Base de Conhecimento

O usuário faz uma busca por "uidroot" em seu site. O seu site retorna "Não foi possível encontrar 'uidroot'. Tente outra palavra ".
E se o usuário busca por "<b>uidroot"? Se você não tratar corretamente o retorno, verá o site exibindo:

"Não foi possível encontrar 'uidroot' Tente outra palavra.".

Muitas pessoas ignoram o HTML Injection, alegando que é só um problema estético. Para os usuários do Orkut: em meados de Agosto / Setembro de 2006, houve um problema grave de HTML Injection na página de recados, que permitia que uma pessoa injetasse HTML (imagens, videos, javascript etc) na página de recados de qualquer pessoa. Enquanto alguns acharam engraçado postar imagens, outros usaram os recursos em Javascript para redirecionar à paginas falsas de login, capturar dados, download de arquivos automaticamente e muito mais. O mais agravante foi que para usar o Orkut, você precisa de Javascript, portanto, a taxa de usuários afetados chegaria a até 99%, lembrando que existem usuários que bloqueiam o javascript quando ele vem de uma domínio diferente ao acessado. Felizmente, o Orkut corrigiu em alguns dias, evitando a catástrofe.

Escape corretamente os comandos HTML. Se não precisar exibir código HTML, utilize a função strip_tags().

E cuidado com o Cross-Site Scripting (o famoso XSS), utilizado com a injeção da tag <iframe> para roubo de cookies e posterior roubo de sessão se o programador não fizer um sistema seguro de sessões.

Adicionar aos Favoritos

Imprimir este Artigo