Форум программистов
 

Восстановите пароль или Зарегистрируйтесь на форуме, о проблемах и с заказом рекламы пишите сюда - alarforum@yandex.ru, проверяйте папку спам!

Вернуться   Форум программистов > Web программирование > JavaScript, Ajax
Регистрация

Восстановить пароль
Повторная активизация e-mail

Купить рекламу на форуме - 42 тыс руб за месяц

Ответ
 
Опции темы Поиск в этой теме
Старый 12.04.2011, 00:42   #1
maxipub
 
Регистрация: 12.04.2011
Сообщений: 9
По умолчанию JavaScript: безопасность location

Насколько безопасна JavaScript запись, выводимая php:

Код:
echo 'window.location="'.str_replace('"', '"', $url).'";'
Переменная $url получена от пользователя и более никак не обрабатывается (разве что проверяется начинается ли она с 'http://', если нет, то добавляется)? Сможет ли он всунуть какой-то вредоносный код? (xss и т.д.)?
maxipub вне форума Ответить с цитированием
Старый 12.04.2011, 11:43   #2
Виталий Желтяков
Старожил
 
Аватар для Виталий Желтяков
 
Регистрация: 19.04.2010
Сообщений: 2,702
По умолчанию

Выводиться самому пользователю или и остальным. В первом случае безопасно, во втором нет.
Виталий Желтяков вне форума Ответить с цитированием
Старый 18.04.2011, 22:03   #3
maxipub
 
Регистрация: 12.04.2011
Сообщений: 9
По умолчанию

Второй случай.

Можно пример уязвимости, как обезопасить?
maxipub вне форума Ответить с цитированием
Старый 20.04.2011, 16:47   #4
maxipub
 
Регистрация: 12.04.2011
Сообщений: 9
По умолчанию

Итак ? . .
maxipub вне форума Ответить с цитированием
Старый 20.04.2011, 20:42   #5
Johnatan
Antimoderаtoris
Участник клуба
 
Регистрация: 08.02.2008
Сообщений: 1,251
По умолчанию

Всунуть можно только какой-нибудь гадостный линк и дать другому вашему пользователю. Другой пользователь подумает, что это линк на вашу красивую страничку, а сам попадёт на сайт зловреда и получит себе какую-нибудь пакость, а подумает, что это ваш сайт виноват во всём.
98% из тысячи моих постов сделаны в профильном подфоруме. Я не накручиваю свои посты болтанием в "курилке", а ты?
Johnatan вне форума Ответить с цитированием
Старый 21.04.2011, 15:48   #6
maxipub
 
Регистрация: 12.04.2011
Сообщений: 9
По умолчанию

Цитата:
Сообщение от Johnatan Посмотреть сообщение
Всунуть можно только какой-нибудь гадостный линк и дать другому вашему пользователю.
А JavaScript и стырить куки, к примеру?
maxipub вне форума Ответить с цитированием
Старый 21.04.2011, 16:55   #7
.OMG
Новичок
Джуниор
 
Регистрация: 05.11.2010
Сообщений: 2
По умолчанию

Цитата:
Сообщение от maxipub Посмотреть сообщение
Насколько безопасна JavaScript запись, выводимая php:

Код:
echo 'window.location="'.str_replace('"', '"', $url).'";'
Переменная $url получена от пользователя и более никак не обрабатывается (разве что проверяется начинается ли она с 'http://', если нет, то добавляется)? Сможет ли он всунуть какой-то вредоносный код? (xss и т.д.)?

обоже.
а кто ж вам мешает нормально фильтровать?
PHP код:
echo 'window.location=" ' urlencode(htmlspecialchars((string)$url)) . '"'
(string) для того что бы не подсунули массив.
да, кстати, есть еще
PHP код:
header('location: http://aaa/'); 
ну я думаю вы о нем знаете.
.OMG вне форума Ответить с цитированием
Старый 22.04.2011, 16:49   #8
maxipub
 
Регистрация: 12.04.2011
Сообщений: 9
По умолчанию

Цитата:
Сообщение от .OMG Посмотреть сообщение
кто ж вам мешает нормально фильтровать?
PHP код:
echo 'window.location=" ' urlencode(htmlspecialchars((string)$url)) . '"'
Да ну... http%3A%2F%2Fwww.programmersforum.r u%2Fnewreply.php%3Fdo%3Dnewreply%26 amp%3Bp%3D784858 ?

Цитата:
Сообщение от .OMG Посмотреть сообщение
да, кстати, есть еще
PHP код:
header('location: http://aaa/'); 
ну я думаю вы о нем знаете.
А туда что угодно пихать можно? Тоже ж обрабатывать как-то следует...
maxipub вне форума Ответить с цитированием
Ответ


Купить рекламу на форуме - 42 тыс руб за месяц

Опции темы Поиск в этой теме
Поиск в этой теме:

Расширенный поиск


Похожие темы
Тема Автор Раздел Ответов Последнее сообщение
Запись в бинарник и access violation reading location Farrel Общие вопросы C/C++ 2 23.03.2011 20:13
Excel диаграмма на лист Location funball Microsoft Office Excel 2 24.11.2010 10:25
Location FonFon Общие вопросы C/C++ 1 06.08.2010 16:44
Проблема с Location hoza_syl JavaScript, Ajax 4 23.10.2009 18:14
header, location, referer проблема eurusd PHP 10 23.12.2008 10:05