clozaril kopen winkel rotterdam kan ik periactin kopen bij apotheek ayurslim k kopen nolvadex en kamagra gold kopen hydrochlorothiazide codeine hoestdrank kopen kun je haldol bij de drogist kopen aldactone codeine kopen nederland cardura kopen in winkel generieke extra super avana kopen lozol 15 mg kopen viagra extra dosage kopen discreet zyloprim kopen in engeland clindamycin bestellen achteraf betalen waar kan ik veilig viagra sublingual kopen terramycin kopen fok goedkoop echte naltrexone viagra jelly kopen in nederland nizoral creme kopen van paroxetine naar diclofenac adalat kopen venlo crestor online kopen belgie atarax kopen goedkoop kytril kopen in belgie apotheek tadalis sx 5mg kopen legaal kamagra bestellen retin a retino-a 0 025 gel kopen betapace kopen in winkel anafranil meenemen naar spanje aleve kopen thailand lotrisone betrouwbaar bestellen zoloft 25 mg kopen malegra fxt plus kopen met acceptgiro metformin kopen apeldoorn goedkope cyklokapron kopen in nederland antabuse kopen zoetermeer avalide kopen veilig benicar kopen snelle levering viagra extra dosage kopen in polen calan bestellen betrouwbaar finpecia shampoo kopen belgie hoe pyridium kopen ayurslim kopen in utrecht overstappen paroxetine naar betapace omzetten clomid naar sertraline strattera kopen emmen phenergan kopen goedkoop betrouwbaar propecia bestellen carbozyne kopen in amsterdam bestellen precose nl betrouwbaar depakote kopen antwerpen promethazine emulgel kopen aldactone kopen in belgie cleocin gel hond kopen echte rosuvastatin kopen waar kan ik cialis super active kopen zonder recept arava nl bestelling niet ontvangen v-gel 10mg kopen veilig risperdal kopen vrouwen zetia kopen lopid kopen afhalen amsterdam zetia kopen duitsland generieke altace kopen vrouwelijke colchicine kopen orlistat online kopen belgie mycelex-g inhaler kopen lotensin kopen goedkoop waar kan ik sinequan pillen kopen mobic bij apotheek kopen cozaar sandoz 60 mg kopen arcoxia kopen in haarlem waarom slaat uroxatral niet aan topamax bestellen nederland priligy cabgolin kopen lexapro daily kopen altace nakuur kopen ervaring bestellen diovan nl veilig fosamax online kopen waar kan je florinef kopen cefadroxil bestellen belgie crestor bestellen later betalen valtrex aan een vrouw geven benzac van 20 naar 10 mg betapace kopen tiel anoniem benemid bestellen overgaan van paroxetine naar inderal waar kan ik terramycin oral jelly kopen dutas kopen 25 mg slim tea dermgel kopen moduretic 1 shampoo kopen olanzapine kopen legaal actos kamagra kopen waar kan je een betnovate pil kopen zoloft betrouwbaar bestellen hoe cialis extra dosage geven aan baby arimidex kopen onder rembours overstappen van sertraline naar norvasc cialis professional aan baby geven betrouwbare azulfidine kopen waar kan ik veilig entocort bestellen doxazosin inhaler online kopen echte nimotop kopen rosuvastatin mee naar amerika goedkoopste levitra extra dosage kopen 1 dostinex pil kopen generic ayurslim kopen acticin kopen met ideal aankoop singulair waar kan ik promethazine kopen zonder recept veilig online zyvox kopen diabecon antibiotica kopen dulcolax orlistat kopen snel hytrin kopen mag je requip meenemen naar thailand vrouwen benfotiamine kopen triamterene kopen utrecht wanneer nolvadex geven aan baby ervaring nimotop bestellen waar kan ik cardizem bestellen fucidin diclofenac kopen tetracycline kopen met paypal quibron-t pil kopen valtrex bestellen apotheek overstappen van citalopram naar avodart fucidin betrouwbaar kopen aleve bestellen apotheek extra super viagra bestellen met creditcard goedkope lopressor kopen zonder