GET / POST

[Robin]

Guten Morgen,

Wie kann ich einen Wert (GET aus vorheriger Seite) aus der Adresszeile des Browsers nehmen und in ein Formular einfügen?

http://www.url.ch/anmeldung.html?kurs=kurs1

Ich brauche diese Kursnummer im Formular anmeldung.html - dieses Formular verwendet post.

Danke für Deine Hilfe!

[sucker]

Ho,

so in der art:

<input type="text" value="<?php echo $_GET['kurs']; ?>" />
sollte eigentlich klappen, habe jetzt leider nicht die möglichkeit das auszuprobieren.

[Gunnar Bittersmann]

Hello out there!

so in der art:

Nein, was du “art” nennst, ist keine Kunst, sondern Stümperei.

<input type="text" value="<?php echo $_GET['kurs']; ?>" />
sollte eigentlich klappen,

Und Cross-Site Scripting klappt auch!!!11

habe jetzt leider nicht die möglichkeit das auszuprobieren.

Nenn den URI von einer deiner Seiten und ich probiere es darauf aus! >;->

See ya up the road,
Gunnar

[sucker]

Ho Gunnar,

kenne mich nicht mit XSS aus, aber ich glaube kaum das jemand was in der value eines textfeldes anstellen kann.... wenn doch berichtige mich doch bitte.

[Gunnar Bittersmann]

Hello out there!

kenne mich nicht mit XSS aus, aber ich glaube kaum das jemand was in der value eines textfeldes anstellen kann....

Du solltest deinen falschen Glauben durch richtiges Wissen ersetzten.

Was für HTML-Code generiert denn das PHP-Script bei Eingabe von '"/><script type="text/javascript">alert("böser Code")</script>'?

See ya up the road,
Gunnar

[Robin]

Will mich ja nicht einmischen, aber mein Problem besteht immer noch...! ;-)

Frage: Was kommt auf der 2. Seite?

1. Seite:

<form id="kurse" action="form2.php" method="get" name="kurse">

<input type="submit" name="kurs" value="kurs1"><br>
<input type="submit" name="kurs" value="kurs2">

</form>

2. Seite:

echo <?php ????????????? ?>

Danke für euere Lösung!

[Siechfred]

Frage: Was kommt auf der 2. Seite?
<form id="kurse" action="form2.php" method="get" name="kurse">

Deine 2. Seite ist also ein PHP-Script, dann lies im PHP-Handbuch das Kapitel zu $_GET und beherzige PHP-FAQ 11.18..

echo <?php ????????????? ?>

http://www.php.net/manual/de/language.basic-syntax.php#language.basic-syntax.phpmode

Siechfred

[Robin]

Danke für die Antwort...

Aber mittlerweile weiss ich wieso mein php-zeugs nicht funzt!
Es liegt am Server!

Wir haben vor kurzem den Server gewechselt. Und hier ist anscheinend nicht alles so wies sein sollte...

Als ich die scripts auf meinen eigenen Server ausprobierte funktionierte es einwandfrei!

Habe also den bisherigen Tag für nichts vergeudet! *arrrgh*

Tja, Anfänger habens schwer... :-)

Danke für die Hilfe!

[wucher wichtel]

Hallo!

Tja, Anfänger habens schwer... :-)

Nicht nur die ;-)

ciao, ww

[sucker]

Ho Gunnar,

ok, der "böse" Mensch geht auf meine Seite, hängt an der URL z.B ein bösen JavaScript code an und drückt enter. Aber dann wird doch der böse code bei ihm ausgeführt, sehe ich das richtig?
Ok, im wirklichen Leben habe ich schon eine abfrage was z.B das einfügen von fremden PHP code angeht, aber wirklich schlimm ist doch system(); und dinge die was aufm server anstellen können z.B dateien anlegen oder was auch immer.

Aber wie will ein böser denn meine Seite manipulieren das bei jedem aufruf egal von wem irgendwelchen code an der URL gehängt wird? Wie soll das gehen?

[wahsaga]

hi,

ok, der "böse" Mensch geht auf meine Seite, hängt an der URL z.B ein bösen JavaScript code an und drückt enter. Aber dann wird doch der böse code bei ihm ausgeführt, sehe ich das richtig?

Der böse Mensch verlinkt irgendwo im WWW oder einer E-Mail auf diesen URL, der arglose Nutzer denkt sich wenig dabei (denn dieser meist auch noch kodierte "URL"-Kram sagt ihm ja sowieso wenig) und klickt drauf - wähnt sich auf der wie gewohnt funktionierenden Seite, loggt sich dort in den internen Bereich ein - und schwupps, sind seine Zugangsdaten abgephisht.

gruß,
wahsaga

[sucker]

Hallo,

aha, ok so habe ich es noch nicht betrachtet, werde wohl mein augenmerk mehr auf sicherheit legen.
wird zeit das ich die ein oder andere seite überarbeiten sollte.... danke.
man kann doch mit google schauen wer so alles links auf meine seite setzt, sollte nun jemand mit böser absicht auf mich verlinken würde ich das ja theoretisch sehen.. mal schauen aber aufjedenfall sollte ich mehr AUFFPASSENN :) .
Schönes Wochende wahsaga !

