PST 1 | Quelltext nicht mit Variablen übergeben
PHP-Sicherheits Tutorial Teil 1 | Quelltext nicht mit Variablen übergeben
Hallo zusammen,
sorry, dass ich das Thema ( www.seitenreport.de/forum/beitraege/sicherheitsluecken/hacken_lernen_zum_testen_der_eigenen_seiten/seite/3.html ) zwar angestoßen habe, aber dann solange nix dazu schrieb. Hier nun mein erster Beitrag in dieser Reihe.
Quelltext nicht mit Variablen übergeben
Wenn man in einer PHP-Datei mit bestimmten Bedingungen einen Quelltext ausgeben möchte, dann kann man das auf die unterschiedlichste Weise. Bisher habe ich meist aus Faulheit folgendes Konstrukt angewand:
$anzeige =''; // erste Definition der Variable §anzeige
if ($wert === 1) {
$anzeige='Der Wert stimmt.
';
}
else $anzeige ='';
echo $anzeige;
Da ich nun HTML in der Variable übergebe, kann ich leider auch nicht die Variable gegen einschleusbaren HTML-Code sichern.
Wenn ich aber das selbe ohne HTML in den Variablen schreibe, wäre diese auch sicher prüfbar.
$anzeige =''; // erste Definition der Variable §anzeige
if ($wert === 1) {
$anzeige='Der Wert stimmt.';
}
else $anzeige ='';
if (!empty($anzeige)) {
echo ''.htmlspecialchars ($anzeige).'
';
}
Das Ergebnis sollte das selbe sein, nur kann ich hier die Variable $anzeige sicher übergeben. Siehe: de.php.net/manual/de/function.htmlspecialchars.php
Stimmt das soweit?
Habt Ihr da andere, bessere Wege?
Der höchste Lohn für unsere Bemühungen ist nicht das, was wir dafür bekommen, sondern das, was wir dadurch werden.
Hier mein Versuch der Webseitenerstellung: http://idealseiten.de 
Beitrag erstellen
EinloggenKostenlos registrieren