Hola!!

Verán, ando haciendo un BBCode, pero descubrí un XSS en un sitio (quien lo quiera por MP, para no hacer spam) en el que había cientos de XSS... entré a ver si alguno afectaba a mi sistema y sí, hay uno que me es imposible solucionar.

Tengo esto para los links (que es donde hay XSS) :

Código: [Seleccionar]

/\[url=(.+)\](.+)\[\/url]/Usi

Si se fijan, con poner:

Código: [Seleccionar]

[url]java script:alert(/xss/);[/url]
(El espacio es un tab, no un espacio normal)

Como bien saben, en HTML los espacios, para que se vean se han de convertir a  , y aprovechando eso, funciona el XSS.

Me gustaría encontrar algún modo de solucionar el problema con las expresiones regulares y sin usar urlencode() o parecidos, ya que necesito hacerlo con expresiones regulares sí o sí.

Saludos.

Hay una parte que no entiendo... ¿Cómo se ejecuta el XSS si solo es un texto que apunta a javascript:alert('XXX');?

Puedes extraer todos los * y después comprobarlos en una función para que al final se haga el preg_replace de cada URL ¿me entiendes?

Perdona, pero eso ya no es XSS. Porque no están inyectando código que afecte el funcionamiento frontend de la página. Estás siendo muy extremista. Bueno, entrando en tema: si haces que todos los vínculos que se usen con ese bbcode se abran en una nueva página, no debe pasar nada. Por cierto, lo que la mayoría de los que usan BBCode hacen, es agregar el http:// antes de mostrar los enlaces (si no lo tienen).

Además, me parece un poco exagerado lo de "consumiría bastante RAM". Ese tipo de "optimizaciones" me dan a entender que lo tuyo no son los CMS ni los frameworks.

Perdona, pero eso ya no es XSS. Porque no están inyectando código que afecte el funcionamiento frontend de la página. Estás siendo muy extremista. Bueno, entrando en tema: si haces que todos los vínculos que se usen con ese bbcode se abran en una nueva página, no debe pasar nada. Por cierto, lo que la mayoría de los que usan BBCode hacen, es agregar el http:// antes de mostrar los enlaces (si no lo tienen).

Además, me parece un poco exagerado lo de "consumiría bastante RAM". Ese tipo de "optimizaciones" me dan a entender que lo tuyo no son los CMS ni los frameworks.

En realidad hay una vulnerabilidad XSS siempre que puedes inyectar códigos en el navegador de otra persona, así que si habría un ataque XSS.
Eso de "click aquí" tampoco es una cosa del otro mundo. La mayoría de los usuarios si no tienen ni idea de informatica van a pinchar y ya está.
Lo que se puede hacer con algo así es innumerable.

La solución, borrar whitespaces antes de hacer la expresión regular y listo.
Ya sea con otra expresión regular o alguna función de PHP.

Saludos

La vida es así.
No todo puede ingresarse en todos sitios.
Como en este caso: no tiene sentido usar un tabulador en un link, porque los links no llevan tabulaciones, y lo que se hace es complicar la vida.
Si los links no usan tabulaciones, entonces no los permitas, de eso mismo se trata.

El problema es que se quieren dar demasiadas libertados y posibilidades al usuario, y eso no debería pasar.
Si tu estás pidiendo un link, el contenido del campo DEBE ser un link. Si no lo es, pasan cosas como estas. Y si un usuario quiere introducir un tabulador en un link, entonces o quiere ver las vulnerabilidades del sitio, o no sabe nada en absoluto de lo que está haciendo.

Otra cosa es un campo de texto, si quieres mostrar tabulaciones en campos de texto puedes hacerlo, no hay nada de malo.
Pero filtra según lo que permitas. Puedes hacer un str_replace de \t por   o algo por el estilo, pero no me gusta demasiado la idea.

La idea es que tú delimites lo que el usuario pueda hacer. No tener barreras está bien, pero siempre que puedas mantenerlo, y a veces intentar ser tan... "libre" puede salirte caro.
Busca siempre un por qué, no simplemente "por qué el usuario podría querer".
Me explico, en un sitio como PHPeros o donde se comparte código, va a ser necesario que tratemos las tabulaciones, pero si alguien va a escribir en un muro de Tuenti (por ejemplo) no tiene sentido usar tabulaciones. No están pensados para eso.

Aún asi, ya te digo, si quieres hacerlo puedes probar a sustituir \t por  

Por cierto, ni siquiera PHPeros (SMF 2.0.1) permite los tabuladores en los mensajes. Si hacéis la prueba copiando y pegando desde el bloc de notas, por ejemplo, vais a ver que lo que hace es sustituir la tabulación por un montón de espacios en blanco, pero no es una tabulación en sí.

Un saludo