Ist es sicher, HTML-Uploads zu erlauben?

[Alex_P]

Soweit ich das überblicke, werden die hochgeladenen HTML-Dateien einfach als normale Dateien heruntergeladen (z. B. Archive oder PDFs). Ob sie geöffnet werden, liegt also beim Benutzer und in den Browsereinstellungen (z. B. automatisches Öffnen nach dem Download, …).

In diesem Thema wird jedoch etwas im Zusammenhang mit XSS erwähnt…

Security checks on uploads

If I can upload an HTML page I can do what’s called a Cross Site Scripting (XSS) attack, as some browsers will render gifs as HTML. Neal Poole from Facebook wrote about a Wordpress vuln like this back in 2011 The HTML file could have javascript in it, which I could use to do bad things. Again, I’m not a security researcher (though that’s what our community is made up of), so I can’t speak at length about XSS or test this thoroughly. I’m just wondering if you guys do anything to check headers o…

Meines Wissens nach besteht keine Möglichkeit, von der heruntergeladenen Datei aus mit der Discourse-Seite zu interagieren?
Das Schlimmste, was passieren kann, ist also, dass einige Phishing-Inhalte angezeigt werden.

[codinghorror (Jeff Atwood)]

Meiner Meinung nach ist das keine gute Idee.

[Alex_P]

Könntest du das bitte genauer erklären?

[Stephen]

Aus genau demselben Grund, aus dem du Phishing-Links in einer Community nicht möchtest?

Discourse ist kein Direktnachrichten- oder Dateispeicherdienst. Warum solltest du es also nur nutzen, um das Herunterladen von HTML-Dateien zu ermöglichen? Sicherlich ist es besser, Code an einem Ort wie GitHub unterzubringen.

[Alex_P]

Manchmal ist es praktischer, einfach HTML hochzuladen, das ein einfaches Problem oder Ähnliches zeigt. Wenn es sich nur um eine einzelne Datei handelt, führt das Einpacken in ein ZIP-Archiv nur zu unnötigen Schwierigkeiten.

Das Forum richtet sich hauptsächlich an Entwickler, sodass man davon ausgehen kann, dass diese wissen, was sie tun, wenn sie die heruntergeladene Datei öffnen. Sie werden Phishing-Versuche erkennen, keine Passwörter eingeben, dies schnell melden usw.

Die einzige Sorge ist also, ob es möglich ist, beim Hochladen von HTML-Dateien (im Vergleich zu ZIP-Archiven mit HTML-Dateien) Schwachstellen wie XSS oder andere auszunutzen.

[Johani (Joe)]

@Alex_P

Manchmal ist es praktischer, einfach HTML hochzuladen, das ein einfaches Problem zeigt usw. Und wenn es sich nur um eine einzige Datei handelt, erzeugt das Packen in ein ZIP-Archiv nur unnötige Schwierigkeiten.

@Alex_P

Das Forum richtet sich hauptsächlich an Entwickler, daher kann man davon ausgehen, dass sie wissen, was sie tun, wenn sie die heruntergeladene Datei öffnen, Phishing-Versuche erkennen, dort keine Passwörter eingeben, dies schnell melden usw.

Aus persönlicher Präferenz ziehe ich es vor, überhaupt keine Dateien herunterladen zu müssen. Ich würde es lieber vorziehen, den Code direkt im Beitrag zu sehen. Meine Frage ist also…

Gibt es einen Grund, warum das HTML nicht direkt in den Beiträgen als Code-Block hinzugefügt wird?

<section>
  <h1>Einführung</h1>
  <p>Menschen fischen seit vor der aufgezeichneten Geschichte nach Nahrung…</p>
</section>

<section>
  <h1>Ausrüstung</h1>
  <p>Das erste, was Sie benötigen, ist eine Angelrute oder ein Angelstock, der sich für Sie bequem anfühlt und stark genug für die Art von Fisch ist, den Sie zu fangen hoffen…</p>
</section>
...

Auf diese Weise ist es sofort sichtbar, erfordert keine herunterladbaren Dateien und nimmt im Beitrag nicht viel Platz ein – da wir bei Code-Blöcken über einer bestimmten Höhe Scrollbalken erzwingen. Außerdem gibt es 0 Sicherheitsrisiken, da es überhaupt nicht geparst wird.

Ich kann dies näher erläutern, wenn diese Lösung für Sie in Frage kommt.

[Alex_P]

@Johani

Gibt es einen Grund, warum der HTML-Code nicht direkt in den Beiträgen als Code-Block eingefügt wird?

Ja, ich stimme zu, dass es normalerweise besser ist, es so zu machen. Manchmal bevorzugen Leute jedoch, Dateien anzuhängen, z. B. wenn sie zu groß sind oder wenn sie ein visuelles Problem zeigen möchten (das ist einfacher, als es in eine neue Datei zu kopieren, usw.).