HTML und phpBB2

walde · Beitrag von **walde** » 19.10.2002 02:06:07

Hallo,

warum ist hier im Forum HTML deaktiviert? Ich frage aus reiner Neugier, da ich momentan ein internes Forum mit phpBB2 bastel.
Ist es, um etwaige grausame HTML-Umgestaltungen in den Posts zu verhindern?
Oder hat es auch noch andere Gründe?

ciao
Walde

pdreker · Beitrag von **pdreker** » 19.10.2002 03:15:28

Hmm, ich kann da zwar nicht für feltel (unser geliebter Admin

) sprechen, aber ich würde folgende Gründe anführen:
1) Viele Leute neigen dann dazu es einfach zu übertreiben. Immerhin ist das hier einigermassen technisch, und irgendwelche blinkenden oder bunten Posts sind irgendwie unnötig
2) Der BBCode ermöglich mit relativ einfachen Mitteln schon ausreichend Möglichkeiten
3) HTML öffnet Dich zu allerlei XSS Angriffen (Cross Site Scripting). Der Trick wäre folgender: Ich schreibe ein Post mit passendem HTML. Wenn Du Dir dieses Post dann ansiehst, wird das HTML von debianforum.de an Deinen Browser gesendet. Da der Code ja von Debianforum.de kommt, habe ich in meinem HTML vollen Zugriff auf z.B. das Cookie, dass phpBB bei Dir setzt, um sich zu merken wer Du bist, oder um das Autologin zu managen. Ich kann jetzt mit meinem HTML Dein Cookie klauen, und mich dann z.B. ohne Dein PW zu kennen unter Deinem Account hier einloggen und unter Deinem Namen Posts verfassen...

Wie schon gesagt, alles nur IMHO.

Patrick