Böswillige Nutzereingaben können, wenn man sie vertrauensvoll gewähren lasst, in vielerlei Hinsicht für Ärger sorgen. Die Mehrzahl der verbreiteten Verwundbarkeitstypen, etwa „File Inclusion“, „Path Traversal“, „Code Execution“ oder „Information Disclosure“, lassen sich auf unzureichend überprüfte Eingaben zurückführen.

Die Herausforderung bei der Entschärfung von Nutzereingaben besteht darin, im jeweiligen Kontext die jeweils gefährlichen Zeichen oder Zeichenfolgen zu erkennen. Dazu gehören unter anderem Newline-Zeichen, Backticks, Null-Bytes, Anführungszeichen und spitze Klammern. Durch die Vielfalt vorhandener Zeichensätze und Enkodierungsformen können Zeichen mit der gleichen Bedeutung jedoch in unterschiedlichen Varianten in Erscheinung treten.

Im folgenden konzentrieren wir uns auf die in TYPO3-Extensions häufig vorzufindenden „Klassiker“: SQL-Injections und Cross Site Scripting (XSS).

SQL-Injections ausschließen

Bei einer Datenbankabfrage können Nutzereingaben SQL-Injections Tür und Tor öffnen. Deshalb muss verhindert werden, dass jegliche Art von gefährlichen Zeichen und Zeichenfolgen ungefiltert in den Abfrage-String gelangen können. TYPO3 stellt in der Klasse „t3lib_db“ Methoden für Datenbank-Operationen bereit, die dabei helfen können. Um dem Datenbank-Abstraktions-Layer von TYPO3 keine Steine in den Weg zu legen, sollten Extension-Entwickler für die Datenbank-Kommunikation ausnahmslos auf diese Methoden zurückgreifen.