ABAKUS

ok, dann werde ich bißchen konkreter. Es wird überprüft, ob ein Feld leer ist, z.B. mit diesem Code:
if(trim($name)=="") $err_text.="Name fehlt.<br>";

Da der Name in die Betreffzeile geht, werden hier die Backslashes vor Sonderzeichen entfernt, so: $name = stripslashes($name);

Alle anderen Eingaben des Benutzers gehen in den Rumpf der Email, wo dies Backslashes nicht entfernt werden. Die Email-Adresse wird einer Variablen zugeordnet und über mail($zu,$betreff,$text,$kopf) verschickt.
Das Kontaktformular liegt im Hauptverzeichnis meiner URL und heisst kontakt.php
Was ist Cross-Site Scripting?

Gruß
Neno

und wo wird $zu gesetzt? auch per formular?
Wenn $zu fest drinne steht, dann geht die mail schonmal immer an dich

Cross Site Scripting Beispiel:
Es gibt VIELE leute im internet die ihre links so aufbauen index.php?include=test
Viele Davon laden dann keinen SQL Content mit test, sondern binden eine seite test.php ein
z.B.: include($_GET['include'].'.php')

Und das ist das typische cross site scripting opfer.. denn so kann man sich natürlich auch configurationsdateien, etc laden lassen

d0nut hat geschrieben:und wo wird $zu gesetzt? auch per formular?
Wenn $zu fest drinne steht, dann geht die mail schonmal immer an dich

$zu steht ein paar zeilen über der mailfunktion, etwa so:
$zu="xyz@web.de"
...
mail($zu, $betreff, $text) oder wäre es so besser: mail("xyz@web.de", $betreff, $text)

Cross-Site Scripting hab ich dann nicht, weil bei mir die Prüfung der Usereingaben und die Email-Adresse an die die Eingaben verschickt werden in einer Datei (kontakt.php) untergebracht sind. Was hälst du davon, nicht nur die Backslashes (mit stripslashes()) zu entfernen, sondern auch die HTML und PHP-Tags (mit strip_tags), so das der Code so aussieht: strip_tags(stripslashes($name)). Ist das notwendig oder werde ich jetzt paranoid?

Gruß
Neno

Zwei Artikel, die eine Reihe fieser Sachen beleuchten

https://www.heise.de/security/artikel/66815
https://www.danielfett.de/df_artikel_si ... ssbrauchen