: Login
bearbeitet von 1unitedpower> Also ich habe mir Deine, diesmal hinreichend sachliche Kritik ernst genommen und [eine neue Version aufgelegt](https://code.fastix.org/Projekte/Apache,PHP:htpasswd/?v=4.0).
Du wolltest wohl schreiben, du hast diesmal meine hinreichend sachliche Kritik ernst genommen. Haben wir damit nun genug Seitenhiebe verteilt?
Aber gut, dass du die Sicherheitslücken nun schließt.
> > Außerdem ist das Skript anfällig für XSS-Angriffe. Die Funktion PrintUserList maskiert an einer Stelle die Variable $strUser nicht kontextgerecht.
>
> `[v]` Erledigt.
`htmlspecialchars` ist ein Anfang, aber dein Zielkontext ist JavaScript. Um die XSS-Lücke zu schließen brauchst du eigentlich `json_encode`. `htmlspecialchars` hilft hier nicht, weil es keine single Quotes maskiert. Das ließe sich zwar über ein zusätzliches Flag lösen, aber `json_encode` wäre der ordentliche Weg.
Du hast aber noch ein weiteres Problem. Deine Anwendung ist anfällig für [CSRF-Angriffe](https://owasp.org/www-community/attacks/csrf). Damit kann ein Angreifer quasi beliebige Aktionen im Namen des Bentuzers ausführen. Da hilft auch dein Hinweis an den Nutzer nicht, dass er das Skript nur in einem bereits geschützten Bereich aufrufen darf. Dem Angreifer muss es nur gelingen sein authentifziertes Opfer auf seine Website zu locken.
mysql: Login
bearbeitet von 1unitedpower> Also ich habe mir Deine, diesmal hinreichend sachliche Kritik ernst genommen und [eine neue Version aufgelegt](https://code.fastix.org/Projekte/Apache,PHP:htpasswd/?v=4.0).
Du wolltest wohl schreiben, du hast diesmal meine hinreichend sachliche Kritik ernst genommen. Haben wir damit nun genug Seitenhiebe verteilt?
Aber gut, dass du die Sicherheitslücken nun schließt.
> > Außerdem ist das Skript anfällig für XSS-Angriffe. Die Funktion PrintUserList maskiert an einer Stelle die Variable $strUser nicht kontextgerecht.
>
> `[v]` Erledigt.
`htmlspecialchars` ist ein Anfang, aber dein Zielkontext ist JavaScript. Um die XSS-Lücke zu schließen brauchst du eigentlich `json_encode`. `htmlspecialchars` hilft nur zufällig, weil es auch single Quotes maskiert.
Du hast aber noch ein weiteres Problem. Deine Anwendung ist anfällig für [CSRF-Angriffe](https://owasp.org/www-community/attacks/csrf). Damit kann ein Angreifer quasi beliebige Aktionen im Namen des Bentuzers ausführen. Da hilft auch dein Hinweis an den Nutzer nicht, dass er das Skript nur in einem bereits geschützten Bereich aufrufen darf. Dem Angreifer muss es nur gelingen sein authentifziertes Opfer auf seine Website zu locken.
mysql: Login
bearbeitet von 1unitedpower> Also ich habe mir Deine, diesmal hinreichend sachliche Kritik ernst genommen und [eine neue Version aufgelegt](https://code.fastix.org/Projekte/Apache,PHP:htpasswd/?v=4.0).
Du wolltest wohl schreiben, du hast diesmal meine hinreichend sachliche Kritik ernst genommen. Haben wir damit nun genug Seitenhiebe verteilt?
Aber gut dass du die Sicherheitslücken nun schließt.
> > Außerdem ist das Skript anfällig für XSS-Angriffe. Die Funktion PrintUserList maskiert an einer Stelle die Variable $strUser nicht kontextgerecht.
>
> `[v]` Erledigt.
`htmlspecialchars` ist ein Anfang, aber dein Zielkontext ist JavaScript. Um die XSS-Lücke zu schließen brauchst du `json_encode`. Ich würde das Konstrukut JavaScript in HTML-Attributen vermeiden, das erschwert die richtige Behandlung der Daten nur.
Du hast aber noch ein weiteres Problem. Deine Anwendung ist anfällig für [CSRF-Angriffe](https://owasp.org/www-community/attacks/csrf). Damit kann ein Angreifer quasi beliebige Aktionen im Namen des Bentuzers ausführen. Da hilft auch dein Hinweis an den Nutzer nicht, dass er das Skript nur in einem bereits geschützten Bereich aufrufen darf. Dem Angreifer muss es nur gelingen sein authentifziertes Opfer auf seine Website zu locken.
mysql: Login
bearbeitet von 1unitedpower> Also ich habe mir Deine, diesmal hinreichend sachliche Kritik ernst genommen und [eine neue Version aufgelegt](https://code.fastix.org/Projekte/Apache,PHP:htpasswd/?v=4.0).
Du wolltest wohl schreiben, du hast diesmal meine hinreichende sachliche Kritik ernst genommen. Haben wir damit nun genug Seitenhiebe verteilt?
Aber gut dass du die Sicherheitslücken nun schließt.
> > Außerdem ist das Skript anfällig für XSS-Angriffe. Die Funktion PrintUserList maskiert an einer Stelle die Variable $strUser nicht kontextgerecht.
>
> `[v]` Erledigt.
`htmlspecialchars` ist ein Anfang, aber dein Zielkontext ist JavaScript. Um die XSS-Lücke zu schließen brauchst du `json_encode`. Ich würde das Konstrukut JavaScript in HTML-Attributen vermeiden, das erschwert die richtige Behandlung der Daten nur.
Du hast aber noch ein weiteres Problem. Deine Anwendung ist anfällig für [CSRF-Angriffe](https://owasp.org/www-community/attacks/csrf). Damit kann ein Angreifer quasi beliebige Aktionen im Namen des Bentuzers ausführen. Da hilft auch dein Hinweis an den Nutzer nicht, dass er das Skript nur in einem bereits geschützten Bereich aufrufen darf. Dem Angreifer muss es nur gelingen sein authentifziertes Opfer auf seine Website zu locken.