GFX-Sector - PHP und MySQL Tutorials

PHP-Skripte absichern – Teil 2: XSS

Hallo zusammen,

heute beschäftigen wir uns mit einem weiteren Sicherheitsaspekt bei der Webprogrammierung: dem Cross-Site Scripting (abgekürzt XSS, um Verwechslungen mit den Cascading Style Sheets CSS zu vermeiden, mit denen das XSS weder verwandt noch verschwägert ist ). Derartige Sicherheitslecks werden gerne dazu genutzt, z.B. JavaScript-Code in die Seite einzuschleusen. Von nervenden Popups bis hin zu übermittelten Sitzungsvariablen lässt sich damit dann allerhand Unsinn auf der Seite des Angegriffenen treiben.

Wer HTML in Benutzereingaben zulässt, öffnet also Missbrauch – und zwar längst nicht nur den als Beispiel angeführten Skriptattacken – Tür und Tor.
Um unerwünscht eingefügten Code unschädlich zu machen, gibt es mehrere Lösungsansätze. Zwei davon möchte ich hier vorstellen:


Möglichkeit Nummer Eins: htmlentities()
Die Anwendung dieser Funktion auf den auszugebenden String bewirkt, dass HTML-Tags im Browser als Text ausgegeben werden, indem im Quelltext „<“ und „>“ durch „&lt;“ und „&gt;“ ersetzt werden.
Beispiel:

php: 1: 2: 3: 4: <?php    $test = htmlentities('<script>');    echo($test); ?>

bewirkt im HTML-Quelltext:

code: 1: <script>

und wird ausgegeben als:
<script>

Können wir uns jetzt schon beruhigt zurücklehnen?

Mitnichten! Denn htmlentities() berücksichtigt neben der zu verarbeitenden Zeichenkette (string) auch noch ein zweites Argument, „quote style“ genannt. Hier wird festgelegt, wie Anführungszeichen behandelt werden sollen. Standardmäßig – also wenn das Argument einfach weggelassen wird – ist ENT_COMPAT aktiv, was bewirkt, dass nur doppelte Anführungszeichen (“) unschädlich gemacht werden, nicht aber einfache (’).
Um euch klar zu machen, warum das gefährlich ist, folgt an dieser Stelle ein Beispiel:

Nehmen wir einmal an, ihr verarbeitet den „Homepage“-Wert aus einem Gästebuch-Formular und bringt ihn in der Variable $homepage unter.
Im Code steht, um das Ganze auszugeben:

php: 1: echo ‘<a href=”’.$homepage.’”>Homepage des Benutzers</a>’;

Mit etwas Pech wird ein findiger Angreifer versuchen, hier statt der URL Javascript-Code unterzubringen. Dazu gibt er als Homepage einfach den gewünschten Skript-Code an. Da hier mit einfachen Anführungszeichen gearbeitet werden kann, sind seiner Kreativität kaum Grenzen gesetzt – und wer auf den Link klickt, hat verloren.
Ungemütlich wird es auch dann, wenn ihr bei HTML-Attributen unvorsichtigerweise mit einfachen Anführungszeichen hantiert.

Abhilfe schafft ein anderer „quote style“: ENT_QUOTES.

php: 1: $homepage = htmlentities($homepage, ENT_QUOTES);

htmlentities() ist allerdings eine vergleichsweise „scharfe“ Funktion und wandelt sämtliche Zeichen, bei denen dies möglich ist, in ihre HTML-Code-Entsprechung um – darunter auch der mitunter erwünschte Ampersand: „&“ wird dann zu „&amp;“.
Das kann einerseits sehr nützlich sein, wenn man beispielsweise einen Contentfilter entwickelt und verhindern möchte, dass gewitzte Benutzer die Sperre gewisser Begriffe umgehen, indem sie die entsprechenden Wörter buchstabenweise als HTML-Code eingeben.
Andererseits wird die rigorose Umwandlung des Ampersands z.B. dann zum Problem, wenn Benutzer beim Ausfüllen eines Formulars Zeichen benutzen, die nicht im Zeichensatz des Formulars enthalten sind (z.B. Chinesisch in einem „Latin“-Formular). Hier erfolgt die Konvertierung in HTML-Sonderzeichen seitens des Browsers – und zwar automatisch und unausweichlich. Wird der Ampersand hier „escaped“, kann das Sonderzeichen beim Auswerten des Formularinhalts nicht mehr korrekt angezeigt werden.
Wer das vermeiden will, wird sich mit regulären Ausdrücken behelfen oder auf das – weniger umfassende – htmlspecialchars() zurückgreifen müssen.


Möglichkeit Nummer Zwei: strip_tags()
Diese Funktion entfernt sämtliche HTML-Tags aus dem als Argument angegebenen String.
Beispiel:

php: 1: 2: 3: 4: <?php    $test = strip_tags('<script>');    echo($test); ?>

hat keinen Einfluss auf den HTML-Quelltext, da $test hier ein leerer String ist.
Folglich wird auch vom Browser nichts ausgegeben.

Zweierlei ist beim Einsatz von strip_tags() aber zu beachten.
Zunächst einmal ist die zugrunde liegende Definition von einem HTML-Tag nicht sonderlich genau; im Wesentlichen landet alles, was mit „<“ beginnt, im Nirvana. Das kann zu unerwünschten Ergebnissen führen – zum Beispiel, wenn das Zeichen Teil eines mathematischen Ausdrucks („kleiner als“) ist. Es ist also Vorsicht geboten.

Apropos Vorsicht: Die sollte man gleich doppelt walten lassen, wenn man mit dem Gedanken spielt, einzelne Tags, wie „<i>“ oder „<b>“, von der Sperrung auszunehmen, um dem Benutzer eine Formatierungsmöglichkeit an die Hand zu geben.
In diesem Fall sind diese Tags nämlich grundsätzlich zugelassen, auch, wenn sich in einem Attribut wiederum bösartiger Code befindet. Das zu verhindern erfordert einige Klimmzüge mit regulären Ausdrücken; daher ist es wohl vernünftiger, sich ein einfaches „BB-Code“-System zu basteln.


Beide hier vorgestellten Methoden lassen sich natürlich auch bei der Verarbeitung von aus Datenbankabfragen stammenden Arrays verwenden – gesetzt den Fall, die Überprüfung wurde nicht schon vor dem Speichern in der Datenbank durchgeführt.


Ich hoffe, dass der eine oder andere Leser durch dieses Tutorial Neues gelernt hat, bedanke mich einstweilen fürs Lesen und wünsche jetzt viel Spaß beim Ausprobieren!

---

Thanks for this thread by the author

Until now 1 user has thanked

Ephraim

GFX-Sector - Your GFX-Source No. 1
   

Fireballs Giftliste

SEOball SEO-Blog
Browserspiele Portal
Follow me on Twitter