Aprender a desarrollar un sitio Web con PHP y MySQL

Si muestra el código de origen de la página, aparecerá lo siguiente:
<script>alert(Hola)</script>
Y el navegador muestra el script sin ejecutarlo.
2. XSS permanente
Supongamos que el script malicioso se ha insertado en la base de datos con un mensaje en el foro, el
blog o en un e-mail. Este mensaje se ejecuta cada vez que una persona lee el mensaje en Internet.
La solución es la misma: si recupera el mensaje con $_POST[’mensaje’], añada la
funciónhtmlentities().
Por ejemplo, si una página recupera el nombre, el apellido y el mensaje con POST, dará el siguiente
resultado:
Los caracteres especiales se insertan en la base de datos y el script no se ejecuta cuando se muestra
el mensaje que lo contiene.
3. Error de página
Si recurre a su página PHP utilizando como parámetro el nombre de una página contenida en un
include, aparecerá lo siguiente: http://127.0.0.1:8888/get_recibe.php?pagina=pagina1
El código pagina get_recibe.php es:
include("files/".htmlentities($_GET[’pagina’]).".php");
Tiene como efecto incluir pagina1.php
Si el usuario agrega en la URL un script malicioso, como: http://127.0.0.1:8888/get_recibe.php?pagina=
alert(’Hola’)
Aparecerá en su página un mensaje de error, con un e-mail que contiene la URL que provoca dicho
error, siempre y cuando se haya activado el informe de error.
Cuando lea su e-mail, se ejecutará el script, ya que tendrá su código JavaScript en el e-mail.
Para evitar esto, añada el código error_reporting(0) en la página de inicio. El resultado será no
mostrar el error y no enviará el e-mail de la URL que contiene el script malicioso.
www.FreeLibros.me