ثغرة نتيجة استخدام HTML في المشاركات

[rafia]

السلام عليكم ورحمة لله

خاصية HTML: غير متاح

كثيرا ما نجد اغلاق هذه الخاصية
لوجود ثغرة او اكثر نتيجة إتاحة HTML في المشاركات

الثغرة المشهورة
كود جافا يضاف في المشاركة يقوم بسرقة الكوكيز
بتاكيد هناك اوامر لايعمل الكود الى بها اذا يوجد حل

وارغب في حل هذه المشكلة
فهل يتكرم احد ويرسل الكود لي من هنا
http://www.rafiaphp.com/mail.php?action=sendtome
واتعهد بعدم استخدامة او توزيعه
وانشر الحل

ايضا هل يوجد مشاكل اخرى تترتب على تفعيل HTML ?

[عبد الرحمن]

عزيزي الأخ رفيع :

بخصوص هذه الثغرة ، فإنها ليست خاصة بـ HTML ، بل أيضا في السماح بإدراج الصور، والفلاش

فمثلا يوضع هذا الأمر مع إدراج الصورة

[img]http://www.toarab.ws/images/myname.gif<script>getcookie</script>

وهلم جرا

ولكي تقضي على هذه المشكلة أنت بين أمرين :

الأمر الأول : استعراض المشاركات المسموح فيها بكتابة وسوم HTML

الأمر الثاني :

التحقق من خلو الصور أو النص من الجافا سكربت

ويمكنك ذلك عن طريق الدالة

if (preg_match( "/javascript(\:|\s)/i", $txt)) {

return false;

} 

[rafia]

مرحبا اخي العزيز الاستاذ عبد الرحمن

شكرا على المعلومة الجديدة المتعلقة بصور والفلاش

اما بخصوص الدالة امضافة
if (preg_match( "/javascript(:|s)/i", $txt))
لا تنطبق على
المثال
[img]http://www.toarab.ws/images/myname.gif<script>getcookie</script>

اما الحل
عند السماح بستخدام html يجب تنظيف المشاركة من اي وسوم javascript
او script

و تمرير مابين كود الصور او الفلاش على الدالة strip_tags
عند السماح بهما ايضا
هل هذا يكفي ؟

[Fuga]

http://www.securityfocus.com/archive...1/2002-02-06/0

[مراقب1]

المثال المرفق اجتهاد ارجو ان يكون ما ترمي اليه

$text = "[img]http://www.toarab.ws/images/myname.gif<script>getcookie</script>";

$searcharray = array(
          "/javascript:/si",
           "/<script>/si"
        );

 $replacearray = array(
          "java script:",
          "script :"
        );

$text=preg_replace($searcharray, $replacearray, $text); 

[Zizwar]

السلام عليكم
غير من إلى

"<script" to "< script"
"</script" to "< /script" 

أو

"<script" to "<!--<script"
"</script>" to "</script>-->" 

و الله أعلم

[عبد الرحمن]

المثال الذي ذكره مراقب1 يفي بالغرض إن شاء الله

وأما بخصوص الدالة فضعها داخل دالة تحويل الصورة

أولا : تأخذ الرابط بين الوسمين [/img] [img]

ثانيا : تتحقق من هذا الرابط هل يبدأ بـ http أو لا؟

ثالثا : تتحقق من الرابط هل يحتوي على أمر script أو لا؟

مع العلم أنك لو أدرجت صورة من موقع javascript فلن تعمل لأنه الرابط سيحتوي على لفظة script

لكن أمن موقعك أهم من إدراج صورة من هذا الموقع.

والطريقة التي أوردها Zizwar نافعة؛ بحيث تعطل عمل الدالة

[Lamyaa]

وكيف يمكن تطيق ذلك في حيز المنتدى ؟!

[مسالم2002]

السلام عليكم

أظن ان افضل واسهل طريقة هي الغاء وسوم <> من رموز الصور
[img] ....
فهنا مهما كان احتواء عنوان الصورة على اسماء مثل javascript سوف لن ياثر على عمل رمز الصورة مثال
name.com/javascript/img.gif
وكما تلاحظ في عنوان الصورة مجلد باسم javascript ونحن لا نرغب في حذفه بما انه يعتبر من عنوان الصورة نفسها .....

