header location (sicherheit parameterübergabe)

[versuch13]

Ich habe gelesen dass Sicherheitsrisiken bestehen wenn man eine Weiterleitung per
header realisiert und Benutzer Parameter manipulieren.

Also ich habe eine Datei die aufgerufen wird,

domain.de/redirect.php?u=http://www.google.de/

u kann eine Eingabe des Users sein. Ist es ausreichend wenn ich urlencode darauf anwende?

Danke.

 

[KD3]

http://de.wikipedia.org/wiki/HTTP_Response_Splitting

 

[Gumbo]

Wenn du urlencode() nutzt, erhältst du einen verfälschten Wert, da nicht nur die Metazeichen eines HTTP-Header-Feldwerts maskiert werden. Dies ist nämlich nur die Zeilenumbruchsequenz 0x0D0A. Es reicht also die Zeilenumbruchzeichen zu ersetzen:

str_replace("\r", '%0D', str_replace("\n", '%0A', $str))

 

[versuch13]

Danke, Gumbo. Nur eine kurze Frage noch. Durch was werden die Zeichen hier ersetzt?
Für was steht %0D und %0A? Vielleicht kann mir das wer noch genau erklären damit ich auch weiß was da vor sich geht. Hätte denn

str_replace("\r", '', str_replace("\n", '', $str))

nicht dieselbe Wirkung?

Danke.

 

[KD3]

0A ist z.B ein Hex-Wert der für LF (LINE FEED) steht.
0D steht für CR (CARRIAGE RETURN)

http://de.wikipedia.org/wiki/Ascii
http://de.wikipedia.org/wiki/Hexadezimalsystem

 

[versuch13]

Ja, nur weshalb ersetzt man diese Werte und entfernt sie nicht einfach?
Ein URI kann dieses Werte doch sowieso nicht enthalten oder? Man könnte
dann doch eigentlich auch \r\n einfach nur entfernen oder mißverstehe ich da
etwas?

 

[KD3]

nunja... das müsstest du eigentlich nicht, es würde schon ausreichen wenn du alle Backslashes nach %5C konvertieren würdest dann is das r oder inkl. n und das dahinter stehende kommando, nicht mehr von bedeutung. Ich hätte es so gemacht:

function mkclear($src) {

return preg_replace("~([\x25][a-f0-9]{2,}){1,}~i", "", $src);

}

 

[Gumbo]

Das ist richtig, die Zeichen 0x0A und 0x0D sind in URLs nicht erlaubt sondern müssten entsprechend kodiert werden (%0A und %0D). Sie zu entfernen würde zwar auch vorm Einschleusen von Schadcode bewahren, würde aber gleichzeitig auch die URL verfälschen.

 

[versuch13]

Das ist richtig, die Zeichen 0x0A und 0x0D sind in URLs nicht erlaubt sondern müssten entsprechend kodiert werden (%0A und %0D). Sie zu entfernen würde zwar auch vorm Einschleusen von Schadcode bewahren, würde aber gleichzeitig auch die URL verfälschen.

Ok, vielen Dank!