[MudGuard]

Hi,

Der böse Mensch verlinkt irgendwo im WWW oder einer E-Mail auf diesen URL, der arglose Nutzer denkt sich wenig dabei (denn dieser meist auch noch kodierte "URL"-Kram sagt ihm ja sowieso wenig) und klickt drauf - wähnt sich auf der wie gewohnt funktionierenden Seite, loggt sich dort in den internen Bereich ein - und schwupps, sind seine Zugangsdaten abgephisht.

Sind sie das?
Das in die Seite eingeschleuste Javascript kann diese Daten doch wegen der Same Origin Policy die Daten maximal an den Server senden, von dem die Seite selbst kommt. Und dahin würden sie doch beim Login sowieso gesendet ...

cu,
Andreas

[MudGuard]

Hi,

Sind sie das?

Ja, sie sind. Man kann ja mit dem bösen Script z.B. ein image vom eigenen Server holen und die Werte dabei in die URL packen.

cu,
Andreas

[steckl]

Hi,

Was für HTML-Code generiert denn das PHP-Script bei Eingabe von '"/><script type="text/javascript">alert("böser Code")</script>'?

Das Javascript, das dein Beispiel erzeugt wird ja dann nur in den HTML-Code geschrieben, der dem Client der das PHP-Script aufgerufen hat zurueckgeliefert wird.
Also kann er sich doch dadurch nur selber schaden, oder?
Und wenn er ein Script abschickt, das ihm selber schadet ist er wohl auch selber schuld.

echo $_GET['kurs'];
Gibt es eine Moeglichkeit, in diesem Beispiel irgendetwas in $_GET['kurs] zu uebergeben, dass den Server beeintraechtigen koennte und dort z.B. eine Datei anlegen wuerde.

Wenn man beispielsweise system("touch file.txt") uebergibt wird der string system("touch file.txt") nur in die HTML-Ausgabe geschrieben und nicht ausgefuehrt.

Wuerde mich interessieren, ob ich hier irgendeine Sicherheitsluecke uebersehen habe.

mfG,
steckl

[wahsaga]

hi,

Das Javascript, das dein Beispiel erzeugt wird ja dann nur in den HTML-Code geschrieben, der dem Client der das PHP-Script aufgerufen hat zurueckgeliefert wird.
Also kann er sich doch dadurch nur selber schaden, oder?

https://forum.selfhtml.org/?t=149477&m=970863

gruß,
wahsaga

[steckl]

Hi,

Das Javascript, das dein Beispiel erzeugt wird ja dann nur in den HTML-Code geschrieben, der dem Client der das PHP-Script aufgerufen hat zurueckgeliefert wird.
Also kann er sich doch dadurch nur selber schaden, oder?

https://forum.selfhtml.org/?t=149477&m=970863

Danke, habs grad durchgelesen.
So weit habe ich nicht gedacht.

mfG,
steckl

[sucker]

Hi,

So weit habe ich nicht gedacht.

siehste, ich auch nicht. ich glaube sehr viele webdesigner/programmierer denken nicht daran..... wie man so im web sieht wenn es kennt...

[xpfreund]

Hallo,

Wie kann ich einen Wert (GET aus vorheriger Seite) aus der Adresszeile des Browsers nehmen und in ein Formular einfügen?

http://www.url.ch/anmeldung.html?kurs=kurs1

Ich habe das so gelöst: <?php
$kurse = $_SERVER['QUERY_STRING'];
$kurs = stristr($kurse, "kurs");
?>
<input type="text" value="<?php echo $kurs; ?>" />

Ist getestet.

gruß aus Hosena

[Gunnar Bittersmann]

Hello out there!

Ich habe das so gelöst: <?php
$kurse = $_SERVER['QUERY_STRING'];
$kurs = stristr($kurse, "kurs");
?>
<input type="text" value="<?php echo $kurs; ?>" />

So ein grober Unfug!

Ist getestet.

Damit meinst du, du hättest getestet, schädlichen Code einzufügen und es ist dir geleungen? Na dann ist ja alles in Butter ...

See ya up the road,
Gunnar

[xpfreund]

Hallo,

was ist denn da eingeschleust?

gruß aus Hosena

[Gunnar Bittersmann]

Hello out there!

was ist denn da eingeschleust?

https://forum.selfhtml.org/?t=149477&m=970856 ff.

See ya up the road,
Gunnar

[xpfreund]

Hallo,

Damit meinst du, du hättest getestet, schädlichen Code einzufügen und es ist dir geleungen? Na dann ist ja alles in Butter ...

Das hab ich nicht gewusst. Mit GET hatte ich mich noch nicht beschäftigt. Schließlich gings ja einwandfrei, hab ich gleich aktualisiert.

gruß aus Hosena

[Siechfred]

Wie kann ich einen Wert (GET aus vorheriger Seite) aus der Adresszeile des Browsers nehmen und in ein Formular einfügen?

Da hier im Moment nur PHP-Fans anwesend zu sein scheinen, traue ich mich kaum zu fragen: Mit welcher Technik willst du das lösen?

Siechfred