Han añadido esto (sguido a la url del dominio) y se convierte en un enlace a un video de youtube. ¿Cómo evitarlo?
www.ejemplo.com/registrarForm.php?msg=%3Csvg%2Fonload%3Deval(atob(%27d2luZG93LmxvY2F0aW9uPSdodHRwczovL3d3dy55b3V0dWJlLmNvbS93YXRjaD92PWRRdzR3OVdnWGNRJwo%3D%27))%3E
Realmente no es modificada la web original, pero se convierte en un enlace que podría ejecutarse cualquier cosa, incluso un script javascript. ¿Cómo evitarlo?
El form es el siguiente:
<form class="form-signin" action="insertarRegistroUsuario.php" method="post" enctype="multipart/form-data">
<?php if (isset($_GET['msg'])) { echo $_GET['msg']; } ?>
<input type="text" id="nombreusuarioUsuario" name="nombreusuarioUsuario" class="form-control" placeholder="Nombre de usuario" required autofocus>
<input type="email" id="inputEmail" class="form-control" id="emailusuario" name="emailUsuario" placeholder="Email" required autofocus>
<input type="password" id="passwordUsuario" name="passwordUsuario" class="form-control" placeholder="Password" required>
<input type="password" id="passwordUsuario2" name="passwordUsuario2" class="form-control" placeholder="Repetir Password" required>
<input type="text" id="localidadUsuario" name="localidadUsuario" class="form-control" placeholder="Localidad" required autofocus>
<input type="text" id="codigoPostalUsuario" name="codigoPostalUsuario" class="form-control" placeholder="Codigo Potal" required autofocus>
<button class="btn btn-lg btn-primary btn-block" type="submit">Confirmar</button>
</form>
También me han "atacado" de esta manera (sin modificarse la web original):
www.ejemplo.com/registrarseForm.php?msg=<img src="https://s3.amazonaws.com/ceblog/wp-content/uploads/2016/04/22110359/youve-been-hacked.png" />
<?php if (isset($_GET['msg'])) { echo $_GET['msg']; } ?>
esa linea escribe el svg con javascript que realiza la redirección, tendrías que sanitizarmsg
antes de imprimirlomsg
? es necesario que sea por$_GET
? son mensajes predefinidos? de que dependen?GET
oPOST
, debemos pensar que podría hacer un bot no un humano intentando hacer un ataque desde iexplorer.