Hvordan unngå ondsinnet html i skjema

[kroekkete]

Hei, jeg har laget meg en side hvor folk kan kommentere det jeg skriver. I kommentaren er det også mulighet for å legge inn en url. Kommentaren lagres i en MySQL-tabell.

I dag bruker jeg

mysql_escape_string() og strip_tags()

for å sikre meg mot ondsinnet html, men jeg har en følelse av at det ikke holder?

 

Stemmer det? Hvis ja, hva annet må jeg gjøre?

 

Mvh Primaxx

 

OT: Hvis noen administratorer leser dette: Det er kun mulig å søke på ett ord om gangen i forumet, noe som er fryktelig frustrerende!

[The Red Devil]

bruk htmlentities()

http://uk.php.net/htmlentities

[audunr]

Off-topic: Du kan søke etter flere ord samtidig, og bruke AND, OR og NOT for å angi hvordan du vil søke. Se følgende veiledning i søkeskjemaet:

 

"Angi ett nøkkelord som du vil søke etter.

AND og OR kan brukes for å søke med flere ord.

NOT kan brukes for å luke ut ord."

 

MVH Audun

[kroekkete]

Off-topic: Du kan søke etter flere ord samtidig, og bruke AND, OR og NOT for å angi hvordan du vil søke. Se følgende veiledning i søkeskjemaet:

 

"Angi ett nøkkelord som du vil søke etter.

AND og OR kan brukes for å søke med flere ord.

NOT kan brukes for å luke ut ord."

 

MVH Audun

Det var dette med besserwissere og bruksanvisninger da...

[kroekkete]

Er det noen som har noen eksempler på hva som regnes som "ondsinnet" kode? Sagt med andre ord: Hva er det jeg egentlig skal stoppe?

 

Mvh Primaxx

[audunr]

Er det noen som har noen eksempler på hva som regnes som "ondsinnet" kode? Sagt med andre ord: Hva er det jeg egentlig skal stoppe?

 

Mvh Primaxx

Du har URLen index.php?Article=200

 

Dette fører til at du sender SQL-spørringen:

 

select * from articles where ID = $_GET["Article"]

 

Dersom brukeren sender index.php?Article=200;drop database NAVN istedet, så ser du problemet.

 

MVH Audun

[kroekkete]

Du har URLen index.php?Article=200

 

Dette fører til at du sender SQL-spørringen:

 

select * from articles where ID = $_GET["Article"]

 

Dersom brukeren sender index.php?Article=200;drop database NAVN istedet, så ser du problemet.

 

MVH Audun

 

Akkurat den stoppes med

mysql_escape_string()

ikke sant?

[audunr]

Ja, forsåvidt. Det er noen gode eksempler her:

 

http://www.php.net/manual/en/function.mysq...cape-string.php

 

Jeg pleier først og fremst å sjekke typene til variablene ved alle select, inserts og updates. Altså at noe jeg forventer skal være et tall ikke er en streng, og så videre, og at påkrevde variabler ikke mangler.

 

MVH Audun