Ominięcie strip_tags()

[bagsiu]

Witam.
Mam takie pytanie na szybko
W jaki sposób można ominąć funkcję strip_tags w celu wykonania ataku XSS ?

 

[hxv]

Nie można. strip_tags jest właśnie po to, żeby przed XSSem zabezpieczyć.

 

[bagsiu]

Czyli że w żaden sposób agresor nie włamie się za pomocą XSS, jeśli mam strip_tags ?
Bo mam stronę DVWA podatną na ataki , w kategorii XSS( z księgą gości) poziom LOW jest bez zabezpieczeń, a a poziom MEDIUM ma funkcję strip_tags(), a jest jeszcze poziom HIGH, więc zdaje mi się że jakiś sposób na złamanie strip_tags musi być.

 

[hxv]

Jeśli są dozwolone jakieś tagi przy nich ustawić zdarzenia JS (onmouseover, onload itd.), jeśli nie ma to pozostaje szukać błędów w pozostałej części kodu. Samo strip_tags działa jak należy i obejść nijak się go nie da.

 

[discovery44]

Może coś POST'em leci, sprawdź.

 

[bagsiu]

Nic.
Tylko GET sprawdza czy zmienna (input) jest pusta.

<?php 
    if($_GET['name'] == NULL || $_GET['name'] == ''){ 
     
        $isempty = true; 
         
    } else { 
     
        echo '<pre>'; 
        echo 'Hello ' . strip_tags($_GET['name']); 
        echo '</pre>'; 
         
        } 
?>