Aprender a desarrollar un sitio Web con PHP y MySQL

Fallos de seguridad XSS
Los fallos de seguridad XSS o Cross Site Scripting consisten en la ejecución del código HTML, JavaScript o
VBScript sin conocimiento del webmaster.
Hay dos tipos de XSS.
1. XSS no permanente
Este tipo de fallos de seguridad se puede encontrar cuando recurre a una página PHP con información
que se pasa en la URL.
Por ejemplo, cuando recurre a la página get_recibe.php con el parámetro nombre=Juan:
http://127.0.0.1:8888/get_recibe.php?nombre=Juan
En la página get_recibe.php, aparece el siguiente código:
Da como resultado:
Juan
A
continuación el usuario cambia Juan por:
alert(’Hola’)
La página get_recibe abre un pop-up que muestra "Hola". El navegador ejecuta JavaScript que se ha
generado con la instrucción echo $_GET[’nombre’];
En este caso, el código intruso es una alerta, pero el usuario puede introducir un código para leer las
cookies, redirigir a otra URL, etc.
Para impedir esto, los navegadores suelen activar la seguridad XSS por defecto, que procede de un
script que se encuentra en la URL y que por tanto no se ejecuta.
Sin embargo, no puede saber con antelación la configuración del navegador del usuario, por lo que se
recomienda añadir código PHP para impedir estos scripts.
Utilice la función htmlentities() cuando recupere la información con $_GET o $_POST. Esta función
traduce los caracteres especiales y hace inoperativos los scripts maliciosos. Por defecto convierte las
dobles comillas e ignora las simples. Para utilizar las comillas simples, añada la constante ENT_QUOTES.
El ejemplo anterior se convierte en:
Y da como resultado:
alert(’Hola’)
www.FreeLibros.me