Хотелось бы услышать мнения Pro кодеров   ... (сейчас попробую правильно сформулировать)

Если пользователю разрешить ввести любой текст в скрипте, а потом сделать echo на этот текст, возможен ли хак? (я предпологаю что да)

Если да, то скажите, как сделать, чтобы хак был не возможен, но если это был HTML, то чтобы он вывел HTML, а не обрезал теги...

Sorry за такой глупый вопрос, но мне сейчас это нужно знать!

Выполнение зловредного кода на сервере - невозможно.

Выполнение зловредного кода на компьютере другого пользователя - возможно, в рамках vbscript/javascript и ограничений клиентского броузера.

Если это считать хаком - то да. Основной вред, imho, наносится репутации сервера.

а произвольный PHP скрипт?

APro, нет, нельзя.
Ты ведь echo делаешь, а не eval 
А сессию украсть - легко.

РНР-код в виде строкового значения переменной можно выполнить только одним из трех способов:
1. применить eval
2. записать код в файл и подключить этот файл через include/require
3. написать на РНР интерпретатор РНР-кода и передать интерпретатору строку с кодом
любыми другими средствами, в т.ч. посредством вывода, код на стороне сервера выполнить невозможно.

IMHO, обрезать "<script...></script>".

skyboy, для комплекта. 
Можно еще вставить в запрос, выполнить mysql_query и нарваться на sql-injection. 

 И? Что это даст?

А топикстартер идет насиловать гугл по теме XSS.

Отключение скриптов не защитит от CSS?

а вообще, причём тут CSS? Разговор идёт о выполнение XSS и произвольного PHP запроса (sql-inj тут и не пахнет)!

Сделал небольшие выводы!  

а shtml include реально сделать? (или я уже что-то путаю)

ну если у тебя выполняется html и phtml как php то хак возможен. ябы рекомендовал бы html код и всякую гадость экранировать.
APro лучше сделай проверки на те данные которые тебе нужно принять.
------------------------------------------------------

Валерия и как ты сессию украдешь чужую если она живет 1 день или пока пользователь не закроет клиента.

даже если тебе и удастся узнать чудесным образом 37-38 символов значение сессией сделать ты нечего не сможешь любой заход с твоего компьютера ее затирает + ты ее не скачаешь со своего компьютера.

Авторизация на сессиях это самый безопасный механизмом авторизации. Если у вас чета угоняли значит  криво написали или у вас легкая зашита.
------------------------------------------------------

CSS - cross site scripting, альтернативное название: XSS, чтобы не путать с cascade style sheets.

ой, какой ты умный LOL .... (сострил)

32 символа.
Подставляю себе в куку такую сессию - и я авторизирована под тем пользователем, и могу делать всё что позволит скрипт 
С чего это любой заход с моего компьютера её затирает?
И всмысле не скачаю со своего компьютера?
Я могу сделать сессию которая будет работать даже тогда когда юзер браузер закроет и потом сново откроет 

Валерия (  сессии куки и сессии апача совсем разные. Может мне скрипт для хака написать?

В сессии хранится айдишник сессии апача, а в апаче непосредственно инфа о переменных и их значених.
Эту инфу, даже зная айди сессии никак, кроме как скриптом, вытащить нельзя.
Но вот подставить в другой компьютер в куку айди этой сессии - легко.
Т.е, например, даже если мы на этом форуме стащим куку и подставим её в другой комп (браузер) и запустим форум, то мы будем залогинены под тем логином, кука которого была скопирована.
А бесконечное время жизни можно прописать как для кук так и для сессии апача.

Это сообщение отредактировал(а) Валерия - 2.12.2008, 18:28

Sanchezzz, согласен с тобой!

Валерия, было бы всё так просто, этот форум давно бы уже взломали! Да и вообще любой сайт построенный на сессиях и т.п.

 Защищает.
Но вырезание <scrip> не вырезает скрипты. Этого далеко недостаточно, чтобы вырезать скрипты.

APro, Сила сессий не в этом. , а в том, что стащить живой sessid достаточно сложно. Если это становится простым, то и ценность такой защиты уменьшается до нуля. 


Я надеюсь, что авторы этого форума не позволяют любому юзеру размещать исполняющиеся скрипты на страницах форума ;-)

Дык, проблема в том, что этот форум не даёт написать <script></script> подобные теги, из за этого и не взламывается)
достаточно просто заменять < и > на их кода 
Кстати, подобные форумы уже не раз взламывали таким образом, и прочие другие сайты.
Не совсем давно на яндекс почте нашли как в теле письма выполнить джаваскрипт, отправляли письмо комуто, тот его читал, сниффер получал куку, её себе ставишь, и у тебя доступ)
Почитай побольше про XSS, например на antichat.ru

 +1
/me там СМ

javascript можно вставить и в onclick/onmousemove, например. ты правильно говоришь, но делаешь нажим на <script>. А надо вычищать все. Как и говорит nerezus.

<img src="javascript:alert('bebebe')"> вот без <script> пример.

Однозначно если все < и > позаменять, то ничего не выйдет)
Разве что если свои теги будет добавлять, например в квадратных скобках, то через них)

То есть, если указать коды символов "<",">" можно выполнить скрипт? Как с этим бороться? htmlcpecialchars помогает?

Добавлено через 9 минут и 59 секунд
Проверил - помогает 

Я имела ввиду если пользователь вводит текст с какойто формы, и к принятой скриптом переменной применить mysql_real_escape_string для защиты от sql инъекций, и заменить > на &gt; а < на &lt; для предотвращения XSS то твой сайт через это НИКАК не хакнут.

http://www.securitylab.ru/analytics/274302.php
Вариация на тему, для общей эрудиции

theworldcreator, nice   

theworldcreator, я вообще про такое не знала))) Классно)

theworldcreator, спасибо за ссылку.
над 

ржал в голос. потому что пседозаслуга ИЕ - на самом деле отсутствие поддержки схемы, вполне стандартизованной и в некоторых случаях - полезной. т.е. "Неуловимый Джо, который никому нафиг не нужен"  Ещё б про Lynx заговорили.