recept dostinex zonder recept bestellen periactin chewable kopen artane waar bestellen misoprostol doxycycline kopen ervaring avana bestellen haldol bestellen zonder recept zyprexa kopen voor vrouwen saw palmetto in apotheek kopen probalan bestellen kopen ervaringen met brand advair diskus kopen ervaring bestellen xenical nl kytril cream kopen veilige atarax bestellen kun je pletal bij de apotheek kopen plaquenil inhaler online kopen bestellen roxithromycin nl betrouwbaar lamisil kopen arnhem albenza kopen in turkije echte plaquenil online kopen shuddha guggulu inhaler online kopen flomax kopen prijs overstappen van septilin naar prozac lithium mistroprostol kopen amitriptyline bestellen zonder recept in nederland aankoop diovan waar kan ik pyridium shampoo kopen bupropion oral jelly kopen in belgie hoe kan je aan diflucan komen finax kopen 1 tablet waar kopen jullie slim tea van citalopram naar benadryl levitra kopen via internet antibiotica himplasia kopen cystone oral jelly kopen amsterdam levitra super active kopen zonder recept apotheek nitrofurantoin jelly kopen amsterdam paroxetine naar aspirin lynoral van 20 naar 10 mg advair diskus tabletten bestellen zonder recept waar kan ik brand cialis kopen zonder voorschrift norvasc in apotheek kopen evista bestellen via apotheek ervaringen innopran xl bestellen serpina kopen thailand prilosec aan een vrouw geven cephalexin kopen in winkel atorlip slaat niet aan aankoop kamagra confido 15 mg kopen kan ik v-gel bij de apotheek kopen betnovate kopen met paypal zofran betrouwbaar bestellen van seroxat naar orlistat viagra extra dosage kopen snelle levering ervaring bestellen plavix nl procardia kopen frankrijk norvasc kopen forum avana kopen alkmaar shuddha guggulu kopen zonder voorschrift nexium kopen bij apotheek kortingscode slimex bestellen pristiq kopen in usa vrouwelijke vasotec bestellen brand advair diskus codeine kopen nederland cialis sublingual 150 kopen plavix kopen lelystad strattera kopen marktplaats tenormin voor vrouwen bestellen tinidazole meenemen naar het buitenland hoe aan effexor xr komen depo cleocin kopen nolvadex en cialis super active kopen voordelig geriforte syrup kopen geriforte syrup kopen in het buitenland viagra super active kopen met acceptgiro brand amoxil pil los kopen kamagra oral jelly bestellen ophalen liponexol kopen buitenland levitra professional kopen review veilige clozaril bestellen paroxetine kopen haarlem famvir kopen in breda overstappen van sumycin naar paroxetine vrouwen entocort bestellen pilex 75 mg kopen differin inhaler online kopen zovirax anoniem bestellen aspirin kopen hengelo betrouwbare mestinon kopen lamisil kopen zonder recept veilig online suhagra kopen bentyl baby kopen rumalaya forte kopen sittard celebrex haargroei bestellen goedkope dutas kopen in nederland levothroid sandoz 120 mg kopen overstappen van omnicef naar efexor actavis codeine caverta kopen waar kun je minocycline pillen kopen triamcinolone kopen netpharm natuurlijke probalan kopen actavis tadacip codeine kopen diclofenac in turkije kopen online accutane kopen zofran inhaler online kopen yasmin zalf bestellen micronase van 20 naar 10 mg waar kan ik het beste kamagra chewable bestellen ervaringen retin-a online kopen prinivil bestellen zonder voorschrift synthroid bestellen+onder rembours florinef kopen maastricht brand cialis kopen pakjegemak kun je noroxin bij de apotheek kopen overstappen van glucophage naar venlafaxine ventolin goedkoop bestellen promethazine kopen in apotheek benzac kopen in de winkel van 5 mg naar 10 mg epivir-hbv dipyridamole diskus kopen zonder recept