Hiho,

ich bastel gerade an einer PHP-BB-Funktion und wollte dabei ein paar Ausnahmen für HTML-Tags erstellen. Unter anderem auch für das IMG-Tag.

Ich konvertiere dazu das Tag zunächst in BB-Code. Entferne danach alle HTML-Tags und wandel die BB-Codes wieder in HTML um.

  $text = preg_replace("/\<img src=\"(.*?)\"\>/si", "[img=\\1]", $text);

$text=striptags($text);

$text = preg_replace("/\[img\](.*?)\[\/img\]/si", "<img src=\"\\1\">", $text);[/PHP]

Leider kann man auch <img src="bild.gif" onload="alert('XSS');"> eingeben und der wandelt das mit um.

So ist das nämlich etwas...naja...sagen wir mal ungünstig:D

[code] wird zu: [img]bild.gif" onload="alert('XSS');[/img] und dann zu <img src="bild.gif" onload="alert('XSS');"> [/code]

Im bin bei REGEX noch Anfänger, wie kann ich dafür sorgen, dass er wirklich nur die Grafik-Url in den BB-Code übernimmt?

 $text = preg_replace("/\<img src=\"([^\"]*)\"\>/si", "[img=\\1]", $text); 

der Bildpfad darf ja alles, "außer" einem Anführungszeichen enthalten.

Natürlich währe es noch sauberer [0-9a-zA-Z....(andere zeichen)] zu verwenden um auch hier mist zu unterdrücken.

Vielen Dank, hat das mit ^ auch schon ausprobiert aber das [] nich eingebaut^^.

Und in dem Fall?

<img src="javascript:alert('XSS!')">

Im IE6 funktioniert das tatsächlich. Ergo: grunsätzlich alles doppelt und dreifach validieren, was der Nutzer eingeben kann.

wird zu:

[img]bild.gif" onload="alert('XSS');[/img]

und dann zu

<img src="bild.gif" onload="alert('XSS');">

Hast du das Tag von phpBB selbst angepasst, oder was? normalerweise sollte der sowas nicht übernehmen.

Ich konvertiere dazu das Tag zunächst in BB-Code. Entferne danach alle HTML-Tags und wandel die BB-Codes wieder in HTML um.

Versteh ich dich richtig, du läßt die Benutzer HTML-Tags eingeben, wandelst die dann im BB-Tags um und danach wieder in HTML?

BB-Code ist ja dafür da, dass kein HTML eingegeben werden muss/kann/soll.

Lass die doch gleich BB-Code eingeben, dann fällt ein Schritt schonmal weg.

Alles innerhalb des ist der Pfad zum Bild. Das kannst du dann recht einfach prüfen, indem du das z.B. selbst lädst (nach anderen Prüfungen versteht sich ).

Es ist ja theoretisch auch kein Problem, ein Javascript als .jpg auf irgendeinem Server abzulegen. Ich weiß allerdings nicht, ob der Browser den MIME-Type überprüft für imgs. Naja, wäre IMHO blöd wenn nicht.

Aber um sicherzugehen, lädt dein Server das Bild und kann daraus dann andere Infos noch bestimmen (Bildgröße u.ä.).