[bob]

Hallo, und zwar schaut euch mal den URL an:

http://tradestore.bakirnet.de/index.php?id=<img src="test" alt="Gefährdung?" width="10000" height="11000">

So. Das möchte ich natürlich nicht haben, weil jetz wird ein Bild angezeigt, welches gar nicht existiert, wie kann ich verhindern das so etwas möglich ist, so einen "code" an den url zu hängen, ich benutze bislang den Code hier:

PHP-Code:

 if(!is_numeric($_GET['id']))

      {
  echo '<b>Artikel ID nicht gültig.</b>';
  echo '</div>';
  echo '</body>';
  echo '</html>';
            exit;
      } 


Nun bekomme ich zwar die ausgabe das die Arikel ID nicht gültig ist, aber das bild wird dennoch angezeigt?

Danke für ein Paar infos.

PS: Ja ich habe das Tutorial gesehen "Sichere php webapplikationen schreiben" aber ich glaube da ist nicht das richtige bei oder?

Gruss,
bob

[Lars]

Cross Site Scripting (XSS) nennt man sowas.
Mach einfach

PHP-Code:

$url = '<>""/\:';
$url = rawurlencode($url);

echo '<a href="index.php?url='.$url.'">klick</a>'; 


http://php.net/rawurlencode

[robo47]

ja irgendwo musst du ja dann ein echo $_GET['id'] oder ähnliches haben, ausserdem is_numeric lässt auch komma-zahlen zu, ctype_digit() ist hier besser, setzt zwar vorraus dass ctype instlaliert ist, aber das ist eigentlich standard.

mfg
robo47

[bob]

Alels klar, danke !

rawurlencode
das habe ich gesucht

Gruss,
bob

[bob]

So da bin ich auch schon wiede ...
und zwar der Code hier

$url = '<>""/\:';
$url = rawurlencode($url);

echo '<a href="index.php?url='.$url.'">klick</a>'

klappt nicht .. tolle Fehlerbeschreibung .. Ich bekomme dann immer eine meldung "Artikel ID nicht gültig" ... es handelt sich bei mir ja nicht um einen link sondern wenn man an den url hier
http://tradestore.bakirnet.de/index.php?id=16
die Zahl (16) weggmacht, kann man jeden x beliebiegen html code einfügen.

Was mache ich denn hier falsch? :rolleyes:

[bob]

Hier nochmal zur veranschaulichung:

PHP-Code:

if(isset($_GET['id']))
    {
        
      
        
        if(!ctype_digit($_GET['id']))

      {
  echo '<b>Artikel ID nicht gültig.</b>';
  echo '</div>';
  echo '</body>';
  echo '</html>';
            exit;
      }
   
   

  else
{
//artikeldaten ausgeben ....
} 


[Corvin]

Du scheinst weiterhin die Artikel-ID (bzw. das was hinter id= steht) auszugeben.. das musst du natürlich noch in die if-Abfrage mit einbauen.

[bob]

Du scheinst weiterhin die Artikel-ID (bzw. das was hinter id= steht) auszugeben.. das musst du natürlich noch in die if-Abfrage mit einbauen.

PHP-Code:

if(isset($_GET['id']))
    {
        
      
        
        if(!ctype_digit($_GET['id']))

      {
      
  
      $url = '<>""/\:';
      $url = rawurlencode($url);

  echo '<b>Artikel ID nicht gültig.</b>';
  echo '</div>';
  echo '</body>';
  echo '</html>';
            exit;
      } 


Meinst du das so? - Also hier genau das Gleiche ... maaaaaaan ich wette das ist wieder nur ein sowas von kleiner Fehl


Gruss,
bob

[Lars]

Was soll denn bitte dieser Code bewirken?

Ich denke das hier ist eher dein Geschmack.

PHP-Code:

$artikelID = array_key_exists('id', $_GET) ? (int)$_GET['id'] : 0;

if ( $articleID > 0 )
{
    // [...]
}
else
{
    // [...]
} 


[Matthias959]

Poste einfach mal ein bisschen mehr Code von der Seite.
Irgendwo musst du per echo() oder print() $_GET['id'] ausgeben, weil nur weil etwas ab der URL angehängt ist wird es ja noch lange nicht angezeigt.

[bob]

Sooooooo ich habs geschafft, und zwar hatte ich das hier ausgegeben

echo 'Detailansicht Artikelnr.: ' . htmlentities($_GET['id']);

also die Zeile wo man sieht wo man grade ist ... jetzt klappt es.
Man das ich das auch übersehen habe ....


Danke nochmals!
bob