---
title: "Problem med Cross Site Scripting (XSS)"
type: "forum-thread"
url: "https://www.webforum.nu/amne/databaser-sql/165833-problem-med-cross-site-scripting-xss"
topic: "Databaser & SQL"
topic_url: "https://www.webforum.nu/amne/databaser-sql"
author: "Guldstrand"
published: "2007-10-26T04:54:07.000Z"
updated: "2007-10-28T20:39:39.000Z"
replies: 5
views: 582
page: 1
pages: 1
language: "sv-SE"
site: "webForum — webforum.nu"
rights: "Upphovsrätten till varje inlägg tillhör dess författare."
attribution: "Citera som: webForum, https://www.webforum.nu/amne/databaser-sql/165833-problem-med-cross-site-scripting-xss"
---

# Problem med Cross Site Scripting (XSS)

## #1 — Guldstrand, 2007-10-26T04:54Z

Jag lyckas inte att säkra följande sql-fråga:

```php
$user = db_escape($_POST['user']);
$passwd = db_escape($_POST['passwd']);
$name = db_escape($_POST['name']);
$email = db_escape($_POST['email']);
$enamn = db_escape($_POST['enamn']);
$kon = db_escape($_POST['kon']);
$alder = db_escape($_POST['alder']);
$lan = db_escape($_POST['lan']);

    $sql = "INSERT INTO members(user, pass, name, email, enamn, kon, alder, lan, ip, online)
		VALUES('$user', '$passwd', '$name', '$email', '$enamn', '$kon', '$alder', '$lan', '$ip', '$online')";
    mysql_query($sql);
    
    $_SESSION['sess_id'] = mysql_insert_id();
    $_SESSION['sess_user'] = db_escape($_POST['user']);
```

Har även testat med med "htmlspecialchars", men programmet jag använder för att skanna efter brister, gnäller på "Cross Site Scripting".

Vad gör jag för fel?

Permalänk: https://www.webforum.nu/p/165833

## #2 — Peter S, 2007-10-26T06:30Z

Vad menar du med "program"? Webbläsaren? I sådana fall är det nog mer troligt ett JavaScript som ställer till det.

Permalänk: https://www.webforum.nu/p/2044413

## #3 — Guldstrand, 2007-10-26T06:36Z

Jag kör ett program (web vulnerabilities scanner) som kollar igenom en vald hemsida efter säkerhetsbrister m.m.

Ja, jag vet att det är javascript som ställer till det.

Använder följande funktion:

```php
function db_escape ($post)
{
   if (is_string($post)) {
     if (get_magic_quotes_gpc()) {
        $post = stripslashes($post);
     }
     return mysql_real_escape_string($post);
   }
   
   foreach ($post as $key => $val) {
      $post[$key] = db_escape($val);
   }
   
   return $post;
}
```

Men det verkar tydligen inte fungera enligt programmet.

Permalänk: https://www.webforum.nu/p/2044415

## #4 — Guldstrand, 2007-10-26T16:10Z

Ingen som vet...   :q   :l

Permalänk: https://www.webforum.nu/p/2044525

## #5 — Peter S, 2007-10-28T19:14Z

Men om det är JavaScriptet som ställer till det så är det väl den koden du bör visa? Eller har jag missat något?

Permalänk: https://www.webforum.nu/p/2044892

## #6 — colione, 2007-10-28T20:39Z

XSS behöver inte ha något som helst med databasen att göra. Bara dör att du escapear det som trycks in där innebär det inte att folk kan skicka in andra fula grejer som du kke presenterar på sidan.

Permalänk: https://www.webforum.nu/p/2044904

---

Tråden på webben: https://www.webforum.nu/amne/databaser-sql/165833-problem-med-cross-site-scripting-xss