XSS und so weiter und sofort (gelöst) (Sonstige Beiträge (auch Spaß und Sinnloses))

[thread]15118[/thread]

XSS und so weiter und sofort [gelöst]

Leser: 21

Articles: hide open all | hide show old branches

+22 replies
GwenDragon

2010-06-08 18:55

User since
2005-01-17
14590 Artikel
Admin1

Wie man ganz bewusst Hinweise bezüglich XSS seit Wochen ignoriert, zeigt folgende Webseite oder dieses.

Ich weiß, dass sowas nicht fair ist, aber wer ein Programmier- und Web-log betreibt, sollte doch doch darum kümmern.
die Drachin Gwen
- +19 replies
- pq
  
  2010-06-08 19:10
  
  User since
  2003-08-04
  12208 Artikel
  Admin1
  
  sieht mir aus, als sollte da eine funktion htmlentities() im backend-template ausgeführt werden, aber sie wird es nicht und landet (mitsamt dem unescapten string) im fertigen html...
  wasn das fürn system? sieht aus wie wordpress, oder?
  Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
  lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
  - +18 replies
  - GwenDragon
    
    2010-06-08 19:13
    
    User since
    2005-01-17
    14590 Artikel
    Admin1
    
    Ja, WordPress ist das.
    
    Wieso aber keiner der Herren das abstellt, ist mir ein Rätsel.
    die Drachin Gwen
    - +17 replies
    - esskar
      
      2010-06-09 10:26
      
      User since
      2003-08-04
      7321 Artikel
      ModeratorIn
      
      exploits waren nicht praxis nah genug ;)
      - +16 replies
      - GwenDragon
        
        2010-06-09 10:30
        
        User since
        2005-01-17
        14590 Artikel
        Admin1
        
        Lol.
        Wenn sich einer von euch schon Webworker nennt, sollte er solche Probleme doch kennen.
        Der hat doch in der Vorstellung von Wir eine Geek-Brille auf. ;)
        
        Oder wartet ihr erst bis die Tester des CCC einen neuen Kongress haben und ein bisschen Defacement betreiben?
        Last edited: 2010-06-09 10:32:22 +0200 (CEST)
        die Drachin Gwen
        
        +15 replies
        
        esskar
        
        2010-06-09 10:35
        
        User since
        2003-08-04
        7321 Artikel
        ModeratorIn
        
        naja, die frage ist doch, was mich an einer suchergebnisseitenexploit stören sollte.
        klar, es geht ums prinzip.
        
        CCC? hmm. besseres marketing gibts doch nicht.
        
        +14 replies
        
        GwenDragon
        
        2010-06-09 14:30
        
        User since
        2005-01-17
        14590 Artikel
        Admin1
        
        Stimmt, was stört sowas. Kann ja nix passieren - und wenn, ist ja nur ein Popel-Dopel-Programmierer-Blog :P
        Zeigt halt nur, dass da jemand von den Wordpress-Plugin-Entwicklern nicht aufgepasst hat.
        
        Ich dachte, dass sich die Herren über den Tipp freuen. Das nächste Mal ignoriere ich sowas entdecktes einfach. Kein Problem.
        die Drachin Gwen
        
        +4 replies
        
        esskar
        
        2010-06-09 16:21
        
        User since
        2003-08-04
        7321 Artikel
        ModeratorIn
        
        das frauen immer so schnell zum drachen werden! ;-)
        
        +3 replies
        
        GwenDragon
        
        2010-06-09 16:29
        
        User since
        2005-01-17
        14590 Artikel
        Admin1
        
        Kein Problem, das nächste Mal lasse ich gleich einen Fuzzer auf euch los, der das Blog zerbeißt. ;)
        
        Die Frauen, die du kennst, sind wohl nur Barbies :P
        die Drachin Gwen
        
        +2 replies
        
        esskar
        
        2010-06-09 16:44
        
        User since
        2003-08-04
        7321 Artikel
        ModeratorIn
        
        nicht am anfang.
        ich bieg mir sie zurecht, dann lass ich sie fallen. ;-)
        
        GwenDragon
        
        2010-06-09 16:48
        
        User since
        2005-01-17
        14590 Artikel
        Admin1
        
        Ich mag nur australische Barbies, die schmecken wenigstens.
        die Drachin Gwen
        
        +9 replies
        
        esskar
        
        2010-06-09 23:26
        
        User since
        2003-08-04
        7321 Artikel
        ModeratorIn
        
        nein, bin ja schon dankbar. auch fuer die hartnaegigkeit. dachte es sei gefixt ohne es zu testen
        
        +8 replies
        
        GwenDragon
        
        2010-06-10 08:38
        
        User since
        2005-01-17
        14590 Artikel
        Admin1
        
        Dann hoffe ich mal, diese Lücke ist die einzige in eurem Blog.
        Bei Fremdsoftware und -Plugins (oder wie die Module bei WP gerade heißen) muss man doch mal selbst testen oder den Quellcode durchsehen. Das Risiko, dass jemand da zu wenig getestet oder schludrig programmiert hat, gibt es immer mal.
        die Drachin Gwen
        
