CGI Sicherheit: Vermeidung gefährlicher Inhalte - #6177 (Perl/CGI)

Gast Gast

2005-12-16 16:59

[quote=renee,15.12.2005, 22:43]Eine Whitelist, wie esskar schon vorgeschlagen hat. Wenn Du z.B. nur <br> zulassen willst, dann musst Du alle anderen HTML-Tags als "Exclude"-Tags notieren. Dabei uebersieht man vielleicht ein paar Tags. Wenn Du aber eine Whitelist hast, dann brauchst Du nur das <br> aufzuschreiben...[/quote]
Also wenn ich Formatierungs-Tags und eventuell auch noch Tables zulasse, dann wird die whitelist doch sehr umfangreich.
Als blacklist habe ich jetzt:

script
applet
src
inline
embed
system
exex
eval
grep
xterm
xhost
virtual
include

Fällt euch dazu noch was ein?

Edit:
hier nochmal der Code zur Liste

Code: (dl )

1
2

$form{$key} =~ s/(<\s*)($exclude)/<\!\-\-$1x$2/ig;
$form{$key} =~ s/(<\s*\/+)($exclude\s*>)/\$1x$2\-\-\>/ig;

\n\n

Antworten mit Zitat