XSS in BBCodes verhindern

[IchVerabschiedeMich]

Hey Leute,

ich bin aktuell ein wenig am verzweifeln, es geht um eine XSS in BBCodes.

Und zwar hat einer meiner User mich auf folgende Lücke hingewiesen:


Zum parsen der Codes nutze ich folgendes:


Ich habe nun echt einige Lösungen gefunden, aber die beruhen meist darauf Befehle einfach vorher raus zu filtern (Wo ich das Problem sehe das ich wohl kaum alle raus filtern kann) oder einfach folgende Zeichen raus filter:

" ' < >

Das Problem ist, bei folgendem Code sind diese Zeichen gar nicht erst vorhanden:

[URL="javascript:alert(document.cookie);"]javascript:alert(document.cookie);[/URL]

Meine allgemein Idee wäre, irgendwie dem Browser zu sagen das ab dieser stelle kein Javascript geparsed werden soll, jedoch wüsste ich nicht das es so eine Möglichkeit gibt, und wenn, wie weit ist das ganze abwärts kompatibel?

Mir ist auch aufgefallen das bei epvp das bspw. ebenfalls einfach nicht ausgeführt wird:


Ich hoffe ihr könnte mir irgendwie weiter helfen.

Gruß,
Padrio (<(`-´)>)

[xEncounter]

Originally Posted by <(`-´)>

Hey Leute,

ich bin aktuell ein wenig am verzweifeln, es geht um eine XSS in BBCodes.

Und zwar hat einer meiner User mich auf folgende Lücke hingewiesen:


Zum parsen der Codes nutze ich folgendes:


Ich habe nun echt einige Lösungen gefunden, aber die beruhen meist darauf Befehle einfach vorher raus zu filtern (Wo ich das Problem sehe das ich wohl kaum alle raus filtern kann) oder einfach folgende Zeichen raus filter:


Das Problem ist, bei folgendem Code sind diese Zeichen gar nicht erst vorhanden:

[URL="javascript:alert(document.cookie);"]javascript:alert(document.cookie);[/URL]

Meine allgemein Idee wäre, irgendwie dem Browser zu sagen das ab dieser stelle kein Javascript geparsed werden soll, jedoch wüsste ich nicht das es so eine Möglichkeit gibt, und wenn, wie weit ist das ganze abwärts kompatibel?

Mir ist auch aufgefallen das bei epvp das bspw. ebenfalls einfach nicht ausgeführt wird:


Ich hoffe ihr könnte mir irgendwie weiter helfen.

Gruß,
Padrio (<(`-´)>)

Das du dir die Cookies nicht anzeigen lassen kannst, ist ein Schutz vor Javascript. Durch den Cookie paramater httponly.

PHP Code:


$secure = true;
    // Damit wird verhindert, dass JavaScript auf die session id zugreifen kann.
    $httponly = true;
    // Zwingt die Sessions nur Cookies zu benutzen.
    if (ini_set('session.use_only_cookies', 1) === FALSE) {
echo 'Nope unsicher, stirb.';
        exit();
    }
    // Holt Cookie-Parameter.
    $cookieParams = session_get_cookie_params();
    session_set_cookie_params($cookieParams["lifetime"],
        $cookieParams["path"], 
        $cookieParams["domain"], 
        $secure,
        $httponly); 


[IchVerabschiedeMich]

Ich nutze Laravel als Famework, und werde grade ehrlich gesagt aus deinem Code nicht sehr viel schlauer.
Es geht nicht explizit um Cookies, sondern das ich im allgemeinen Cross-Site Scripting verhindern will.

[xEncounter]

Originally Posted by <(`-´)>

Ich nutze Laravel als Famework, und werde grade ehrlich gesagt aus deinem Code nicht sehr viel schlauer.
Es geht nicht explizit um Cookies, sondern das ich im allgemeinen Cross-Site Scripting verhindern will.

Das trägt zum XSS SchutzBei. Im Falle, dass es dem Angreifer gelingt ist deine Session ID sicher.

Benutze bei jeder Benutzereingabe einen .

Gib den Input am besten immer mit htmlspecialchars() oder noch extremer htmlentities() aus, dann werden alle Zeichen escaped.

[IchVerabschiedeMich]

Liest du eigentlich überhaupt was ich schreibe?

Originally Posted by xEncounter

Das trägt zum XSS SchutzBei. Im Falle, dass es dem Angreifer gelingt ist deine Session ID sicher.

Gerne, schau ich mal wie genau man das jetzt in Laravel implementieren kann.

Originally Posted by xEncounter

Benutze bei jeder Benutzereingabe einen .

Mach ich bei Laravel über die Rules - keine Sorge; Ich bin nicht komplett bescheuert was das ganze Thema angeht.

Originally Posted by xEncounter

Gib den Input am besten immer mit htmlspecialchars() oder noch extremer htmlentities() aus, dann werden alle Zeichen escaped.

Escaped trotzdem nicht den obigen Code.

[Asuna.]

Also ich sehe bei

[URL="javascript:alert(document.cookie);"]javascript:alert(document.cookie);[/URL]

schon 2x das "

[KoKsPfLaNzE]

du koenntest den bbcode parser nutzen, der faengt das meines wissens alles ab.



zf2 module

[xEncounter]

Originally Posted by Asuna.

Also ich sehe bei

[URL="javascript:alert(document.cookie);"]javascript:alert(document.cookie);[/URL]

schon 2x das "

Ich denke das liegt daran wie der den BBCode liest, wenn htmlspecialchars nicht escaped...

Folgende Umwandlungen werden vorgenommen:

'&' (Ampersand/kaufmännisches Und) wird zu '&'.
'"' (doppeltes Anführungszeichen) wird zu '"', wenn ENT_NOQUOTES nicht gesetzt ist.
"'" (einfaches Anführungszeichen) wird nur zu '&#039;', wenn ENT_QUOTES gesetzt ist.
'<' (kleiner als) wird zu '<'
'>' (größer als) wird zu '>'

Anders kann ich mir das nicht erklären.

[IchVerabschiedeMich]

Originally Posted by KoKsPfLaNzE

du koenntest den bbcode parser nutzen, der faengt das meines wissens alles ab.



zf2 module

Was auch immer mir das zf2 module bringen soll
Ich erstell daraus demnächst ein Laravel Package und schau dann weiter obs funktioniert, danke schonmal
Hast ja anscheinend schonmal das ganze für Composer ported, danke dafür, werde ich als Grundlage nutzen.

[KoKsPfLaNzE]

das zf2 module sollte als bsp dienen, wusste net ob das bei laravel irgendwie verwenden kannst.