Comments on: Vulnerabilidade XSS no jogo System Empires http://joaopedropereira.com/blog/2009/05/01/vulnerabilidade-xss-system-empires/ Um novo estilo de desenvolvimento Tue, 18 Oct 2011 14:43:32 +0000 hourly 1 http://wordpress.org/?v= By: David Ferreira http://joaopedropereira.com/blog/2009/05/01/vulnerabilidade-xss-system-empires/comment-page-1/#comment-1284 David Ferreira Sun, 03 May 2009 13:18:01 +0000 http://joaopedropereira.com/blog/?p=306#comment-1284 <blockquote cite="comment-1281"><strong><a href="#comment-1281" rel="nofollow">Sérgio Dinis Lopes</a></strong>: Hey! Não seria mais adequado usar o strip_tags? Sérgio</blockquote> Não porque assim não deixava haver usernames como "<search and="destroy" />" :)

Sérgio Dinis Lopes: Hey! Não seria mais adequado usar o strip_tags? Sérgio

Não porque assim não deixava haver usernames como “<search and=”destroy” />” :)

]]> By: João Pedro Pereira http://joaopedropereira.com/blog/2009/05/01/vulnerabilidade-xss-system-empires/comment-page-1/#comment-1282 João Pedro Pereira Sat, 02 May 2009 09:26:16 +0000 http://joaopedropereira.com/blog/?p=306#comment-1282 <blockquote cite="comment-1281"><strong><a href="#comment-1281" rel="nofollow">Sérgio Dinis Lopes</a></strong>: <p>Hey! Não seria mais adequado usar o strip_tags? <img class="wp-smiley" src="../../../../wp-includes/images/smilies/icon_smile.gif" alt=":)" /></p> <p>Sérgio</p> <p> </p> </blockquote> <p>Ambas funcionam neste caso, enquanto que o ouput utilizando a função htmlspecialchars do url http://civ.sysemp.com/players.php?u=470&n=<script>alert(”XSS?”);</script>&pop</p> <p>será isto:</p> <img src="http://joaopedropereira.com/blog/wp-content/uploads/2009/05/se-civ_1241256011924.png" alt="SystemEmpires htmlspecialchars" /> <p>caso tivesse sido corrigido com a função strip_tags (que por sinal tem uma vulnerabilidade que permite fazer bypass nas versões 4.x.x do PHP) ficaria algo como isto: </p> <img src="http://joaopedropereira.com/blog/wp-content/uploads/2009/05/se-civ_1241256289361.png" alt="SystemEmpires strip_tags" />

Sérgio Dinis Lopes:

Hey!
Não seria mais adequado usar o strip_tags? :)

Sérgio

 

Ambas funcionam neste caso, enquanto que o ouput utilizando a função htmlspecialchars do url http://civ.sysemp.com/players.php?u=470&n=<script>alert(”XSS?”);</script>&pop

será isto:

SystemEmpires htmlspecialchars

caso tivesse sido corrigido com a função strip_tags (que por sinal tem uma vulnerabilidade que permite fazer bypass nas versões 4.x.x do PHP) ficaria algo como isto:

SystemEmpires strip_tags

]]> By: Sérgio Dinis Lopes http://joaopedropereira.com/blog/2009/05/01/vulnerabilidade-xss-system-empires/comment-page-1/#comment-1281 Sérgio Dinis Lopes Sat, 02 May 2009 08:55:16 +0000 http://joaopedropereira.com/blog/?p=306#comment-1281 <blockquote cite="comment-1270"><strong><a href="#comment-1270" rel="nofollow">Bruno Monteiro</a></strong>: Uma vez que a string passada como argumento (por GET) só tem o objectivo de ser impressa e não existir interpretação então basta aplicar a função htmlspecialchars disponível no php. </blockquote> Hey! Não seria mais adequado usar o strip_tags? :) Sérgio

Bruno Monteiro: Uma vez que a string passada como argumento (por GET) só tem o objectivo de ser impressa e não existir interpretação então basta aplicar a função htmlspecialchars disponível no php.

Hey!
Não seria mais adequado usar o strip_tags? :)

Sérgio

]]> By: João Pedro Pereira http://joaopedropereira.com/blog/2009/05/01/vulnerabilidade-xss-system-empires/comment-page-1/#comment-1271 João Pedro Pereira Fri, 01 May 2009 21:36:36 +0000 http://joaopedropereira.com/blog/?p=306#comment-1271 Simples e eficaz, boa abordagem e bom tempo de resposta. Para quem não sabe Bruno Monteiro é o administrador e developer do jogo. Simples e eficaz, boa abordagem e bom tempo de resposta.

Para quem não sabe Bruno Monteiro é o administrador e developer do jogo.

]]> By: Bruno Monteiro http://joaopedropereira.com/blog/2009/05/01/vulnerabilidade-xss-system-empires/comment-page-1/#comment-1270 Bruno Monteiro Fri, 01 May 2009 21:34:01 +0000 http://joaopedropereira.com/blog/?p=306#comment-1270 Uma vez que a string passada como argumento (por GET) só tem o objectivo de ser impressa e não existir interpretação então basta aplicar a função htmlspecialchars disponível no php. ;) Uma vez que a string passada como argumento (por GET) só tem o objectivo de ser impressa e não existir interpretação então basta aplicar a função htmlspecialchars disponível no php. ;)

]]>