XSS mit PHP erkennen und loggen

[Nordin]

Hallo,

wie ich meine Formulare vor XSS schütze weiß ich...
Nun stehe ich aber vor einem Problem. Ich will die Angriffe erkennen und loggen. Nur habe ich irgendwie keine Idee wie ich das machen soll. Vielleicht könnt ihr mir einen Ansatz geben.

Soll ich zwei Funktionen nutzen? Eine zum erkennen und loggen und eine zum "säubern"?

Gruß Nordin

[TobiaZ]

Welche "Architektur" du am besten verwendest, bleibt eigentlich dir überlassen. machs so, wie es am besten in deinen bestehenden Code reinpasst.

Die eigentliche Frage kann ich dir auch nur schwer konkret beantworten. Wenn du weißt, was du herausfilterst/blockst, dann wirst du ja auch wissen, was du entsprechen loggen musst.

[streuner]

Hi,

hier gibt es eine Möglichkeit, wie man z.B. htacces Angriffe "protokollieren" kann: .htaccess: Angriffe sehen und blockieren [toscho.design]

mfg streuner

[Nordin]

Ich glaub ich habe meine Lösung gefunden. Hier ein vereinfachtes Beispiel:

$_POST['vorname'] = 'Max';
$_POST['name'] = 'Mustermann <script>XSS</script>';

function xss() {
    $post = '';
    foreach($_POST as $key => $value){
        $post = htmlspecialchars($_POST[$key],ENT_QUOTES);
        if ($post != $_POST[$key]) {
            // Angriff loggen und Script beenden
            die('Hacking attempt detected');
        }
    }
}

xss(); 

Ich habe es noch nicht weiter zu ende gedacht und getestet, hatte noch keine Zeit. Werde mich nachher mal genauer darüber Gedanken machen.

Aber ich glaube damit filter ich noch nicht zu 100% da folgendes sicher noch funktionieren wird:

<script>XSS</script>

Codiert in:

Hex:

%3C%73%63%72%69%70%74%3E%58%53%53%3C%2F%73%63%72%69%70%74%3E

Hex-HTML:

<script>XSS</script>

Decimal:

&#60&#115&#99&#114&#105&#112&#116&#62&#88&#83&#83&#60&#47&#115&#99&#114&#105&#112&#116&#62

Dies sollte der Browser ja als ausführbaren Code interpretieren richtig?
Wie gesagt, habe es noch nicht probiert... wer lange weile hat kann mir ja gern zuvor kommen

PS: Interessant, dass beim bearbeiten des Beitrags bei der Dezimal-Code wieder der richtige (decodiert) angezeigt wird.

Freue mich auch jeden Gedankenanreiz!!

[wahsaga]

        $post = htmlspecialchars($_POST[$key],ENT_QUOTES);
        if ($post != $_POST[$key]) {
            // Angriff loggen und Script beenden
            die('Hacking attempt detected'); 

Und diese nette Meldung wirfst du dann jedem Nutzer an den Kopf, der sowas wie „in der Mathematik gilt, 3 < 5“ posten will …?

[Nordin]

Irgendwie war klar das sowas kommt!

Hier ein vereinfachtes Beispiel:

[wahsaga]

Na ja, du meintest, eine „Lösung“ gefunden zu haben … und das ist es so halt absolut nicht.

(Davon abgesehen, sehe ich nicht mal ein zu lösendes Problem … wenn alles gegen XSS getan ist, dann lass’ ich die Kiddies doch spielen, wenn sie wollen …)

[AmicaNoctis]

Dies sollte der Browser ja als ausführbaren Code interpretieren richtig?

Nein, sollte er nicht und wird er auch nicht tun. Die Spitzklammern müssen auch als solche vorkommen, damit der Browser darin Tags erkennt. Sobald du sie maskierst (und das tust du ja mit der Character Reference &#x3c; = &lt; = &#60, wird der Browser das Kleiner-Als-Zeichen einfach anzeigen.

Gruß,

Amica