Malcolm Beck´s: HTML-eigene Zeichen nicht maskieren -- Welche Risiken

Beitrag lesen

hi,

Mit dem Helferlein, hätte ich vielleicht zumindest die browser "speichern unter" Funktion genommen und u.U. mal nach geschaut die Styles noch hinein zu kopieren.

Was ich mir vorstellen könnte wäre ein Submit-Button dass:

Den Inhalt in eine Neue Seite schreibt
Da es sich um HTML handelt, dürfen die HTML-eigenen Zeichen nicht maskiert werden, also muss (um besipielsweise XSS entgegen zuwirken)
 -- Jegliche Script-Geschichten wie <script> gefiltert werden
 -- Inline-Scripts wie onclick und was es da alles gibt gefiltert werden

Mit dem Rest, der übrig bleibt, kann man dann ein ganz einfaches HTML-Dokument erzeugen.
Wobei ein Limit für x Zeichen natürlich nicht verkehrt wäre.

Bleibt nur die frage, was man da alles falsch machen kann, wenn man eben die HTML-eigenen Zeichen nicht maskiert.
Wobei, wenn nur ein HTML-Dokument erzeugt wird, dürfte dass Risiko für Angriffe ja nicht sonderlich gross sein.
Da müssten aber die Experten ran, ich sehe keine nennenswürdigen Risiken, bis halt auf XSS-Attacken.

Vielleicht können wir hier einige Ideen zusammentragen und dann einen Dienst in dieser richtung anbieten ;)

Aber in anderen Fällen reicht es oft auch nur die Grundstruktur mal zu sehen :
https://forum.selfhtml.org/?t=181902&m=1203393

Das ist übersichtlich, nur, wenn man es Lokal testen will hat man wieder den Salat.

https://forum.selfhtml.org/?t=181993&m=1203983
*wobei hier sogar zusätzlich verlinkt war

Ein Online-beispiel ist durch nichts ersetzbar ;)

mfg

--
echo '<pre>'; var_dump($Malcolm_Beck`s); echo '</pre>';
array(2) {
  ["SELFCODE"]=>
  string(74) "ie:( fl:) br:> va:? ls:? fo:) rl:| n4:# ss:{ de:? js:} ch:? sh:( mo:? zu:("
  ["Aight"]=>
  string(?) "I Have a Dream"
}