<script>alert(1)</script> Nedir?

Sql injection değil. Pdo kullanılmalı evet fakat pdo query kullanılırsa yine olmaz. En sağlıklı çalışanı pdo prepare. Buna dikkat edilmeli özellikle. Ek olarak htmlspecialchars, strip_tags kullanarak hem injection hem xss açıklarının önüne geçebiliriz.

İnternette SQL Injection ve XSS korunma yöntemleri gibi aramalar ile araştırma yapabilirsiniz ancak dilerseniz size uygun ücrete bu konuda önlemler almanıza destek sağlayabilirim.

Hazır script olduğu için direkt yaratıcısına soralım. @Quantum; yazılımınızda bu tarz açıkları engelleyen bir faktör var mı? yoksa kontrol ettirelim mi?

hayır hocam bu html class'ı. php tarafında kullanıcı bilgileri alınıp veritabanına yazdırılırken pdo class'ı ile yazdırmayı kast ettim. pdo class'ı ile bir veritabanı sorgusu çalıştırırken, parametre pdo'nun prepare fonksiyonundan geçer ve istenmeyen tagler olsun yasaklı karakterler olsun bu fonksiyondan geçemez. bu alert fonksiyonu ekrana yazı yazar 1 diye. buraya sql injection atabilirse bütün veritabanını bile silebilir mesela. çok tehlikeli olabilir.

Aslında gönderdiğin ekran görüntüsünden anlaşılacağı üzere xss için bir önlem alınmamış gibi. Eğer alınmış olsaydı veritabanına html tag verileri kaydettirilemezdi. Sql injection ve xss ayrı şeyler. Sql injection’u ayrıca denemek lazım. Site adresi atarsan kontrol edebilirim.

<script>alert(1)</script> , JavaScript kodudur. Bu kod, bir web sayfasında pop-up bir pencere açar ve 1 değerini görüntüler. Bu kod web sayfalarının dinamik ve interaktif hale getirilmesine yardımcı olan bir programlama dilidir.

Public olan bütün formlardan gelen post ve get değerlerini filtreden geçirmek yazılımın "yaz" kısmı kadar önemlidir bir etkendir. Bu kod javascript kodu. Birisi belliki xss açığını denemeye çalışmış farkında yada değil işe yaramış yaptığı taktik. Yazılımınızın public olan tüm formlarını kontrol ettirin. Gelen verilerin süzgeçten geçip geçmediğine baktırıp önlem alınız. Sql injection bambaşka bir olay. PDO kullanılsa dahi prepare'dan şaşmamalı yinede gelen post değerlerini süzgeçten geçirip kontrol ederek zararsız hale getirmelisiniz.

Kolay gelsin.

95 yılında fso ve xss kullanıyorduk artık bu açığı bırakan bir yazılım şirketi olduğunu sanmıyorum var ise de yazılımcı olduğu sanan fakat olmayan bir yazılımcıdır.

yazılım tarafında çözemeyenler WAF kurabilir. wp kullanıyorsanız ise WAF işi yapan pluginler mevcut.