Anti-Spam

[Wurzel]

Original geschrieben von nix_wie_weg
Die Festplattenlöschfrage hat er ja schon...

oder ist das nur bei mir gekommen????????????

nee, die war für alle

[jahlives]

@topicstarter
Jetzt scheint es ja zu funzen. Du schreibst die Daten nicht wenn Code leer oder falsch ist. Das ist ja schonmal ein Anfang

Gruss

tobi

[jordi]

Also das ist alles sehr seltsam....

jahlives schreibt um 17:39: "Also das Script ist wirklich nicht sehr gut aufgebaut. Du scheinst das Feld mit dem Code gar nicht zu prüfen. Wenn es leer ist, dann verarbeitest du das Form einfach"

jahlives schreibt um 18:55: "Jetzt scheint es ja zu funzen. Du schreibst die Daten nicht wenn Code leer oder falsch ist. Das ist ja schonmal ein Anfang"

Zwischen 17:39 und 18:55 habe ich gar nichts geändert. Und von anfang an habe ich leerere Codes nicht akzeptiert

Als Wurzel das gesagt hat, habe ich das probiert, und ich konnte nicht Einträge schreiben ohne Zahlen.

[nix_wie_weg]

Das ist also gar nicht dein Script, oder jemand programmiert an Dir herum, oder du verwechselt den webhoster mit deinem homeserver.

Jemand hat Dir ja auch die dumme Festplattenabfrage eingebaut, ohne dass Du das überhaupt bemerkt hast. geschweige denn hast Du es rausgenommen und in Ordnung gebracht.

[jordi]

Diese Festplattenabfrage hat der lustiger Wurzel eingebaut, es war einfach ein Eintrag mit einem Javascript in dem Blog, das habe ich zusammen mit allen anderen Einträge aus der Datenbank gelöscht, und habe auch geändert das scripte nicht mehr eingegeben werden dürfen.

Also nun sieht das alles besser aus :-) danke an alle, die mir geholfen haben, die Einsatz mit dem Header um die wiederholte Einträge (durch F5 z.B.) war z.B. ganz gut, und nicht zu sagen die Bemerkung, das man einfach scripte schreiben konnte......

[3DMax]

habs auch gerade mal getestet. javascript ist immer noch möglich (als bild getarnt ) und das codefeld habe ich einfach leer gelassen.

[nix_wie_weg]

kannst Du das mal anleiten bitte? Ich möchte auch.

[3DMax]

z.b.: <IMG SRC="javascript:alert('XSS');">

da gibt es aber noch 1000 andere nette varianten, javascript unterzujubeln

[edit]
ne, ich glaube, ich hatte den denommen <IMG SRC=javascript:alert('XSS')>

[nix_wie_weg]

das hab ich inzwischen gesehen.
Die Hawaii Karten sind ja auch neu.

[nix_wie_weg]

ups, es war zu erfolgreich, wie bringt man das wieder weg??

<img src="javascript:document.write('<'+'a href=http://www.google.com.tw'+'>clickme</a>');">

PS ohne die "..." ist es nicht gegangen.

[Wurzel]

Original geschrieben von nix_wie_weg
ups, es war zu erfolgreich, wie bringt man das wieder weg??

... ich werf mich weg. kann mal einer zählen, wie oft dem topicstarter empfohlen wurde, code zu posten ... ach egal.

@jordi
htmlentities() kennst du oder dein progger aber schon, oder?

[3DMax]

Original geschrieben von Wurzel htmlentities() kennst du oder dein progger aber schon, oder? [/B]

strip_tags in diesem zusammenhang, dürfte auch nicht verkehrt sein.

[Wurzel]

Original geschrieben von 3DMax
strip_tags in diesem zusammenhang, dürfte auch nicht verkehrt sein.

wenn magic_qotes on (wie in dem fall) ... aber was reden, äh schreiben wir uns den mund fusselig.

[nix_wie_weg]

bald kann's wieder losgehen, auf der Seite steht bereits

Parse error: parse error, unexpected ')' in /homepages/0/d121395031/htdocs/scripts/functions.php on line 471

[3DMax]

das game ist resettet. level 3 ist schon schwieriger, habe aber doch js einschmuggel können

<INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');">

ps: der zahlencode wird immer noch nicht überprüft