referer headerının kendi sitenden olmasını engellersen %99 başarısız olur hack işi emirhan-exp tarafından 25/Nis/17 21:06 tarihinde düzenlenmiştir

strip_tags ; şeklinde sadece editrdekilere izin verdim hocam Do majr soylu ve açık szlü, Do minr patetik, Re majr parlak, Re minr melankolik, Mi bemol majr soylu ve patetik, aydinlik ama soylu ve karamsar tonmu lazim ozaman; mi majr, Mi minr doğanin ilk minr tonu olmasina karsin biraz melankoliktir, Fa majr karışıktır, Fa minr hepsinden patetiktir, Fa Diyez majr iste güçtür çünkü degiştirgeçlerle asiri yuklenmistir, Si majr parlak ve oyun bozannn :))

yok strip_tags ; ile sadece bu taglara izin verdim çzüldü olay Do majr soylu ve açık szlü, Do minr patetik, Re majr parlak, Re minr melankolik, Mi bemol majr soylu ve patetik, aydinlik ama soylu ve karamsar tonmu lazim ozaman; mi majr, Mi minr doğanin ilk minr tonu olmasina karsin biraz melankoliktir, Fa majr karışıktır, Fa minr hepsinden patetiktir, Fa Diyez majr iste güçtür çünkü degiştirgeçlerle asiri yuklenmistir, Si majr parlak ve oyun bozannn :))

@arkinfes hocam CSRF açığı hakkında bildiklerimi yazacak olursam; sanatsozluk sitesini ele alırsak senin site içinde MyProfile isminde bir controllerın onun içinde de DeleteAllPosts diye bir methodun olsun . Bir üye bu metodu çağırırsa yani adres satırına sanatsozluk.com/MyProfile/DeleteAllPosts yazarsa o üyenin sitedeki bütün postları silinsin. DeleteAllPosts metodunun içiyse şyle olsun sallıyorum; function DeleteAllPosts { if (isset sorun yok. } Ben senin sitende login olmuş durumda kendi isteğimle bu metodu çağırırsam yani senın sitende bir "postları sil" butonu olsa bende bu butona bassam ve postları kendi isteğimle silsem sorun yok ancak birisi buraya bir link koyar linkte soyle olsun IPHONE 6 KAZANMAK ICIN TIKLA Boyle bı lınkın yazı kısmında iphone kazan vs yazıo şimdi ben bu linke iphone kazanmak için tıklasam nolucak? Eğer senin sitende login durumundaysam yani session hayattaysa benim sitedeki bütün gnderilerim silinecek. Cünkü sanatsozluk.com/MyProfile/DeleteAllPosts adresine gidiyorum. İşte bu olay siteler arası istek sahteciliği oluyor. Başka bir siteden kullanıcının bilgisi dışında bir ynlendirme yapıldı. Bunu engellemek içinde serverda ürettiğimiz tokenı sessiona koyuyoruz. Ve o token ıda aynı zamanda view a yani html cıktımıza gizli olarak yazıyoruz. Bundan sonra bi istek gelirse bakıyoruz acaba sessiondaki değerle gelen istekte eklenmıs olan token degerı aynı mı acaba diye. Bu korumayı birşeyler eklerken, form ile veri kaydederken falan yaparız. Okuma işlemlerinde falan gerek yok CSRF korumasına falan. Hızlıca bi ozet gecmeye calıstım anlasılmayan kısım varsa soyle detaylandıralım. Hannibal_King tarafından 30/Nis/17 01:35 tarihinde düzenlenmiştir

Herkese merhabalar, her zamanki gibi benim sorum var :).htmlpurifier veya benzer bir sınıfta olabilir bunu kullanarak nasıl sadece xss kodlarını temizleyebilirim sadece xss açığını kapatmak istiyorum diğer taglara izin versin çünki metin editr kullanıyorum. Bana yardımcı olabilirseniz çok sevinirim türkçe hiç kaynak yok ingilizcemde yok :) sırf benim için olmaz yarın birgün nette başkası ararsa burda bulabilir hem :D çok hazırcılık oluyor ama çok sıkışık durumdayım. sevgilerle Do majr soylu ve açık szlü, Do minr patetik, Re majr parlak, Re minr melankolik, Mi bemol majr soylu ve patetik, aydinlik ama soylu ve karamsar tonmu lazim ozaman; mi majr, Mi minr doğanin ilk minr tonu olmasina karsin biraz melankoliktir, Fa majr karışıktır, Fa minr hepsinden patetiktir, Fa Diyez majr iste güçtür çünkü degiştirgeçlerle asiri yuklenmistir, Si majr parlak ve oyun bozannn :))

hocam onu dışardan post edip hackliyorlar demiş ona yazacaktım buraya yazdım. istemciyi değiştirmek mümkün çünkü. neyse sonuç olarak metin editrünüz link yerine "javascript:alert " gibi şeyler kabul ediyorsa sorun var demektir. şu rneği test edebilirsiniz <a href="javascript:alert ">deneme</a> işin daha ktüsü body onload bile yapılabilir index basılabilir. emirhan-exp tarafından 26/Nis/17 22:41 tarihinde düzenlenmiştir

<a onClick(javascript:alert yazabilir o yüzden dedim sen bilirsin hoca emirhan-exp tarafından 25/Nis/17 20:37 tarihinde düzenlenmiştir

Script, iframe engellesen yeter sanırım xss ve csrf için. Ya da editründeki butun html etiketlerini sırayla whitelist yapican black implies white, self implies other, life implies death.

Script, iframe engellesen yeter sanırım xss ve csrf için. Ya da editründeki butun html etiketlerini sırayla whitelist yapican Csrf bambaşka bir şey hocam. Csrf engellemek icin sayfaya token falan koyuyoruz server a gelen istek acaba gerçekten bizim site üzerinden mi geldi diye anlamak icin

Referrer, tarayıcı tarafından gnderilir. İstemci bazlı çzümle güvenlik sağlanamaz. XSS için https://www.owasp.org/index. php/XSS_%28Cross_Site_Scripting%29_Prevention_Cheat_Sheet Olaylara karışmayın!

htmlpurifier gibi sınıflar eğer ki kullanıcıdan, sitenden yorumlanması gereken HTML kodu alıyorsan kullanmak gereken sınıflardır. Diğer herşey için kullanıcıdan aldığın tüm verileri htmlspecialchars gibi metodlarla html kodlarını encode etmelisin. DrKill tarafından 23/Nis/17 00:05 tarihinde düzenlenmiştir Bu imzayı her grdüğünüzde 4gb kotanızın 0,00000358559191226959228515625 azalmaktadır. Bilerek ve istenerek bu imza yapılmıştır. Amaç kotanızı smürmektir

hocam şu işine yarar %95: str_replace str_replace str_replace emirhan-exp tarafından 25/Nis/17 20:32 tarihinde düzenlenmiştir