Считается ли это за уязвимостью и можно ли пронести атаку и взломать сайт?

Question

Mokhirjon Naimov @zvermafia

WebDev

Считается ли это за уязвимостью и можно ли пронести атаку и взломать сайт?

В форме поиска по сайту есть такое поле:

<input type="text" id="input_id" name="val" value="">

Если в эту поле написать что то вроде этого: " placeholder="crack
То это поле после запроса будет выглядеть так:

<input type="text" id="input_id" name="val" value="" placeholder="crack">

Считается ли это за уязвимостью и можно ли пронести атаку и взломать сайт?

Вопрос задан более трёх лет назад
1065 просмотров

3 комментария

Подписаться 3 Оценить 3 комментария

Lynn «Кофеман» @Lynn

Конечно. Попробуйте написать туда "><script>alert(document.cookie)<script>

Написано более трёх лет назад
Mokhirjon Naimov @zvermafia Автор вопроса

Алексей Тен alert() не срабатывает. Попробовал даже с /script> в конце в браузерах Opera 19.0 и Chrome 42.0.2311.135 m, но в console Сhrome были такие строки:

The XSS Auditor refused to execute a script in 'site.com/search?val=%22%3E%3Cscript%3Ealert%28docu...' because its source code was found within the request. The auditor was enabled as the server sent neither an 'X-XSS-Protection' nor 'Content-Security-Policy' header.

Написано более трёх лет назад
Mokhirjon Naimov @zvermafia Автор вопроса

Спасибо! в FireFox'е сработало :) ну хоть что то

Написано более трёх лет назад

Конечно. Попробуйте написать туда "><script>alert(document.cookie)<script>
Алексей Тен alert() не срабатывает. Попробовал даже с /script> в конце в браузерах Opera 19.0 и Chrome 42.0.2311.135 m, но в console Сhrome были такие строки:

The XSS Auditor refused to execute a script in 'site.com/search?val=%22%3E%3Cscript%3Ealert%28docu...' because its source code was found within the request. The auditor was enabled as the server sent neither an 'X-XSS-Protection' nor 'Content-Security-Policy' header.
Спасибо! в FireFox'е сработало :) ну хоть что то

Answer 1 · 2015-05-14 22:48:49

через placeholder cломать сайт не получиться!
а что бы не было XSS то просто фильтруйте переменные хоть по минимуму

strip_tags — убирает html теги.
htmlspecialchars — преобразует спец. символы в html сущности.
Так вы защитите себя от XSS атаки, помимо SQL инъекции.
Если же вам нужны html теги, но только как для вывода исходного кода, то достаточно использовать:

$input_text = htmlspecialchars($_GET['input_text']);
$input_text = mysql_escape_string($input_text);

Считается ли это за уязвимостью и можно ли пронести атаку и взломать сайт?

Войдите на сайт