Printable View
Salve a tutti, avrei bisogno di qualche aiuto da parte di qualcune che si intenda di sicurezza, come l'sql injection e XSS.
Vorrei consigli su come migliorare la chat, in modo che da essa nessuno possa inserire chissà quali codici.
Vi ringrazio.
l'url del sito è:
http://tadada.lazytime.altervista.or...chat/index.php
La chat è ancora in fase di sviluppo, ma funziona nell'invio dei messaggi tramite chat.
Ho provato ad inserire un po' di js, e non viene interpretato.
Se per leggere (dal form) usi la mysql_real_escape_string(), e per scrivere (sulla chat) l' htmlentities(), dovresti essere a posto...
Ciao!
EDIT:
Io, aggiungerei un onfocus="this.value='';", oppure prima un if che controlla se c'é la scritta di default...
Ciao!
Grazie per i consigli, vedrò di inserirli!
Ciao, scusa ma ho mandato in tilt la chat... :lol:
Nel nickname puoi benissimo mettere un codice HTML/JS.
Aggiusta, ciao! :wink:
OK grazie a tutti.
Ciao, ancora c'è qualche problema...
Se scrivi " /> non ti fa più fare niente, guarda come diventa ad esempio il pulsante per cambiare nome:
Non solo il pulsante per cambiare nome, ma qualsiasi altro input...Codice HTML:<button onclick="cambianome('"" >')="">Cambia</button>
Ciao! :wink: