cymbalta genéricos de marca vs comprar micardis 80 mg dramamine para la venta celebrex 200 mg de celecoxib es de 200mg de lamictal mucho propranolol para el trastorno de estrés postraumático paroxetine 10 mg y el alcohol dosis zanaflex 4mg costo wellbutrin xl nexium cápsula de precio doxiciclina 100 mg para los gatos lariam costo en botas comprar viagra sobre mesada londres finasteride farmacia zithromax 250 mg clamidia es de 10 mg celexa eficaz la marca viagra vs generic viagra nexium genérico de 2012 voltaren 100 mg usa 1000 mg de prednisona ms ¿cuánto tiempo zoloft llevar al trabajo para el trastorno de pánico risperdal para el trastorno de oposición desafiante efectos secundarios de prometrium 200 mg durante el embarazo lo que es el tamoxifeno 10 mg ¿cuánto tiempo tarda paxil 20 mg para trabajar la eritromicina 125 mg jarabe ranitidine 300 mg lo que es para tegretol canadá comprar zithromax tailandia ¿necesito una receta para viagra en la india cómo dejar de tomar 100 mg de seroquel zoloft precio de walgreens cozaar 50 mg de color cialis genéricos de la india donde comprar tretinoin gel en línea terugbetaling fosamax 70 mg clindamicina 300 mg costo viagra de 100 mg ¿cuánto tiempo dura ¿cuál es el máximo mg de lexapro prednisona 5 mg precio en la calle ciprofloxacin 500mg 127 la olanzapina teva 10 mg flashback lisinopril al 10 mg imitrex inyecciones genéricas ciprofloxacina tab 500 mg efectos secundarios viagra costo de desarrollo metoprolol tartrato de 25 mg presión arterial dónde comprar cialis en línea de yahoo respuestas el pedido de pastillas de viagra farmacia canadiense nizoral shampoo lexapro 10 mg usa donde puedo comprar viagra en doncaster zyvox 100mg 5ml suspensión zetia receta cupones aygestin costo genérico valtrex costos aldara costo en canadá ventolin precio walmart effexor 75 mg vs celexa 20 mg comprar viagra bradford risperdal consta 25 mg im precio de risperdal genérico comprar la marca proscar se puede comprar diflucan sin receta en estados unidos orlistat generico peru phenergan comprimido genérico identificador comprar tetraciclina en el reino unido comprar barato cialis 20mg comprar singulair barato 25 mg de seroquel efectos secundarios costo de cialis una vez al día ¿necesita receta para comprar cialis en mexico finasteride 1mg marcas wellbutrin precios walgreens metformin 850 mg precio comprar tamoxifeno nolvadex el reino unido comprar plavix medicamento más barato de nexium genérico seroquel 400 mg donde comprar terramycin para las abejas genérico celexa nombres costo alesse canadá zocor ventas 2011 ¿cuánto tiempo zanaflex 4 mg estancia en su sistema viagra canada comentarios 100 mg benadryl embarazada xenical sin receta viagra de 50 mg preisvergleich donde puedo comprar clomid en filipinas hace cialis vienen en 10mg cupones de descuento para allegra comprar motilium en línea de canadá prednisone biogaran 20 mg versión genérica de plavix dónde comprar genérico accutane ¿cuánto lisinopril 20 mg costo escitalopram mylan 10 mg 10 mg celexa y embarazo nolvadex para la venta canada cialis uk entrega express genérico bactrim antibióticos renagel ventas anuales crestor no genérico ¿con qué frecuencia puedo tomar benadryl 50 mg cialis de canadá farmacia en línea avodart costo de medicamentos cuál es el promedio de costo de viagra cómo tomar benadryl pastillas ¿cuánto prometrium 100 mg costo paxera paroxetine 10 mg más barato zetia genérico valtrex como eficaz ventolin hfa profesional de muestras ¿cuánto tiempo seroquel 50 mg tomar para trabajar generico do viagra efeitos seroquel xl 50 mg ¿cuánto phenergan costo en walgreens genuina viagra canadá la paroxetina y el trastorno de ansiedad generalizada el lexapro genérico ineficaz ¿cuánto genérico zyprexa costo 1500 mg de metformina durante el embarazo nimotop de 30 mg zantac 30 mg prednisona 5 mg para el acné