4

Han añadido esto (sguido a la url del dominio) y se convierte en un enlace a un video de youtube. ¿Cómo evitarlo?

www.ejemplo.com/registrarForm.php?msg=%3Csvg%2Fonload%3Deval(atob(%27d2luZG93LmxvY2F0aW9uPSdodHRwczovL3d3dy55b3V0dWJlLmNvbS93YXRjaD92PWRRdzR3OVdnWGNRJwo%3D%27))%3E

Realmente no es modificada la web original, pero se convierte en un enlace que podría ejecutarse cualquier cosa, incluso un script javascript. ¿Cómo evitarlo?

El form es el siguiente:

<form class="form-signin" action="insertarRegistroUsuario.php" method="post" enctype="multipart/form-data">

      <?php if (isset($_GET['msg'])) { echo $_GET['msg']; } ?>

      <input type="text" id="nombreusuarioUsuario" name="nombreusuarioUsuario" class="form-control" placeholder="Nombre de usuario" required autofocus>

      <input type="email" id="inputEmail" class="form-control" id="emailusuario" name="emailUsuario" placeholder="Email" required autofocus>

      <input type="password" id="passwordUsuario" name="passwordUsuario" class="form-control" placeholder="Password" required>

      <input type="password" id="passwordUsuario2" name="passwordUsuario2" class="form-control" placeholder="Repetir Password" required>

      <input type="text" id="localidadUsuario" name="localidadUsuario" class="form-control" placeholder="Localidad" required autofocus>

      <input type="text" id="codigoPostalUsuario" name="codigoPostalUsuario" class="form-control" placeholder="Codigo Potal" required autofocus>

      <button class="btn btn-lg btn-primary btn-block" type="submit">Confirmar</button>

    </form>

También me han "atacado" de esta manera (sin modificarse la web original):

www.ejemplo.com/registrarseForm.php?msg=<img src="https://s3.amazonaws.com/ceblog/wp-content/uploads/2016/04/22110359/youve-been-hacked.png" />
10
  • 1
    El problema no es el enlace, sino lo que uno permite al recibir los datos por el método get, Commented el 3 ene. 2019 a las 0:23
  • 1
    <?php if (isset($_GET['msg'])) { echo $_GET['msg']; } ?> esa linea escribe el svg con javascript que realiza la redirección, tendrías que sanitizar msg antes de imprimirlo Commented el 3 ene. 2019 a las 0:39
  • 1
    @aloMalbarez ni saneado, una línea así no tiene sentido más que para depurar, una web publicada no debería contener semejante agujero de seguridad.
    – Fly
    Commented el 3 ene. 2019 a las 0:48
  • 1
    alternativas hay varias, desde donde se genera el msg ? es necesario que sea por $_GET? son mensajes predefinidos? de que dependen? Commented el 3 ene. 2019 a las 1:10
  • 1
    Da igual que sea GET o POST, debemos pensar que podría hacer un bot no un humano intentando hacer un ataque desde iexplorer.
    – Fly
    Commented el 3 ene. 2019 a las 1:16

3 respuestas 3

4

Lo que puedes hacer es controlar exactamente que se va a mostrar en pantalla, por ejemplo:

<?php

if (isset($_GET['msg'])) {
    if ($_GET['msg'] == 'error') {
        switch ($_GET['code']) {
            case '001': $error = 'Error de la trocola del cigüeñal';
                break;
            case '002': $error = 'Error de usuario reincidente';
                break;
            default:
                $error = 'Error desconocido, salga y vuelva a entrar';
                break;
        }

        echo '<div class="error">' . $error . '</div>';
    }
}
?>

A medida que hagas más compleja la programación delegarás la impresión de errores a una rutina específica, que hará algo más que sacar el mensaje a pantalla (escribir el error en el log, por ejemplo) pero mientras tanto, con no sacar el texto tal cual es más que suficiente.

En este pequeño ejemplo se usan un par de parámetros para decirle al script que debe sacar por pantalla en caso de error, pero podría ser cualquier cosa que necesites.

Ten en cuenta que al usuario tampoco le hace falta demasiada información técnica, por ejemplo, no saques consultas sql por pantalla, que lo único que facilita es dar pistas a un posible ataque intencionado.

Los datos técnicos sácalos a un log y por pantalla indica solo algo que al usuario le pueda servir (y que entienda): 'Inténtelo más tarde', 'Póngase en contacto', 'No use caracteres especiales'....

NOTA

Para el log es suficiente con la instrucción php_log() y puedes tener tus mensajes de error personalizados junto al los errores de php o, si se lo indicas, tenerlos en un fichero independiente.

TRUCO

Una cosa que se puede hacer para facilitar la depuración en producción (por si no se quiere o no se puede tener el log visible en tiempo real), es validar previamente al usuario logueado y si es un "administrador" se podría sacar por pantalla información de sensible, como consultas sql, valores de variables de sesión o volcados de objetos.

3

Puedes hacer uso de una función en PHP llamada htmlspecialchars. Puedes encontrar más referencias en este enlace.

Lo que esta función hace es escapar el HTML a entidades, de esta manera cualquier tipo de código, ya sea Javascript o HTML, no se ejecutará.

Lo puedes usar en tu código como:

echo htmlspecialchars($_GET['msg']);
0


yo hace un tiempo desarrolle una función en php lo que hace es sanizar un string de php quitando etiquetas html ataques mysql iframes y muchos otros.

existe strip_tag en php pero no es muy segura ya que exiten miles de maneras de encapsular un fragmento de código malicioso y insertarlo.

ej uso

$msj = ' "
negrita alert("hacked"); '; echo clear_data($msj);

resultado: negrita-hacked solo devuelve texto si se trata de un script form strong lo eleminara

funcion

function clear_data($string, $force_lowercase=true,$anal=false){
$strip = array("~", "`", "!", "#", "$", "%", "^", "&", "*", "(", ")", "_", "=", "+", "[", "{", "]", "}", "\\", "|", ";", ":", "\"", "'", "&#8216;", "&#8217;", "&#8220;", "&#8221;", "&#8211;", "&#8212;", "—", "–", ",", "<", ">", "/", "?", "<form>", "href", "alert", "()", 'applet', 'body', 'bgsound', 'base', 'basefont', 'embed', 'frame', 'frameset', 'head', 'html', 'id', 'iframe', 'ilayer', 'layer', 'link', 'meta', 'name', 'object', 'script', 'style', 'title', 'xml');
$clean = trim(str_replace($strip, "", strip_tags($string)));
$clean = preg_replace('/\s+/', "-", $clean);
$clean = ($anal) ? preg_replace("/[^a-zA-Z0-9]/", "", $clean) : $clean;
return ($force_lowercase) ?
(function_exists('mb_strtolower')) ?
mb_strtolower($clean, 'UTF-8') :
strtolower($clean) :
$clean;
}

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.