Website Volkskrant lek

*** reactie verwijderd ***

@deVolkskrant:

Mocht jullie programmeur echt de eerste beginnerslessen in PHP niet weten hier de oplossing die dergelijke injecties zal weren:

Dit is aannemlijk jullie huidige code. Gewoon ruw zonder enige check alle data via het q=variabel eruit gooien

<input type="text" name="q" value="<?php echo $_REQUEST['q']; ?>">


Verander dit naar:
<input type="text" name="q" value="<?php echo htmlentities($_POST['q']); ?>">

REQUEST -> POST, Zodat alleen data ingevuld via het formulier geaccepteerd word, en niet via de adresbalk. Dit is geen 100% beveiling daar mensen via andere domaiinnamen nog formulieren kunnen verzenden. Zie daarvoor stap 2.

htmlentities(); zet alle niet-alfabetische karaters die toch nog binnenkkomen om in veilige versies van hunzelf. Zo worden een codes als <test> omgezet in &lt;test&gt; welke geen kwaad kunnen.

Ik heb hier op Twitter over gelezen en heb wel een vermoeden wie de tipgever is. Goed dat het is aangekaart en op deze manier publiek wordt.

In dat voorbeeld ging het dus om een extern script wat een berichtje oppopt. Maar dit kan bijvoorbeeld ook het plaatsen van een cookie zijn, of het oppoppen van een download naar een kwaadaardig bestand.

Daar komt bij dat omdat zowel via POST als het GET protocol informatie wordt geaccepteerd ook verborgen fomulieren gemaakt kunnen worden waardoor de URL helemaal clean lijkt en er nog steeds vanalles gaande is.

Een zeek kwalijke zaak die zeer simpel en snel opgelost dient te worden.

--
TeMc

PS: Ik zie dat mijn oorspronkelijke reactie is verwijderd. De reden ervoor kan ik begrijpen. Bericht is inmiddels verzonden naar de redactie/webmaster van deVolkskrant.

--dubbel--

Ik herinner me dat de huidige webwereld site ook kwetsbaar was voor XSS attacks, maar dit kwam tijdens de (besloten) beta test al aan het licht. Had de VK ook moeten doen, beetje crowdsourcen scheelt een hoop. :)

Leuk al die aandacht voor XSS. Maar ik zie nagenoeg nooit pogingen tot echt misbruik langs komen, behalve wanneer het zeer dynamische sites betreft met fora, open profielen etc. Dus hoe schokkend moet je XSS dan werkelijk vinden... Eens, lek is lek. Maar je bankrekening staat ook wagenwijd open voor diefstal zonder dat je er iets tegen kan doen. Dat nemen we ook voor lief omdat we als gemeenschap risico afwegen.

Oh, hemeltje.

Ze hebben mijn mail eindelijk gelezen en htmlentities() toegepast.
Maarja.. daar houd het natuurlijk niet op -_-.

Tsja, nog maar een keer een mailtje dan. PHP voor Beginners Les 2 iemand ?

--
TeMc