        +7 replies
        
        pq
        
        2010-06-10 15:06
        
        User since
        2003-08-04
        12208 Artikel
        Admin1
        
        tja, die lösung, die solche fehler vermeiden würde, heisst default-escape.
        stattdessen muss man in vielen templatesystemen immer noch von hand einen umständlichen funktionsaufruf um jeden template-parameter machen.
        die leute predigen modernes perl, und gleichzeitig wird z.b. bei webentwicklung default-escape hartnäckig ignoriert. ob es in TT möglich ist, habe ich bis heute nicht richtig in erfahrung bringen können, und selbst wenn, wird es nicht gefördert.
        Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
        lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
        
        renee
        
        2010-06-10 15:19
        
        User since
        2003-08-04
        14371 Artikel
        ModeratorIn
        
        Ja, ich liebe die default_escape-Funktionalität in HTML::Template::Compiled!
        OTRS-Erweiterungen (http://feature-addons.de/)
        Frankfurt Perlmongers (http://frankfurt.pm/)
        --
        
        Unterlagen OTRS-Workshop 2012: http://otrs.perl-services.de/workshop.html
        Perl-Entwicklung: http://perl-services.de/
        
        GwenDragon
        
        2010-06-10 15:23
        
        User since
        2005-01-17
        14590 Artikel
        Admin1
        
        2010-06-10T13:06:03 pq
        gleichzeitig wird z.b. bei webentwicklung default-escape hartnäckig ignoriert. ob es in TT möglich ist, habe ich bis heute nicht richtig in erfahrung bringen können, und selbst wenn, wird es nicht gefördert.
        Ja, Mason hat es auch nicht explizit an.
        In Sachen Sicherheitsbewusstsein bei Perl+Webanwendung wird da genauso locker-schludrig gedacht wie bei PHP auch.
        die Drachin Gwen
        
        +3 replies
        
        Gast ҉
        
        2010-06-10 16:32
        
        Das ist eine Designentscheidung. TT taugt nicht nur für HTML; ein standardmäßig eingeschalteter Filter wäre ungefähr genauso bekloppt wie PHPs addslashes.
        Last edited: 2010-06-10 16:33:52 +0200 (CEST)
        
        +2 replies
        
        pq
        
        2010-06-10 16:43
        
        User since
        2003-08-04
        12208 Artikel
        Admin1
        
        du kennst default_escape nicht, oder?
        man schaltet es in den optionen ein.
        
        natürlich wär es bekloppt, wenn man das immer eingeschaltet hätte.
        bitte erstmal informieren, bevor du drüber meckerst =)
        HTML::Template
        
        Code (perl): (dl )
        
        1 2 3 4
        
        my $template = HTML::Template->new( ... default_escape => "HTML", );
        
        und jetzt sag mir, warum TT sowas nicht auch machen sollte bzw. falls es so etwas einfaches gibt, warum es nicht gefördert wird? designentscheidung? blödsinn. wenn ich templates für nicht-HTML mache, lasse ich die option halt weg.
        
        edit: s/wenn/falls/
        Last edited: 2010-06-10 16:48:58 +0200 (CEST)
        Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
        lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
        
        pq
        
        2010-06-10 16:47
        
        User since
        2003-08-04
        12208 Artikel
        Admin1
        
        und die tatsache, dass TT dafür mit "designentscheidung" gelobt wird, obwohl man offensichtlich überhaupt nicht weiss, was default_escape tut, spricht natürlich auch für sich.
        Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
        lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
        
        pq
        
        2011-01-03 00:54
        
        User since
        2003-08-04
        12208 Artikel
        Admin1
        
        2010-06-10T13:06:03 pq
        und gleichzeitig wird z.b. bei webentwicklung default-escape hartnäckig ignoriert. ob es in TT möglich ist, habe ich bis heute nicht richtig in erfahrung bringen können, und selbst wenn, wird es nicht gefördert.
        
        so, dank Mithaldu haben wir jetzt Template::AutoFilter für TT. damit hat man die gleiche funktionalität wie default_escape; es lässt sich mit dem filter "none" bei einzelnen vars abschalten.
        es muss nur noch so angepasst werden, dass es nur bei vars gefiltert wird; momentan wird der filter auch auf ganze includes angewendet anstatt nur auf die vars darin. hoffe auf ein update von Mithaldu, wenn es soweit ist =)
        Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
        lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
- GwenDragon
  
  2010-06-09 10:22
  
  User since
  2005-01-17
  14590 Artikel
  Admin1
  
  Na, endlich wurde es gefixt. ;)
  die Drachin Gwen
- esskar
  
  2010-06-09 10:24
  
  User since
  2003-08-04
  7321 Artikel
  ModeratorIn
  
  oh, diesen thread hab ich noch gar nicht gelesen. ;-)

View all threads created 2010-06-08 18:55.