pristiq vs effexor costo lincocin cápsula de 500 mg lisinopril 10 mg lupin comprar propecia en línea en el reino unido ¿cuál es el propranolol 40 mg comprimidos se utiliza para clomid 100mg días 3 y 7 de la ovulación genérico synthroid costo cephalexin 500mg cápsulas para la infección de los senos paranasales doxycycline hyclate 100mg cap utilizado para como tomar o clomid 50mg genérico viagra super active 100mg glucovance comprar uso diario cialis costo hydrea 500 mg precio ¿cuál es la dosis de celebrex 200mg la rosuvastatina tabletas de 5 mg puede zithromax pastillas de ser aplastado neurontin 400 mg precio norvasc 5 mg tb depo-provera 50mg ml diovan amlo revisión 320 mg 5 mg pra que serve augmentin pediátrica 125 mg exelon precios de medicamentos costo de cialis pastillas advair costo de medicare mejor lugar para comprar clomid celexa 5 mg ansiedad effexor 37.5 mg sofocos nolvadex necesita receta médica clomid altera la temperatura basal ¿es seguro tomar 120 mg de cymbalta cialis precio en los estados unidos el metotrexato 20 mg precio comprar kamagra entrega rápida 20mg de accutane efectos secundarios comprar viagra holanda y barrett costos de viagra vs cialis kroger marca benadryl precio tegretol 1200 mg roxithromycin 600mg precio de kamagra oral jelly nolvadex 20mg precio precio de viagra en costco depo provera o píldoras comprar tetracycline farmacia en línea píldoras de pérdida de peso y wellbutrin el destete de genéricos lexapro ¿es seguro tomar 150 mg de clomid costo de la celebrex 100mg medicamentos con receta synthroid nistatina y triamcinolona crema sin receta donde puedo comprar genuina kamagra el zetia genérico de la india sublingual viagra genérico genérico diltiazem hcl keflex 250 mg precio augmentin 457 mg 5 ml trockensaft la doxiciclina cápsulas de 50 mg a 100 mg actoplus met genérico precio femara precio filipinas 100 mg zoloft no es suficiente ¿cuándo ovulan en clomid 100mg ¿cuánto cuesta el diario valtrex costo comprar cialis de farmacia canadiense crestor vs lipitor venta prednisone 10 mg para la erupción cipro producto de la monografía de canadá celexa 120 mg finasteride da 1 mg abilify compra online rosuvastatin comprar finpecia en la india costo diovan 40 mg precio ciprofloxacina usos 500mg costo de la generic imitrex tegretol para el trastorno límite de la personalidad la forma genérica de lamisil nombre genérico para levitra neurontin 300 mg de alta aldactone 25 mg dosis anafranil 75 mg para que sirven comprar genérico cialis en línea barata comprar cialis genérico viagra en línea accutane isotretinoin 20 mg ¿qué es esto para cuánto son pastillas de prednisona bueno para para que sirven o remedio nexium 20 mg doxycycline 100mg dosis más barato genéricos zoloft etodolac liberación prolongada 300 mg viagra generico da neo quimica precio más barato singulair digoxin 0.25 mg iv Celexa 10 mg de un día dilantin 100 mg kapseal donde puedo comprar viagra en el reino unido hydrochlorothiazide receta ¿cuál es la dosis de prescripción de zantac propecia 5 mg 1mg augmentin precio al por mayor 1mg finasteride vs finasteride 5mg kegunaan celebrex 200 mg bactrim 80 mg 400 mg compresse allegra d cupones de descuento genérico wellbutrin sacó fuera de los estantes comprar dapoxetine en irlanda de lyme doxiciclina 400 mg children's claritin 5 mg dosis propranolol pastillas de dieta ranitidine 150 mg indikasi nombre generico de zyprexa farmacia canadiense lamictal comprar pastillas contra la malaria doxiciclina ¿cuánto cuesta el viagra costo en nhs orden viagra en el reino unido doxycycline durante la noche de entrega propecia costo receta novo-metformin 500 mg equivalente genérico premarin crema diltiazem 120 mg retard viagra hecho en canadá cipro 500mg bula pdf cipro costo por la píldora clomid comprar pastillas 100 vs 150 mg zoloft perro prednisona 5 mg el arimidex genérico en línea ¿cómo puedo tomar xenical 120 mg abilify 10 mg aviso genérica de plavix 75 mg cephalexin 500 mg el consumo de alcohol doxiciclina 100 mg walmart viagra de 50 mg precio en mexico ranitidine 150 mg comentarios nexium 40 mg pulver donepezil hcl neurax 5 mg baclofen ratiopharm 10 mg 3000 mg de wellbutrin efectos secundarios clarinex 5 mg lasix pastillas y alcohol valtrex generic vs marca voltaren 75 mg inyecciones propecia con receta irlanda problemas con el arimidex genérico abilify farmacia cupón keflex receta coste cymbalta con las píldoras de dieta la diferencia de costes entre synthroid y levotiroxina efectos secundarios de effexor 75mg comprar genérico lexapro escitalopram la digoxina 500 mg lo que es de seroquel xr 50 mg tomar 400 mg de wellbutrin en línea medicamentos con receta de viagra doxycycline hyclate 100mg tabletas de acné cephalexin 500mg cap lup efectos secundarios wellbutrin sr 150 mg bula coste de zofran con seguro clonidine 0.1 mg tableta oral zyrtec más de 10 mg valtrex disponible en canadá 7.5 mg de metotrexato semanal cómo hacer un pedido xenical en línea provera 10 mg la pérdida de peso lamictal tableta de 150 mg allegra 24 barco en venta receta de la tarjeta de descuento para cymbalta topamax trastorno bipolar la crema de imiquimod aldara comprar precio de la fluoxetina en walgreens cytotec en farmacia filipinas comprar viagra adelaida ¿cuánto tiempo hace 30 mg de prednisona última singulair sobre 4 mg lexapro la prescripción en línea sildenafil viagra comprar lipitor 20mg precio irlanda bula do tofranil 25 mg renova vs genérico tretinoin lisinopril 10 mg e101 bactrim forte 800 160 mg tablet fiyatı aldara online en canadá imagen de 40 mg lipitor levitra 10 mg 12 tabletten 40 mg de nexium dos veces al día clopidogrel de 600 mg de dosis de carga de prueba donde comprar zantac líquido claritin dosis de 20 mg ¿cuánto cuesta la receta valtrex costo descuento diovan ¿cuál es el costo de los medicamentos genéricos diovan efectos secundarios de topamax 50 mg genérico lipitor peligro dalacin clindamicina 300 mg hcl cómo comprar clonidina en línea cialis 5 mg vademecum manfaat viagra 100mg valeant canadá wellbutrin zantac 150 mg comentarios viagra tem generico fluoxetine 20 mg precios ¿hay un genérico sustituto de lexapro cvs precio para valtrex a finales de la ovulación en clomid 50mg cialis 5 mg una vez al día opinioni que la droga es más barato viagra o cialis adalat xl 20 mg comprar barato nolvadex reino unido detrol la ¿hay un genérico dapoxetine 60 mg efectos secundarios se puede cortar un 10mg zyrtec en la mitad ¿qué lamictal costo precio de clomid en mercurio drogas quiero comprar viagra barato pastilla singulair 5 mg isoptin 120 mg cena synthroid 112 mg bula propecia la división de pastillas aciclovir 400 mg vo plavix 75 mg 28 ftb lexapro profesional de muestras amitriptyline 25 mg de recreo advair costo blue cross xeloda 500 mg precio mexico seroquel prescripción de descuentos neurontin 100 mg precio venlafaxine effexor xr 37.5 mg metoprolol 50 mg foro orden cialis real en línea finpecia 1mg costo de la india cardizem la costo cómo conseguir la prescripción en línea de viagra atrovent nasal solución nasale ordenar viagra online seguro celebrex precio de walgreens earl viagra 600 mg kegunaan obat ranitidine 150mg kamagra 100mg werking seroquel 100 mg conseguirle alta lexapro comprar en línea barata clomid 50mg o 100mg pct nombre genérico de xeloda tac dung cua cephalexin 500mg las píldoras que contienen cytotec cialis quotidien 5 mg cómo comprar antabuse ¿cuál es el nombre genérico para aricept benadryl 250mg ¿es seguro tomar 120 mg de cymbalta hay un medicamento genérico para cialis cialis 5 mg et próstata el singulair genérico de la fda cuántos mg de escitalopram mejor comprar cialis genéricos comprar metoprolol tartrate cymbalta para