HTML Tabelle auslesen und übergeben

[3DMax]

Original geschrieben von jmc
Die ID wird beim Absenden erstellt und danach abgefragt, wie willst du sowas mit einem eigenen HTML-Forumular machen?

wenn du die id beim absenden erstellst, ist es zu spät - oder wie kommt id in die datenbank?
eigenes formular, kommt der vorschlag von mir?

Original geschrieben von jmc
wie meinst du das mit "js nicht zulassen wäre eine gute möglichkeit."? Wie kann man dies verwirklichen?

ich meine whitelist-prüfung, also z.b. nur zeichen von a-Z erlauben. und keinesfalls eine ungefilterte ausgabe, ala: ihre eingabe echo $_GET['input'] ist ungültig.

[jmc]

im Formular:
action="?action=blabla"

da wird das Formular ausgeführt
if($_GET['action']=="blabla"){
$id = rand(0,100000);

erstelle Linie mit ID_(allgemeine von mir festgelegte ID für dieses Formular), IP, Zeit und Inhaltsarray

if(row['id']==$id."_".$form_id){schicke formular ab}
}

Ist wohl ziemlich unnötig, aber ich benötige die ID, dann noch an weiteren Orten und brauche sie dann weil ich den Usern bestimmte Rechte erlaube.

zum Zweiten:

du meinst also Javascript in den Inputs selbst? Dan hab ich kein Problem, ich dachte man könne irgendwie über den Browser selbst noch JS einfügen als ich deinen Beitrag gelesen hatte. Die quotes und <>... werden natürlich ersetzt.

[3DMax]

Original geschrieben von jmc

du meinst also Javascript in den Inputs selbst? Dan hab ich kein Problem, ich dachte man könne irgendwie über den Browser selbst noch JS einfügen als ich deinen Beitrag gelesen hatte.

ja, kann man auch - nicht nur per post und get. ich dachte, das kam raus, auch über referer, user-agent ... usw. (alles, was vom client kommt)

Original geschrieben von jmc
Die quotes und <>... werden natürlich ersetzt. [/B]

das reicht aber nicht ...
ok, gib mal einen link vom form, ich versuch mich mal daran.

[jmc]

erstmals vielen Dank für das Angebot.

Hab mich nochmals ein bisschen genauer Informiert und sehe meinen Fehler jetzt ein. Gibts dann überhaupt noch irgendeine Möglichkeit sichere Daten über Formulare mit einen Browser zu schicken?

MfG

JMC

[h31ss]

Original geschrieben von penizillin

quote:
--------------------------------------------------------------------------------
Wenn ich Formularfelder benutze, kann ich die gegen Eingabe schützen?
--------------------------------------------------------------------------------

und eine weitere frage: wozu?


quote:
--------------------------------------------------------------------------------
Wie geht das? (beliebiges Javascript natürlich, nicht 'beliebige Felder')
--------------------------------------------------------------------------------

etwa mit ausnutzung von xss-problemstellen (das sind wiederum formulare oder url-variablen).
]

die erste Unterfrage: als Darstellungselement in mehrteiligen Formularen, zB.
die zweite Unterfrage: in einem alleinstehenden Formular würde das also nicht gehen. Wie würde es da gehen?
die dridte Frage. Auf meiner Tastatur ist anstatt des ungarischen sz (Gulasz) ein Ж ге'т даз аусh?

[h31ss]

Original geschrieben von jmc
Hab mich nochmals ein bisschen genauer Informiert und sehe meinen Fehler jetzt ein. Gibts dann überhaupt noch irgendeine Möglichkeit sichere Daten über Formulare mit einen Browser zu schicken?

Sicher im Sinne von wenn jemand Piffke heisst, er im Namenfeld "Razke" angibt - nein. Und ob er das mit Manipulationen oder gewöhnlich in die Datenbank injektiert, ist geradezu egal.

[wahsaga]

Über die Eingabe von "javascript:..." in der Adresszeile kann ich beliebige (DOM-)Manipulationen am gerade geladenen Dokument durchführen - also auch Werte von versteckten Feldern ändern, readonly-/disabled-Attribute abschalten, etc. pp.

[h31ss]

Original geschrieben von wahsaga
Über die Eingabe von "javascript:..." in der Adresszeile

javascript:alert('hallo');

Danke

PS im Original java script zusammenhängend.

[3DMax]

Original geschrieben von h31ss
Danke

PS im Original java script zusammenhängend.

du bist ja einfach zufriedenzustellen.
was hat das mit sicherheit zu tun?

man kann sich auch ein klavier ans knie nageln, während man eine webseite betrachtet.

[wahsaga]

Original geschrieben von 3DMax
was hat das mit sicherheit zu tun?

Das hat damit nur in so fern zu tun, als dass alle Ansätze, Formulare "per HTML sicher machen" zu wollen, natürlich für den Eimer sind.

Es sollte nur als Verdeutlichung dienen, dass ich selbst mit einem stinknormalen Browser nahezu beliebige Daten an jedwede "Seite" versenden kann - ohne Proxy, Referrer-Manipulation oder sonstwas nutzen zu müssen.

[3DMax]

jut, ich würde mir die seite lokal speichern und dann die form im html verändern.
mit js da rumzudoktern ist ein bisschen aufwändig, oder? - finde ich zumindest

[wahsaga]

Original geschrieben von 3DMax
jut, ich würde mir die seite lokal speichern und dann die form im html verändern.

Wie gesagt, ein "Referrer-Check" könnte(!) dabei Probleme machen - die dann wieder eine Browsereinstellungsmöglichkeit, einen Proxy o.ä. erfordern würden, mit dem sich dieser selber setzen liesse.

[TobiaZ]

OffTopic:

---

Wollt jetzt nicht bis zum ende lesen. Aber den Trick mit der Formular-ID muss ich mir merken.

---

[penizillin]

h31ss:

zu 1: wenn man formular-felder ausschließlich als "darstellungselemente bei mehrseitigen formularen" verwendet, so ist es überhaupt nicht notwendig, sie mehr zu schützen, als sie gerade mal auf "readonly" zu setzen.

denn - beim übergang von einer seite zur anderen werden die daten sicherheitshalber in der session abgelegt und anschließend von nirgendwo sonst zur endgültigen speicherung verwendet. so besteht keinerlei bedarf, die aufs neue abgeschickten felder (aus einem mit sicherheit manipulierten formular) auszuwerten.

zu 2:

zu 3: natürlich.