hoe kan je aan cleocin gel komen finasteride glucovance kopen celadrin kopen forum coumadin bestellen zonder voorschrift midamor kopen bij apotheker maxalt kopen in portugal waarom slaat tadacip niet aan finpecia kopen marktplaats midamor kopen in haarlem omnicef om aan te komen liv 52 kopen onder rembours msd doxycycline kopen codeine alavert kopen benadryl kopen amersfoort zyprexa kopen onder rembours epivir-hbv vrouwen kopen phenergan kopen hoorn plendil mee naar spanje doxazosin kopen op curacao 1 requip pil kopen hyzaar kopen online goedkoop clindamycin emulgel online kopen viagra dermgel kopen waar kun je albenza pillen kopen levothroid 20 mg kopen desyrel kopen drogist lady era kopen met acceptgiro triamcinolone kopen niet online voordelig lexapro kopen lotensin 10 mg kopen overstappen van citalopram naar imuran seroquel kopen venlo flagyl er voor vrouwen bestellen procardia bestellen onder rembours buspar bestellen nl betrouwbaar waarom slaat tegretol niet aan imuran kopen en ophalen malegra fxt plus shampoo kopen geriforte syrup 800 mg black kopen kan ik aceon zonder recept kopen overstappen van sertraline naar mircette hyzaar kopen amersfoort doxycycline kopen zwolle depo actos kopen van kamagra naar wellbutrin xalatan in de winkel kopen van paroxetine naar lexapro discreet zestoretic kopen viagra sublingual kopen in alkmaar kan ik benadryl kopen bij apotheek van differin naar prozac bystolic gel kopen hoe kan je aan indocin komen snel pletal kopen actavis codeine extra super cialis kopen originele haldol kopen trental kopen in breda overstappen van zovirax naar paroxetine waar hydrea kopen tadacip kopen zwolle waar betrouwbaar estrace bestellen amaryl kopen duitsland omzetten lopressor naar sertraline xalatan 75 mg kopen myambutol 50 mg slaat niet aan waar kan ik fertomid kopen zonder voorschrift calan super active kopen amaryl codeine kopen nederland rogaine legaal kopen micardis voor vrouwen bestellen maxalt kopen in winkel top avana vrouwen kopen benadryl kopen in utrecht renagel pillen kopen in winkel dulcolax kopen voor mannen veilig citalopram online kopen ervaringen met metformin kopen viagra extra dosage online kopen betrouwbaar waar seroquel kopen zonder recept reglan nakuur kopen probalan kopen den bosch goedkoop extra super levitra kopen protonix k 25 mg kopen erectiepil imuran kopen viramune bestellen veilig propranolol van 20 naar 30 mg clindamycin voor honden kopen mestinon kopen snelle levering van seroxat naar exelon temovate kopen afhalen overstap van diltiazem naar venlafaxine risperdal bestellen 24 uur naltrexone in thailand kopen arava bestellen goedkoopste waar kan ik finax kopen zonder voorschrift depakote bestellen op acceptgiro vloeibare bentyl kopen cyklokapron kopen goedkoop waar kan ik paroxetine kopen in rotterdam tulsi sleep kopen en ophalen ayurslim tadalafil kopen flonase kopen bij de apotheek sarafem bestellen bij apotheek toradol voor vogels kopen fucidin kopen ervaringen waar kan ik nitrofurantoin shampoo kopen zonder recept sumycin kopen generieke pletal kopen belgie xenical kopen pakjegemak nootropil zetpil kopen depakote bestellen zonder recept in nederland zenegra misoprostol kopen forum haldol kopen waar kun je het beste paxil kopen slimex kopen 1 tablet snel keflex kopen peni large kopen via apotheek arcoxia vloeibaar kopen waar kan ik veilig bupron sr kopen van lipotrexate naar eslipotrexate luvox bestellen in het buitenland afbouwen lipitor van 20 naar 10 mg bestellen advair diskus nl betrouwbaar welke pletal kopen gewenning aan sinequan fertomid kopen fok waar kan ik imuran shampoo kopen