el trastorno de atracones compulsivos xepasone prednisolone 5mg acetónido de triamcinolona crema genérica bactrim 800 mg de dosis 100 mg de metotrexato precios de descuento en cialis clindamycin hcl cap 150 mg efectos secundarios de la clindamicina 300 mg cápsulas viagra nhs prescription reino unido barato genérico plavix prednisolone 5mg tablets y alcohol singulair 4 mg comprimidos la pérdida de peso con topamax 50 mg comprar eldepryl donde puedo conseguir viagra para comprar en ghana comprar viagra danmark lamisil 250 mg pestañas valtrex genérico crema comprar viagra en asda beneficios de cialis 5 mg propranolol 60 mg para la ansiedad aricept en línea barato cupón genérico seroquel keflex suspension 250 mg precio comprar viagra pakistán cialis de 10 mg generique cialis orden de canadá avodart 0.5 mg de próstata cytotec costo de 2013 levitra 10 mg orosolubile bayer donde puedo comprar cytotec aquí en filipinas es de 40 mg de fluoxetina con una alta dosis comprar flomax genérico ¿cuál es el costo promedio de zoloft comprar barato zyrtec puede usted comprar antabuse online puede usted tomar cephalexin 500mg durante el embarazo orlistat 120 mg pharma vida costo de la viagra en la farmacia de cvs para que sirven bactrim dosis de 200 mg 40mg viagra genérico en wal-mart wellbutrin genérico wpi 839 zovirax 800 mg de dosis para el herpes labial escitalopram precio de canadá ¿qué zithromax pastillas aspecto de tomando 1600 mg motrin voltaren-xr 100 mg tableta genérico topamax fabricantes ¿cuál es el neurontin 300 mg para receta alternativa para prilosec nexium descuento de la tarjeta de filipinas wellbutrin xl 300 precios ic doxiciclina 100mg efectos secundarios seroquel 300 mg de sueño obat alopurinol 100 mg walmart farmacia augmentin costo hyzaar 100/12.5 costo cuántos mg de sobredosis buspar cialis comprar en la india ¿cuánto coreg costo dónde comprar sobre el contador de clomid ¿qué es el ic doxycycline hyclate 100mg utilizado para accutane brote inicial de 20 mg la doxiciclina hyc 100mg precio donde puedo comprar diovan 160 mg aciphex venta la naltrexona y los trastornos autoinmunes ¿cómo puedo comprar viagra en chicago el arimidex genérico para la venta kandungan voltaren 50 mg benadryl genérico ingredientes medicamentos lopressor metoprolol 50 mg antidepresivo zoloft genérico comprar levitra filipinas walgreens zyrtec d precio viagra costo con receta requip depot 2mg zantac 150 mg 150 ml de jarabe donde puedo comprar cytotec original en filipinas metoprolol mylan 50 mg bivirkninger puede usted comprar prednisone online genérico cymbalta para la fibromialgia erythromycin 500mg durante el embarazo pastilla de viagra precio en mumbai ceftin 500 mg y el alcohol comprar viagra en agra redustat orlistat 120 mg paroxetine 20 mg actavis se puede cortar benicar 40 mg en la mitad plavix pastillas efectos secundarios lipitor 40 mg precio mexico ¿cuánto costo advair diskus en walmart allegra 180 mg usa 500 mg de benadryl cuando se crestor estar disponible en forma genérica 80 mg de prednisona por día efectos de la viagra 100mg ¿cuál es el costo de los medicamentos genéricos lamictal prilosec receta vs sin receta amoxil 250 mg/5ml metoprolol succ er 100 mg costo 80 mg de lisinopril cuando hace actonel ir genéricos 40 mg accutane resultados cómo a menudo tomar la prednisona 20 mg avodart costo donde comprar propecia yahoo respuestas prednisolona 5 mg posología el singulair genérico walmart claritin d walgreens precio bupropion sr trastorno bipolar ¿cuándo valtrex pastillas de caducar ¿cuál es el genérico para diltiazem seroquel 25 mg diabetes tomar 60 mg celexa crestor ventas de 2013 prednisone 10 mg cupón comprar genérico levitra with dapoxetine se puede comprar viagra tailandia metformina 1000 mg h104 ¿con qué frecuencia puedo tomar motrin 800 mg
Home Forum Download/Upload Links Search

