Los Xss Cuidado!

Durante un buen tiempo yo vine dando como respuesta a los Xss el Htmlentities como función pero he dado con que no , no es tan simple como eso... de hecho sigue siendo vulnerable a Xss solo tienes que aplicar un pequeño bypass que les enseñaré hoy...

un codigo que supuestamente deberia de evitar el XSS sería:


<?php

$test = htmlentities($_POST['valor']);

echo '$test'
?>


y bueno con un formulario hecho...


Ahora ustedes dirán que tiene ese codigo de mal pues... el filtro htmlentities

Como ustedes saben o no el filtro de los htmlentities lo que hace es pasarlo a utf-7 entonces no se interpreta y ya pues no se ejecuta...

la funcion que usa es algo asi en PHP:


<?php

echo mb_convert_encoding('tu code xss', 'UTF-7');

?>


entonces ahi les devolvería un valor como:

UTF-7 pero que pasa si en el valor del Xss lo ponemos ya en UTF-7 es decir en ves de poner nuestro conocido:


<script>alert(/hacked/);</script>


con // en ves de '' para evitarnos problemas de transformación...

entonces ya transformado sería:


+ADw-script+AD4-alert(/hacked/)+ADsAPA-/script+AD4-


eso causaría un Bypass que igual ejecutaría el Xss...


Como ven... todos cometemos este error.. o la mayoría... es decir prácticamente todos los webmasters que ponian htmlentities estan un poco fregados asi que les recomiendo cambien y lo digo incluyendome yo lo usaba hasta que decidí hacer un experimento con los http headers y netcat hasta que di con este problemin investigue un poco mas en google y como ven pues es bien crítico esto... para los que ya tenían conocimiento de eso pues fomentemelo para que no se siga cometiendo este error... espero que no lo mal gasten el conocimiento...


Ahora como corrigen el error? pues muy fácil...


<?php

$test = htmlspecialchars($_GET['test'], ENT_QUOTES);

?>


en ves de eso usen htmlspecialchars() como función para que funcione bien... mmm tambien pueden usar sus str_replace() pero ya vean ustedes...

espero que este tuto les haya gustado, me he esforzado mucho en hacerlo...

Pd: sorry por la imagen pero es que =s no tengo alguien que me haga y edite las imagenes para que salga con la url jaja...


Saludos
Dr.White