Antwortformular mit JavaScript kontrollieren ?

[bari]

Guten Abend Martin,

sogar zwei Klassiker.

1. Man setzt GET- oder POST-Parameter ungeprüft in ein SQL-Statement ein. Du erwartest vielleicht einen harmlosen Benutzernamen, ein böswilliger Kandidat übergibt dir aber einen String, der, in ein SQL-Statement eingefügt, auch wieder ein gültiges, aber verändertes Statement ergibt. Noch nie die Geschichte vom kleinen Bobby Tables gelesen?

nein, kenne ich bisher noch nicht.

2. Du erlaubst dem Besucher in einem Anfrageformular, den Betreff für die generierte Mail selbst einzutragen. Anstatt "Problem beim Login" übergibt er dir nun den String "foo\r\nCC: [e-mail], [e-mail]". Und schon hast du eine hübsche kleine Spamschleuder.

Besten Dank für die Beispiele.

Gruss
bari.