{"id":641,"date":"2012-09-17T10:00:04","date_gmt":"2012-09-17T08:00:04","guid":{"rendered":"https:\/\/d-mueller.de\/blog\/?p=641"},"modified":"2012-09-24T11:19:17","modified_gmt":"2012-09-24T09:19:17","slug":"ie-und-chrome-mit-standard-xss-filter-x-xss-protection","status":"publish","type":"post","link":"https:\/\/d-mueller.de\/blog\/ie-und-chrome-mit-standard-xss-filter-x-xss-protection\/","title":{"rendered":"IE und Chrome mit Standard-XSS-Filter (X-XSS-Protection)"},"content":{"rendered":"

Ich war gerade sehr \u00fcberrascht, als ich im Zuge des Herumexperimentierens mit der Content Security Policy<\/a> (kommt auch bald noch ein Artikel dazu – Update:<\/b> Content Security Policy \u2013 Tutorial<\/a>) folgendes Standard-Beispiel aufgebaut habe …<\/p>\n

\r\n<input type="text" value="<?php echo $_GET['value']; ?>" \/>\r\n<\/pre>\n
… und dann das Standard-XSS-Pattern ?value=“><script>alert(1234)<\/script><\/i> \u00fcbermittelt habe. Resultat im Chrome:<\/p>\n
\"Chrome<\/a>
Chrome Filter<\/p><\/div>\n
Bezieht sich \u00fcbrigens nur auf die Injection von <script><\/i>-Tags, ein <b> – Tag geht also durch. Soweit ganz sinnvoll, kann mir jedenfalls keinen legitimen Fall vorstellen, wo ein script-Tag per URL-Parameter ben\u00f6tigt werden k\u00f6nnte. Im IE (ab Version 8) dasselbe Spiel:<\/p>\n
\"IE<\/a>
IE XSS Filter<\/p><\/div>\n
Firefox ist das \u00fcbrigens egal. <\/p>\n
Wie ich nach etwas Recherche herausgefunden habe, nennt sich dieser Mechanismus XSS-Protection<\/i> und ist in Webkit-basierenden Browsern bzw. eben dem IE standardm\u00e4\u00dfig aktiviert. Per Header l\u00e4sst sich der Filter allerdings abschalten:<\/p>\n
\r\n<?php\r\nheader("X-XSS-Protection: 0");\r\n?>\r\n<\/pre>\n
So dann im Chrome:<\/p>\n
\"Chrome<\/a>
Chrome ohne Filter<\/p><\/div>\n
Entsprechend im IE, ich spare mir und euch den Screenshot. Alternativ l\u00e4sst sich das Verhalten noch konfigurieren:<\/p>\n
\r\nheader("X-XSS-Protection: 1; mode=block");\r\n<\/pre>\n
Dann wird die komplette Seite geblockt, sodass uns im IE folgendes erwartet:<\/p>\n
\"IE<\/a>
IE mit Blockfilter<\/p><\/div>\n
Chrome zeigt einfach eine komplett leere Seite und gibt auch keinen Hinweis, etwa in Form einer Fehlermeldung. Prinzipiell eine sinnvolle Angelegenheit, das Verhalten vom IE gef\u00e4llt mir hier sehr gut.<\/p>\n","protected":false},"excerpt":{"rendered":"
Ich war gerade sehr \u00fcberrascht, als ich im Zuge des Herumexperimentierens mit der Content Security Policy (kommt auch bald noch ein Artikel dazu – Update: Content Security Policy \u2013 Tutorial) folgendes Standard-Beispiel aufgebaut habe … <input type="text" value="<?php echo $_GET['value']; … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4,6,8,3],"tags":[],"class_list":["post-641","post","type-post","status-publish","format-standard","hentry","category-php","category-security","category-quicktips","category-webdev"],"_links":{"self":[{"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/posts\/641","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/comments?post=641"}],"version-history":[{"count":0,"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/posts\/641\/revisions"}],"wp:attachment":[{"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/media?parent=641"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/categories?post=641"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/d-mueller.de\/blog\/wp-json\/wp\/v2\/tags?post=641"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}