Тема: XSS (WAP/WEB мастеру/Помощь мастерам)

SimptomFD (6 May 2017 в 21:14)
Кто тебе сказал, что это уязвимость?

mrholler (6 May 2017 в 21:31)
SimptomFD, .лол.

kantry (6 May 2017 в 22:37)
mrholler, чего смеяться то? Он в следующий раз такую же в форму вставит, для обновления страницы вообще достаточно <a href=\"?\">обновить</a>

mrholler (7 May 2017 в 09:10)
kantry, а если открыта почта, допустим /mail.php?id=1 при обновлении кинет на /mail.php? Это не есть хорошо.

kantry (7 May 2017 в 10:48)
mrholler,  Вопрос убери да и все href=\"\"

meis (7 May 2017 в 16:45)
SimptomFD, вот кто мне это сказал

mrholler (7 May 2017 в 17:17)
meis, не обращай внимание, просто переменная не преобразовывается через htmlspecialchars() вот он и выдает под видом xss.

Jvk35 (7 May 2017 в 17:41)
Функция text() это типичный говнокод который создался для сокращения htmlspecialchars()  Загляни в файлы в папке sys/fnc и там увидишь ету функцию и тот сканер не правильно инфу считывает о уязвимостях...Так что там нет уязвимости

PluginS (7 May 2017 в 18:38)
Сканер не знает, что скрывается за той или иной функцией. Как и в данном случае он не знает, что скрывается за функцией text() и понятия не имеет, что она делает. Поэтому то, что \"обособлено\" в неё, он всё равно считает как \"неотфильтрованное\" и выдаёт за XSS и т.д. .честь.

SimptomFD (7 May 2017 в 20:31)
meis, Меньше сканерам верь.

mrholler (8 May 2017 в 11:19)
SimptomFD, только зря свой двиг им выложил :D

meis (8 May 2017 в 16:45)
Jvk35,  так в том то и дело что в папке /fnc/ нету у меня этой функции text() по этому я и спрашиваю :-)

Saint (8 May 2017 в 16:47)
meis, есть она там . sys/fnc/function_text.php

Источник: http://dcms-social.ru/forum/20/44/62061/