¿El filtrado de la sintaxis HTML impide que se descargue un shell web a través de un cuadro de texto? [cerrado]

Navega tus respuestas
0

Tengo un panel de administración que se está ejecutando en una base de datos mysql. En ese panel, tengo cuadros de texto que permiten que un "Administrador" ingrese texto sin formato O un estilo HTML que se mostrará en una sección del sitio que esté en vivo. Entonces, por ejemplo, un usuario podría ingresar lo siguiente en un cuadro de texto de Título;

  

<b>The 'Rory' jumped over the moon</b>

Los cuadros de texto están configurados para permitir solo una sintaxis html específica.

¿Eso evita que se coloque un shell web en el servidor web a través de los cuadros de texto?

  • ¿Hay alguna forma de evitar el filtrado?
  • Si manipuló los datos en la base de datos, ¿permitiría que se ejecute php?
pregunta Digital fire 25.10.2012 - 16:00
fuente

1 respuesta

5

Es muy improbable que esta sea una ruta viable para eliminar un shell web. La entrada probablemente se almacena en una base de datos, no en un archivo, por lo que el intérprete (ASP, PHP, etc.) no lo procesará como código fuente. Un vector de ataque mucho más probable es Cross Site Scripting, si el filtro no es lo suficientemente estricto.

EDITAR para responder 2 puntos agregados más tarde:

  • No hay forma de saber si el filtro se puede omitir sin analizar la fuente o intentar omitirlo.
  • Comprenda cómo el servidor web invoca al intérprete de PHP. En la mayoría de los casos, el servidor web llama al intérprete apropiado en base a la extensión de archivo (por ejemplo, .php llama al intérprete de PHP). El servidor web no recupera el contenido directamente de la base de datos, por lo que no puede invocar al intérprete en el contenido de la base de datos. Existiría una vulnerabilidad si una página PHP recupera cadenas definidas por el usuario de la base de datos y eval 'd ellas. Espero que puedan comprender cuán improbable sería esta situación.

Forma más breve de esta respuesta: probablemente no, pero inténtalo si no me crees.

    
respondido por el bonsaiviking 25.10.2012 - 16:19
fuente

Lea otras preguntas en las etiquetas

¿Por qué systrace es inseguro? Seguridad de red: claves públicas y privadas