Avatar billede Slettet bruger
15. juni 2010 - 12:31 Der er 3 kommentarer og
1 løsning

Disable javascript i en bestemt blok ?

Er det muligt at disable browserens javascript-evner i en blok (div f.eks.) ?

Mit problem er, at jeg giver mine brugere mulighed for at oprette "rich content" sider vha. CK-editor - som jo leverer en blok valid XHTML. XHTML som siden vises for andre brugere - og som, hvis den indeholder ondsindet javascript, let kan eksponere læserens "hemmeligheder" for forfatteren (hackeren) - såsom session/cookie og andre browser-data, åbne skjulte frames til ondsindede sites.. hvadsomhelst.

Det er MEGET vanskeligt (umuligt) at vaske XHTML'en så den slags numre forhindres 100%.
- se hvormange kendte "vektorer" der er her: http://ha.ckers.org/xss.html

Så min idé var at det måske var muligt at forhindre ALT script-eksekvering i den blok hvor den bruger/hacker-leverede XHTML vises...
Sådan at browseren viser XHTML'en som den er (ikke-ondsindet XHTML indeholder aldrig script) og deaktiverer "event-scripts" tilknyttet elementer (onmouseover, omload...) og selvfølgelig heller ikke tillader at XHTML'en inkluderer/eksekverer deciderede scripts.

Noget ala:

<div id="brugerPage"><scriptOFF>

mistænkelig HTML

</scriptOFF></div>
Avatar billede jokkejensen Novice
15. juni 2010 - 13:18 #1
Narj du skal validere brugerens input.

Brug evt en editor der håndtere disse.

/J
Avatar billede jokkejensen Novice
15. juni 2010 - 13:20 #2
http://ckeditor.com/search/yboss/xss

Det lader til det er omtalt i cke også... Har du testet om det er muligt at benytte disse tags, og om der er en indstilling hvor du kan fjerne muligheden for bestemte tags ?

/J
Avatar billede Slettet bruger
15. juni 2010 - 13:38 #3
Hm.. det lader til at ckeditor.com er "nede" i øjeblikket..

Jeg gør mig store anstrengelser for at vaske alt "almindeligt" user-input, og afvæbne evt. skadelige elementer, både overfor mysql, php og ved output tilbage til brugerne.
- Men afvæbning af reel HTML bliver for stor en mundfuld for en lille mand som mig...

Editoren selv leverer fin, valid og "renset" XHTML - not a problem.
Men jeg kan jo ikke være SIKKER på at den klump tekst serveren modtager, faktisk kommer direkte fra CK - og ikke er submittet "bagom"...

PS:
Har i mellemtiden fundet HTML-purifier (http://htmlpurifier.org)
- som (ihvertfald lover at den) kan rense HTML for grimme ting og sager.

Har nogen erfaring med dette ?
Avatar billede Slettet bruger
17. juni 2010 - 11:33 #4
Nå, men det har jeg så, nu. Virker perfekt : )
Avatar billede Ny bruger Nybegynder

Din løsning...

Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.

Loading billede Opret Preview
Kategori
Vi tilbyder markedets bedste kurser inden for webudvikling

Log ind eller opret profil

Hov!

For at kunne deltage på Computerworld Eksperten skal du være logget ind.

Det er heldigvis nemt at oprette en bruger: Det tager to minutter og du kan vælge at bruge enten e-mail, Facebook eller Google som login.

Du kan også logge ind via nedenstående tjenester