Beiträge von Tobse

  • Styleswitcher in PHP oder JS?

    Ja das weiss ich.
    Nochmal:
    Wir haben folgende Dateien:

    PHP
    #changestyle.php
<?php
session_start();
$_SESSION['style']=$_GET['style'];
?>

    So, ich bin jetzt ein hacker und habe auf meinem server folgende datei

    und dann auf meiner seite schreibe

    HTML
    <a href="http://meineurl.net/nicoRSS.html">FREE RINGTONES</a>


    wird beim click der Session-Cookie für http://www.nicosurl.de esetzt, in seiner session steht dann

    Code
    standard.css"><script>alert("BOOOM! XSS");</script><link href="standard.css

    Dann wird durch das location.href seine Seite geladen, wo wiederrum der PHP Code greift und aus dem

    HTML
    <link href="<?php echo $style; ?>" rel="stylesheet" type="text/css" id="style">
    HTML
    <link href="standard.css"><script>alert("BOOOM! XSS");</script><link href="standard.css" rel="stylesheet" type="text/css" id="style">

    macht, und das ist garnicht gut.

  • Styleswitcher in PHP oder JS?

    naja,

    PHP
    #changestyle.php
session_start();
$_SESSION['style']=$_GET['style'];
    PHP
    <?php
#index.php
?>
<link href="<?php echo $_SESSION['style']; ?>" rel="stylesheet" ... >

    JS:

    Code
    $.ajax("changestyle.php?style=abc.ss", { ... });

    jetzt leite ich den nutzer per tynieurl zuerst auf meine seite, wo ein ajaxrequest nach

    Code
    changestyle.php?style=abc.css"><script>alert("BOOOOM! XSS!");</script><link href="xyz.css

    ausgeführt wird.
    Dann kommt ein location.href= und er wird auf Nico´s seite weitergeleitet.
    Und dann steht im HTML:

    HTML
    <link href="abc.css">
<script>alert("BOOOOM! XSS!");</script>
<link href="xyz.css" rel="stylesheet" ... >

    Und das funktioniert ja. Aber die gefahr kannste durch ne einfache switch()-case anweisung unterbinden.

  • <nobr> - Alternative

    Was ist den an <nobr> so falsch xD, ist das veraltet oder invalide?
    Also ich kann mich erinner, das mal jamnd nich erstanden hat, warum sein <h2> NICHT umgebrochen hat, lag daran dass keine leerstelle drin war.
    wäre es also möglich fü dich, dein mailadresse in ein <h2> zu packen und das h2 dann wie normale schrift zu formatieren?

  • <nobr> - Alternative

    na dass es ein link ist un dem nutzer die e-mail adresse immer in zusammenhang mit allen ihren zeichen angezeigt wird, ob nun umgebrochen oder nicht. Eine Andere lösung als den link gibts warscheinlich nichtmal.

  • <nobr> - Alternative

    Und die JS-Losen nutzer? Wie wärs damit:

    HTML
    <a href="#">mail[at]example.com</a>


    Damit wärs auch ein link, aber ich denke wirklich, dass die bots mit "gewalt" versuchen werden die Adresse aus mailto: links richtig hinzubekommen, die MUSS ja gültig sein.

  • <nobr> - Alternative

    Du kannst ja mit ereg_replace arbeiten.

    PHP
    $text="Lorem ipsum dolor@sit.com amet";


    daraus wird dann

    Code
    Lorem ispum <a href="mailto:dolor@sit.com" class="mail">dolor<span>_fake@</span>@<span>bot_verarsche</span>sit-com</span></a>


    Jedoch glaub ich, dass bots sogar extrem auf mailto: ´s anspringen.

  • [Smarty] Includierende Datei ausgeben

    Hi, ich hab folgendes Problem:
    Hier ist ein CMS (Cliphouse), welches mit Smarty arbeitet. Aber da das ganze teil schon iwie komisch ist, gibts hier einen Doppel-Include (1 datei wird 2mal includiert). Das war wohl alles zu beginn kein Problm aber nach ein paar anpassungen der Templates stehen jetzt 2 Gleiche Text n bisschen verschoben übereinander. Aber ich kann beim besten willen die Datei nicht finden, in der das zweite {include} steht (hab die erste bereits). Gibt es eine möglichkeit, smarty beizubringen, die datei, aus der includiert wurde anzuzeigen oder als variable zur verfügung zustellen?
    Im Smarty Quellcode konnte ich sogar gleich nach <?php ein exit() reinhauen, das hat das CMS null interessiert. Was kann ich also tun?
    Vielen dank für jede hilfe !

  • Flugsimulator

    Ja kommt drauf an was du spielen willst - nen "shooter" wie HAWKX (das ist definitif KEIN flugsimulator xD) oder welche, die von der steuerung (joystick/lenkrad) her dem wirklichen Fliegen nahe kommen. Hatte auf nem alten Rechner auch einen von Microsoft, der war echt gut, aber sauschwer ;)

  • Funktion onload soll geändert werden

    Ich dachte eben den onload-code für die seiten nicht ins onload tag der seite, sondern ins link-tag der vorherigen seite zu packen. Klappt es nicht, den onload-code aus dem iframe fenster auszulesen und dann auszuführen? Das müste so aussehen:

    Code
    $("#iframeId a[href]").click(function() {
    $("#iframeId").ready(function() {
        // this ist jetzt eine referens aufs iframe
        if (this.onload) {
            eval(this.onload);
        }
    });
});


    Sollte funktionieren.