ervaringen bestellen kamagra super nl van seroxat naar coreg misoprostol florinef kopen betrouwbare acticin bestellen poppers lasuna kopen peni large kopen gelderland himcolin in belgie kopen originele geriforte kopen abilify laagste prijs ginette-35 snel bestellen echte actoplus met kopen epivir-hbv kopen pakjegemak synthroid mee naar spanje ervaringen aleve bestellen nl doxycycline kopen zonder recept apotheek brand amoxil kopen in winkel amsterdam lasix generiek kopen plendil apotheek kopen allopurinol bestellen nederland kan ik vasodilan kopen zonder voorschrift skelaxin voor kippen kopen endep kopen in griekenland cholestoplex kopen leeuwarden actonel kopen kruidvat antivert 5mg kopen naltrexone 5 mg bestellen zonder recept altace 75 mg kopen levlen 2 kopen van aciphex naar efexor rumalaya gel mee naar thailand waar kan ik echte crestor kopen ervaring bestellen propecia nl avapro belgie kopen diclofenac gel kopen internet endep inhaler online kopen mobic bestellen later betalen hoe tinidazole toedienen aan baby ik wil roxithromycin kopen waar kan ik proscar kopen zonder voorschrift hoe geef ik shatavari aan baby elimite 150 mg kopen noroxin pillen kopen in winkel kun je cyklokapron kopen bij apotheek waar kun je eldepryl kopen depakote nakuur kopen plaquenil snel bestellen levitra soft kopen fok alavert bestellen goedkoopste doxazosin mannen kopen kun je yasmin zomaar kopen diltiazem shampoo kopen nederland benzac belgie kopen zestril met codeine kopen generieke cipro kopen in nederland overgaan van paroxetine naar colchicine keflex kopen bij kruidvat van duphalac naar esduphalac metoclopramide kopen deventer myambutol kopen gent misoprostol female viagra kopen reminyl kopen op internet benzac bestellen groningen benfotiamine aan hond geven overstappen van cefixime naar sertraline mobic chewable kopen waar echte innopran xl kopen van prandin naar prozac aleve kopen onder rembours grifulvin v zalf kopen zyrtec daily kopen afbouwen finpecia van 20 naar 10 mg micardis pleister kopen goedkope plendil kopen in nederland lipitor 40 kopen ervaring doxycycline bestellen malegra dxt kopen afhalen amsterdam depakote bestellen duitsland prograf 25 mg kopen forum flexisyn kopen zonder recept finpecia kopen viagra bestellen zonder recept in nederland overstappen van kamagra soft naar venlafaxine v-gel bestellen nederland cabgolin aan vrouw geven hoe penegra toedienen aan baby effexor xr apotheek kopen rumalaya forte koortslip kopen kan ik finax zonder recept kopen vertrouwd duetact kopen hoe myambutol kopen aristocort aan hond geven nootropil overgewicht nootropil bestellen rumalaya liniment in belgie kopen allergisch aan suprax nizoral kopen arnhem tofranil betrouwbaar kopen allegra bestellen zonder recept nederland ik wil extra super levitra bestellen imuran novartis kopen chloramphenicol onthaakmat kopen singulair drank kopen plaquenil mee naar amerika cephalexin shampoo kopen belgie venlor bestellen nl ervaringen lincocin kopen harderwijk brand amoxil kopen in winkel nijmegen altace kopen niet online kan ik precose kopen bij apotheek actoplus met online kopen ideal slim tea kopen betrouwbaar cardizem 20 mg online kopen brand amoxil professional kopen terramycin kopen in breda waar goede cardura kopen brand cialis kopen internet chloroquine kopen hoorn ervaring bestellen medrol nl in welke winkel kan ik levitra kopen legaal atrovent bestellen super meclizine kopen lopressor kopen in portugal kemadrin shampoo kopen nederland trazodone kopen maastricht waar veilig lipotrexate kopen vloeibare tadapox kopen
Home Forum Download/Upload Links Search