وانا مش مبرمج PHP ولو اعرف كيف الطريقة بالـPHP لوضعته ... ولكن لمن يرغب في معرفت طريقة الغاء وسوم <> من رموز الصور بالبيرل فهذه هي الطريقة

$text = "[img]http://www.name.com/javascript/img.gif<script>getcookie</script>";
$text =~ s/<[^>]*>//gi;

وشكرا

[Al Mobarmeg المبرمج]

<?
$txt = 'blablabla<i>bla</i><script>xx</script><img src="javascript:xx">';

MOBARMEG_MakeItCool(&$txt);
function MOBARMEG_MakeItCool($txt)
{
 $txt = str_replace('javascript', 'java&nbsp;script', $txt);
 $txt = str_replace('java script', 'java&nbsp;script', $txt);
 $txt = strip_tags($txt, '<a><b><i><u><img><dev><p>');
 return $txt;
}

echo $txt;
?>

[مسالم2002]

السلام عليكم

رد مقتبس من Al Mobarmeg المبرمج

<?
$txt = 'blablabla<i>bla</i><script>xx</script><img src="javascript:xx">';

MOBARMEG_MakeItCool(&$txt);
function MOBARMEG_MakeItCool($txt)
{
 $txt = str_replace('javascript', 'java&nbsp;script', $txt);
 $txt = str_replace('java script', 'java&nbsp;script', $txt);
 $txt = strip_tags($txt, '<a><b><i><u><img><dev><p>');
 return $txt;
}

echo $txt;
?>

اخي المبرمج الدالة لا يزال بها عيب وهو ان عنوان الصورة لو كان يحتوي على كلمة script او javascript فانه سيضع فراغ بينهم ولن تظهر الصورة
أظن ان بالاصح ان تكون بهذا الشكل

<?
$txt = 'javascript/blablabla<i>bla</i><script>xx</script><img src="java script:xx">';

MOBARMEG_MakeItCool(&$txt);
function MOBARMEG_MakeItCool($txt)
{
 $txt = str_replace('<', '', $txt);
 $txt = str_replace('>', '', $txt);
 $txt = strip_tags($txt, '<a><b><i><u>&lt;img><dev><p>');
 return $txt;
}

echo $txt;
?>

الغرض هو تعطيل وضيفة كودات الجافا من اداء وضيفتها .... دون ان نضطر لحظر بعض الاسماء ....

وهذا نفس الدالة لمن يرغب بالبيرل :shy:

#!/usr/bin/perl


$txt = 'javascript/blablabla<i>bla</i><script>xx</script><img src="java script:xx">';

$txt = MOBARMEG_MakeItCool($txt);

sub MOBARMEG_MakeItCool {
my $text = shift;
$text =~ s/<[^>]*>//gi;
return $text;
}

print "Content-type: text/html\n\n";
print "<html><h1>$txt</h1></html>\n";

وشكرا

[Al Mobarmeg المبرمج]

أخي مسالم2002 ..

لو قمنا بـ

<?
 $txt = str_replace('<', '', $txt);
 $txt = str_replace('>', '', $txt);
?>

فما فائدة:

<?
 $txt = strip_tags($txt, '<a><b><i><u>&a
mp;lt;img><dev><p>');
?>

نستطيع أن نزيل كل ال tags بـ
strip_tags()

كـ

<?
$txt = strip_tags($txt);
?>

ولكن قصدي كان السماح ببعض الtags

[مسالم2002]

السلام عليكم

معليش اخوي المبرمج ....
تراني اساسا مش فاهم الكود ولا كنت فاهم قصدك انه كذي وجوابي كان تخمين ....
والتمس منك العذر على ذلك ...

ولكن عزيزي على مافهمت من الاخوان انهم يتحدثون عن تمرير كودات الجافا في رموز الصور ... وطبيعي ان اي صورة لن تحتوي على tags وإلا فمعناه انه هناك كودات يتم تمريرها مع عنوان الصورة

أي انه لا داعي بالاساس من وضع tags في رموز الصور ...
وفي نظري افضل طريقة لحل لذلك هو التخلص من وسوم <> حتى يتم تعطيل الامر ...
وهذا كله في حال وجودها اما لو لم تحتوي على هذه الوسوم فلما يتم حظر بعض الكلمات التي قد تحتوي على عنوان الصورة مثل الدالة التي وضعتها ....

واسف على فهم الموضوع بالغلط
واعدل الدالة التي وضعتها في السابق بحيث فقط تعطل وسوم التي حتوي على امور جافا ... وعدى ذلك فانه لن يتم تعطيله ...

sub MOBARMEG_MakeItCool {
my $text = shift;
$text =~ s/<\s*\/?(script|javascript|java|\n)[^>]*>//gi;
return $text;
}

وشكرا

[random_X]

موضوع رائع ..

شكراً لإسهاماتكم

[Zizwar]

لكن أعتقد أنه متزال بعض الأكواد يلزم لها تغيير ك:

onmousemove
onclick 
ondblclick
onmouseover
onmouseout
onmousedown
onmouseup
onblur
onfocus
..