NetTalk User Group

NetTalk User Group Meeting!
Live Webinar!
Saturday Nov. 16 
7am PST
Click Here To Register!
Home arrow Forum arrow NetTalk Web Serverarrow Web Server - Share Knowledgearrow Security: HTML Injection / XSS attacks.
NetTalk Central
July 23, 2016, 03:04:08 PM *
Welcome, Guest. Please login or register.

Login with username, password and session length
News: Welcome to the NetTalk Central Forums!
 
   Home   Help Search Login Register  
Pages: [1]
  Print  
Author Topic: Security: HTML Injection / XSS attacks.  (Read 3038 times)
Bruce
Global Moderator
Hero Member
*****
Posts: 8178



View Profile
« on: August 16, 2012, 02:01:09 AM »

HTML Injection is a security issue which occurs when you let users enter "html" content. So, for example, if you have a text control on a form, and Allow xHTML is on, then you're allowing the user to enter HTML and content, and then you will display that content using their HTML markup.

Unfortunately HTML is not limited to visual markup though. It includes things like the <script> tag, which allow code to be embedded inside the content. When unwanted html appears in user content, that is called HTML Injection. If the code they inject is JavaScript then that is the start of a "Cross Site Scripting" (XSS) attack.

If this code runs on _another_ users browser (no code runs on the server), then the attacker may be able to get information from them, or their computer in a way that the programmer did not expect, or intend.

In short, "cosmetics good, code bad."

For builds of NetTalk before 6.40 it was the responsibility of the developer (you) to make sure that anywhere you ticked on "allow xHtml", you checked that the xHtml you were displaying was "safe". However that's hard to do.

Scrubbing html of code is tricky because there are a large number of vectors that can be used. the <script> tag is not hard to remove, but it's the tip of the iceberg. So, to make it a bit easier, and ultimately more secure, from build 6.40, NetTalk has automatic scrubbing built in.

NetTalk uses a whitelist approach, accepting html it specifically recognizes as valid, and rejecting unrecognized html. This makes it more secure (because "new attacks" generally fall into the "unrecognized" camp.) The alternative (searching for specific bad code) may require updating regularly as new attack vectors are discovered.

In other words, some perfectly legitimate html tags are "blanket excluded" simply because they allow the user too much power. The legal tags excluded in this way are;

Excluded (by design):
base, body, button, canvas, comments, command, datalist, embed, eventsource, frameset, frame, form, head, html, iframe, input, keygen, link, menu, meta, nav, object, optgroup, option, param, script, select, style & textarea

In other words, content stored in your database, which will be displayed via a browse or form or whatever, will not be allowed to contain these tags.

Let me be 100% clear here. This does not affect the xHTML tab (where you can enter your own custom xHtml). It does not affect the html being generated by the templates. It only applies to html which is being read from the database - ie those places where you have explicitly ticked on "Allow xHTML".

The downside with this approach is that some "legitimate" HTML is not allowed. For example, the Hyperlinks example has a browse (BrowseMedia) which included HTML  (youtube videos) containing <iframe> and <object>. Since those are both on the "not allowed" list, they are (by default) no longer playable. This may affect your application if you currently have very rich HTML content stored in your database.

So an extra switch has been added to the template wherever an "Allow xHTML" option is located, there's now also an option to "Allow UNSAFE xHtml". This puts the onus back on you to scrub the HTML in an appropriate way.
But wait, there's more...

You may want to change the list of tags that are allowed, either by adding more allowable tags, or by disallowing some tags which are allowed by default. In this way you can adjust the level of safety, without having to go to a completely unsafe mode. To do this you can embed code in the .TagOk method in the WebServer procedure. for example;

case lower(p_tag)
of 'object'
  return true
end


Embedding this before the parent call, would make the <object> tag allowable.

As always, security remains a process, not a destination, so remaining up to date (or reasonably up to date) with NetTalk builds is always recommended.
Logged
Niels Larsen
Full Member
***
Posts: 219


View Profile Email
« Reply #1 on: August 16, 2012, 07:06:28 AM »

I've never thought of that. Nice to have "someone" to do the hard work for you.
Thanks!!
Logged
RayA
Newbie
*
Posts: 43


View Profile WWW Email
« Reply #2 on: August 16, 2012, 01:00:15 PM »

 Grin

This is why we pay Bruce the BIG BUCKS!

Great Post Bruce!  Very informative!

 Grin

« Last Edit: August 16, 2012, 01:02:24 PM by RayA » Logged
Pages: [1]
  Print  
 
Jump to:  

Powered by MySQL Powered by PHP Powered by SMF 1.1.11 | SMF © 2006-2009, Simple Machines LLC
Joomla Bridge by JoomlaHacks.com
Valid XHTML 1.0! Valid CSS!

Login Form

Welcome Guest.






Lost Password?
No account yet? Register
home contact search contact search