NetTalk User Group

NetTalk User Group Meeting!
Live Webinar!
Saturday Nov. 16 
7am PST
Click Here To Register!
Home arrow Forum arrow NetTalk Web Serverarrow Web Server - Share Knowledgearrow Security: HTML Injection / XSS attacks.
NetTalk Central
July 01, 2016, 01:56:06 AM *
Welcome, Guest. Please login or register.

Login with username, password and session length
News: Welcome to the NetTalk Central Forums!
 
   Home   Help Search Login Register  
Pages: [1]
  Print  
Author Topic: Security: HTML Injection / XSS attacks.  (Read 3006 times)
Bruce
Global Moderator
Hero Member
*****
Posts: 8171



View Profile
« on: August 16, 2012, 02:01:09 AM »

HTML Injection is a security issue which occurs when you let users enter "html" content. So, for example, if you have a text control on a form, and Allow xHTML is on, then you're allowing the user to enter HTML and content, and then you will display that content using their HTML markup.

Unfortunately HTML is not limited to visual markup though. It includes things like the <script> tag, which allow code to be embedded inside the content. When unwanted html appears in user content, that is called HTML Injection. If the code they inject is JavaScript then that is the start of a "Cross Site Scripting" (XSS) attack.

If this code runs on _another_ users browser (no code runs on the server), then the attacker may be able to get information from them, or their computer in a way that the programmer did not expect, or intend.

In short, "cosmetics good, code bad."

For builds of NetTalk before 6.40 it was the responsibility of the developer (you) to make sure that anywhere you ticked on "allow xHtml", you checked that the xHtml you were displaying was "safe". However that's hard to do.

Scrubbing html of code is tricky because there are a large number of vectors that can be used. the <script> tag is not hard to remove, but it's the tip of the iceberg. So, to make it a bit easier, and ultimately more secure, from build 6.40, NetTalk has automatic scrubbing built in.

NetTalk uses a whitelist approach, accepting html it specifically recognizes as valid, and rejecting unrecognized html. This makes it more secure (because "new attacks" generally fall into the "unrecognized" camp.) The alternative (searching for specific bad code) may require updating regularly as new attack vectors are discovered.

In other words, some perfectly legitimate html tags are "blanket excluded" simply because they allow the user too much power. The legal tags excluded in this way are;

Excluded (by design):
base, body, button, canvas, comments, command, datalist, embed, eventsource, frameset, frame, form, head, html, iframe, input, keygen, link, menu, meta, nav, object, optgroup, option, param, script, select, style & textarea

In other words, content stored in your database, which will be displayed via a browse or form or whatever, will not be allowed to contain these tags.

Let me be 100% clear here. This does not affect the xHTML tab (where you can enter your own custom xHtml). It does not affect the html being generated by the templates. It only applies to html which is being read from the database - ie those places where you have explicitly ticked on "Allow xHTML".

The downside with this approach is that some "legitimate" HTML is not allowed. For example, the Hyperlinks example has a browse (BrowseMedia) which included HTML  (youtube videos) containing <iframe> and <object>. Since those are both on the "not allowed" list, they are (by default) no longer playable. This may affect your application if you currently have very rich HTML content stored in your database.

So an extra switch has been added to the template wherever an "Allow xHTML" option is located, there's now also an option to "Allow UNSAFE xHtml". This puts the onus back on you to scrub the HTML in an appropriate way.
But wait, there's more...

You may want to change the list of tags that are allowed, either by adding more allowable tags, or by disallowing some tags which are allowed by default. In this way you can adjust the level of safety, without having to go to a completely unsafe mode. To do this you can embed code in the .TagOk method in the WebServer procedure. for example;

case lower(p_tag)
of 'object'
  return true
end


Embedding this before the parent call, would make the <object> tag allowable.

As always, security remains a process, not a destination, so remaining up to date (or reasonably up to date) with NetTalk builds is always recommended.
Logged
Niels Larsen
Full Member
***
Posts: 216


View Profile Email
« Reply #1 on: August 16, 2012, 07:06:28 AM »

I've never thought of that. Nice to have "someone" to do the hard work for you.
Thanks!!
Logged
RayA
Newbie
*
Posts: 43


View Profile WWW Email
« Reply #2 on: August 16, 2012, 01:00:15 PM »

 Grin

This is why we pay Bruce the BIG BUCKS!

Great Post Bruce!  Very informative!

 Grin

« Last Edit: August 16, 2012, 01:02:24 PM by RayA » Logged
Pages: [1]
  Print  
 
Jump to:  

Powered by MySQL Powered by PHP Powered by SMF 1.1.11 | SMF © 2006-2009, Simple Machines LLC
Joomla Bridge by JoomlaHacks.com
Valid XHTML 1.0! Valid CSS!

Login Form

Welcome Guest.






Lost Password?
No account yet? Register
home contact search contact search