Sentido Web » php xss http://sentidoweb.com Desarrollo web, HTML, CSS, Javascript, PHP, MySQL Tue, 10 Apr 2012 01:02:09 +0000 en hourly 1 http://wordpress.org/?v=3.3.1 HTML Purifier 3 http://sentidoweb.com/2008/01/14/html-purifier-3.php http://sentidoweb.com/2008/01/14/html-purifier-3.php#comments Mon, 14 Jan 2008 17:30:00 +0000 displaynone http://sentidoweb.com/2008/01/14/html-purifier-3.php HTML Purifier es un filtro en PHP que elimina código XSS de HTML y hace que sea estándar. Acaba de sacar la versión 3.0 y entre las novedades nos encontramos con:

  • Requiere PHP5.
  • Las propiedades CSS no son sensibles a mayúsculas o minúsculas.
  • Elimina las etiquetas <style> (necesita CSSTidy).
  • Mejoras en el motor de estilos.

HTML Purifier

]]> http://sentidoweb.com/2008/01/14/html-purifier-3.php/feed 0 Pixy: localiza XSS y SQL Injection en tu PHP http://sentidoweb.com/2007/06/26/pixy-localiza-xss-y-sql-injection-en-tu-php.php http://sentidoweb.com/2007/06/26/pixy-localiza-xss-y-sql-injection-en-tu-php.php#comments Tue, 26 Jun 2007 23:00:00 +0000 displaynone http://sentidoweb.com/2007/06/26/pixy-localiza-xss-y-sql-injection-en-tu-php.php Pixy es una aplicación Java que rastreará nuestro código PHP en busca de vulnerabilidades XSS y SQL Injection. Encuentrq vulnerabilidades que normalmente se encuentran en auditorías manuales, salvo que estas pueden pasar por encima algunas. Pixy tan solo es válido para código PHP4, aún no es compatible con PHP5. Realiza informes sobre los puntos vulnerables del código, para lo cual toma el programa PHP como entrada y acto seguido lo analiza. Pixy Vía / VT’s Tech Blog ]]> http://sentidoweb.com/2007/06/26/pixy-localiza-xss-y-sql-injection-en-tu-php.php/feed 0 XSS mediante HTML no estándar http://sentidoweb.com/2007/05/07/xss-mediante-html-no-estandar.php http://sentidoweb.com/2007/05/07/xss-mediante-html-no-estandar.php#comments Mon, 07 May 2007 17:00:00 +0000 displaynone http://sentidoweb.com/2007/05/07/xss-mediante-html-no-estandar.php Cuando se quieren evitar ataques XSS, normalmente en PHP se usan las funciones htmlspecialchars o htmlentities.

Ahora veo un ejemplo en el que un ataque puede evitar estas funciones cuando se crea la página con HTML no estándar. Tenemos el típico ejemplo de un texto que se introduce por un formulario y se presenta como un enlace.

$dato = htmlentities($_GET['dato'], ENT_QUOTES);
echo "<a href=pagina.php?dato=$dato>Enlace</a>";

Si os fijáis bien veréis que el enlace está mal formado y no tiene las comillas en el href. Si metieramos como dato de entrada lo siguiente: ” onclick=alert(null)” (sin las comillas), nuestra página sufriría un ataque XSS y mostraría un mensaje alert.

Non-Standard HTML Fuels XSS Attacks

]]> http://sentidoweb.com/2007/05/07/xss-mediante-html-no-estandar.php/feed 0