xss lücke am konkreten Beispiel

DerMalle · 28.02.2007, 19:13

Hi,
ich möchte gerne eine XSS Lücke innerhalb einer Semesterarbeit praktisch erläutern und auch kurz vorstellen. Ich habe mir jetzt folgendes vorgestellt.

Habe mir jetzt einfach ein Formular geschrieben:
<html>
<head>
</head>
<body>
<form action="xss.php" method="get">
<p>Vorname:<br><input name="vorname" type="text"></p>
<input type="submit" value=" Absenden ">
</form>
</body>
</html>

Wenn ich jetzt mittels eines links
<a href="xss.php?vorname=<script>alert('Hallo Welt!');</script>">XSS</a>xss.php

drauf zu greife, möchte ich gerne das halt einfach ein alert fenster erscheint.

Das php Script sieht wie folgt aus
<?php
echo $_GET['vorname'];
?>

Es erfolgt aber keine Ausgabe, sondern die <> werden ausgefiltert mittels %c3

Habt ihr ne Idee wie es funktionieren könnte? Oder ne andere Idee für ein kleines XSS Beispiel?
Ich habe als Browser schon Firefox 1.0, 2.0, IE6,7 sowie Opera360 benutzt. Als Webserver wird Apache eingesetzt ohne irgendwelche Filterfunktionen.

Danke und Gruß
Malte

Ben · 28.02.2007, 19:16

Hi,
willkommen im Forum.

Schau mal hier:
http://forum.developers-guide.net/sh...t=688#post6008

Da findest du ein Beispiel.

[Nachtrag]
Könnte auch ganz interessant sein?
http://en.wikipedia.org/wiki/Cross_site_scripting

Grüße, Ben.

Chr!s · 28.02.2007, 20:05

Aus deinem Code:

html Code:

<form action="xss.php" method="get">

PHP-Code:

  <?php
echo $_GET['vorname'];
?>

Benutze doch mal POST anstatt von GET.

Formulare mit GET werden eh so gut wie nicht verwendet.

Xean · 28.02.2007, 21:51

ööhmm....
ich glaube nicht, dass er wissen will, wie man sich dagegen schützt, sondern wie man so was macht.

Ich hab bisschen ausprobiert, und du hast ein problem:
du musst verhindern dass vor den Anführungsstrichen ( 'Hallo Welt!' ) Schrägstriche gesetzt werden ( \'Hallo Welt!\' )... und ich glaube, dass geht nicht....

was gehen würde:
<a href="xss.php?vorname=<script>$x=5;alert($x);</script>">XSS</a>
aber ein string geht irgendwie nicht...

Chr!s · 28.02.2007, 22:15

Zitat:

ööhmm....
ich glaube nicht, dass er wissen will, wie man sich dagegen schützt,

Hab ich ihm doch auch nicht angeboten (ich fühle mich mal angesprochen

) ..
In meinem Beispiel wird der XSS-"Angriff" ausgeführt, wenn er anstatt von GET, POST benutzt.

Xean · 28.02.2007, 23:29

Ich meinte dich eher weniger, aber wenn DerMalle es über POST macht, dann funktioniert das mit dem Link nicht mehr, zwar noch via der Form aber mit GET gehts auch per Link

28.02.2007, 19:13	Nach oben #1
DerMalle Neuer Benutzer Registriert seit: 28.02.2007 Beiträge: 1	xss lücke am konkreten Beispiel Hi, ich möchte gerne eine XSS Lücke innerhalb einer Semesterarbeit praktisch erläutern und auch kurz vorstellen. Ich habe mir jetzt folgendes vorgestellt. Habe mir jetzt einfach ein Formular geschrieben: <html> <head> </head> <body> <form action="xss.php" method="get"> <p>Vorname:<br><input name="vorname" type="text"></p> <input type="submit" value=" Absenden "> </form> </body> </html> Wenn ich jetzt mittels eines links <a href="xss.php?vorname=<script>alert('Hallo Welt!');</script>">XSS</a>xss.php drauf zu greife, möchte ich gerne das halt einfach ein alert fenster erscheint. Das php Script sieht wie folgt aus <?php echo $_GET['vorname']; ?> Es erfolgt aber keine Ausgabe, sondern die <> werden ausgefiltert mittels %c3 Habt ihr ne Idee wie es funktionieren könnte? Oder ne andere Idee für ein kleines XSS Beispiel? Ich habe als Browser schon Firefox 1.0, 2.0, IE6,7 sowie Opera360 benutzt. Als Webserver wird Apache eingesetzt ohne irgendwelche Filterfunktionen. Danke und Gruß Malte

28.02.2007, 19:16	Nach oben #2
Ben Benjamin Klaile Registriert seit: 02.12.2004 Ort: Remagen Beiträge: 4.481	Hi, willkommen im Forum. Schau mal hier: http://forum.developers-guide.net/sh...t=688#post6008 Da findest du ein Beispiel. [Nachtrag] Könnte auch ganz interessant sein? http://en.wikipedia.org/wiki/Cross_site_scripting Grüße, Ben. __________________ Mehr TuS Koblenz geht nicht ... - TuS Koblenz Forum Aktuell ... Kaiserslautern kommt in die Festung Oberwerth U14 erreicht Sieg im Testspiel gegen SF Troisdorf Testspiel gegen SV Wehen-Wiesbaden in Nassau E-Jugend Blitzturnier auf dem Oberwerth SV Ried gegen SK Rapid Wien

28.02.2007, 20:05	Nach oben #3
Chr!s Christian Mühlroth Registriert seit: 04.09.2005 Ort: Nürnberg Beiträge: 561	Aus deinem Code: html Code: <form action="xss.php" method="get"> PHP-Code: `<?php echo $_GET['vorname']; ?>` Benutze doch mal POST anstatt von GET. Formulare mit GET werden eh so gut wie nicht verwendet. __________________ http://www.ChrisDiary.De

Themen-Optionen	Thema durchsuchen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen	Thema durchsuchen: Erweiterte Suche

Ähnliche Themen
Thema	Autor	Forum	Antworten	Letzter Beitrag
Beispiel OOP und VisualBasic	mano	Sonstige Programmiersprachen	5	31.10.2006 18:35
[PHP] PDF erstellen - ganz einfaches, schlichtes Beispiel	Jann Hendrik	Tutorials	4	24.11.2005 12:44
GESUCHT:simples beispiel zum thema resultset, tablemodel => in einer JTable ausgeben!	bamboocha	Desktop-Applikationen und Grafik	2	06.06.2005 21:34

28.02.2007, 21:51	Nach oben #4
Xean Oliver O. Registriert seit: 17.08.2005 Beiträge: 426	ööhmm.... ich glaube nicht, dass er wissen will, wie man sich dagegen schützt, sondern wie man so was macht. Ich hab bisschen ausprobiert, und du hast ein problem: du musst verhindern dass vor den Anführungsstrichen ( 'Hallo Welt!' ) Schrägstriche gesetzt werden ( \'Hallo Welt!\' )... und ich glaube, dass geht nicht.... was gehen würde: <a href="xss.php?vorname=<script>$x=5;alert($x);</script>">XSS</a> aber ein string geht irgendwie nicht...

28.02.2007, 23:29	Nach oben #6
Xean Oliver O. Registriert seit: 17.08.2005 Beiträge: 426	Ich meinte dich eher weniger, aber wenn DerMalle es über POST macht, dann funktioniert das mit dem Link nicht mehr, zwar noch via der Form aber mit GET gehts auch per Link

Aktive Benutzer in diesem Thema: 1 (Registrierte Benutzer: 0, Gäste: 1)