Тема: Закрыть хss (Движок DCMS-Social/Общие вопросы)

root (10 Aug 2014 в 22:49)
зафильтруй

KENT (10 Aug 2014 в 22:51)
root, я не могу верно сделать фильтрацию.  Ставлю код не работает.

KENT (10 Aug 2014 в 22:53)
root, \".htmlspecialchar($them[\'name\']).\" вот не могу вставить.

root (10 Aug 2014 в 23:01)
KENT, 
echo \"<a href=\'/forum/$forum[id]/$razdel[id]/$them[id]/\'>\";
echo htmlspecialchars($them[name]);
echo \"</a> <a href=\'/forum/$forum[id]/$razdel[id]/$them[id]/?page=end\'>(\".mysql_result(mysql_query(\"SELECT COUNT(*) FROM `forum_p` WHERE `id_forum` = \'$forum[id]\' AND `id_razdel` = \'$razdel[id]\' AND `id_them` = \'$them[id]\'\"),0).\")</a>n\";

KENT (10 Aug 2014 в 23:27)
root, ты думаешь этого достаточно?

root (10 Aug 2014 в 23:36)
KENT, угу

root (10 Aug 2014 в 23:37)
сперва не ставь htmlspecialchars создай в форуме тему \"><h1>XSS с тами название и увидишь будет хSS потом поставь фильтр ее не будет

Saint (11 Aug 2014 в 03:06)
<?
$f_c = mysql_result(mysql_query(\"SELECT COUNT(*) FROM 
`forum_p` WHERE 
`id_forum` = \'{$forum[id]}\' AND 
`id_razdel` = \'{$razdel[id]}\' AND 
`id_them` = \'{$them[id]}\'\"),0);
echo \"
<a href=\'/forum/{$forum[id]}/{$razdel[id]}/{$them[id]}/\'>
\".output_text($them[\'name\'],false,true,false,false,false).\"</a>
<a href=\'/forum/{$forum[id]}/{$razdel[id]}/{$them[id]}/?page=end\'> ({$f_c})</a>
\"; 
?>

PluginS (11 Aug 2014 в 05:43)
Мдо. Решено?

KENT (11 Aug 2014 в 08:07)
Saint, а как ниже не верно?

Saint (11 Aug 2014 в 09:26)
KENT, с ошибкой ,но безопасный вариант .
 output_text() лучше использовать

PluginS (11 Aug 2014 в 09:54)
--Цитата--
Saint (11 Aug 2014 в 09:26):
KENT, с ошибкой ,но безопасный вариант .
 output_text() лучше использовать
----------
Saint, Теоретически - соглашусь. Практически - не соглашусь.

Saint (11 Aug 2014 в 10:02)
PluginS, ну к примеру тот же антиспам в заголовках что б срабатывал . сам на эти грабли наступал как то ,ну а по сути конечно лишняя нагрузка  будет при обработке текста .

Источник: http://www.dcms-social.ru/forum/13/34/23902/