html inner sig???

Druckbare Version

15.03.2004, 20:30
tonne

html inner sig???

wollte mal fragen, ob html in der sig plötzlich net mehr erlaubt ist... in meiner sig funzte das net und in anderen habe ich das auch schon gesehen...
15.03.2004, 20:40
Zack

jep, kein html mehr in der sig. ;)
kurze antwort, aber as soll man sonst noch sagen :D
vielleicht kann sich sphero dazu äußern, falls nötig.

--
zack
15.03.2004, 20:40
blutfeuer

ja. html ist deaktiviert worden. scroll mal ganz nach unten, da stehts.
ich kann mir schon denken, warum html deaktiviert wurde. aber warum es dann nicht gleich an alle user weitergegeben wird, weiss ich nicht. es wäre auf alle fälle besser gewesen, man teilt es den leuten mit, als dass die jetzt nachfragen müssen. bei der gelegenheit könnte man auch gleich mal sagen, ob es wieder aktiviert wird in absehbarer zeit, oder ob es auch in zukunft ausbleibt.

was ich mir noch wünschen würde, wenn sich einer der rpg-ring verantwortlichen mal bei http://www.vbulletin-germany.com/ meldet und den vorgang vom wochenende erläutert. dann wissen die wenigstens, dass es ein sicherheitsleck gibt und können das u.U. beheben.
15.03.2004, 20:50
akira62

Eine Java Script das in den HTML Code in der Sig eingebaut ist kann eine Session Loggen und damit die Passwörter etc. extrahieren (zumindest habe ich das als Laie so verstanden). Ich würde sagen somit ist Simon Admin geworden.

Ich hoffe ihr könnt verstehen warum HTML abgeschaltet wurde.
15.03.2004, 21:31
ICER

na klar, ich versteh das und ich denke die meisten anderen auch.
mods können is mir aufgefallen weiterhin html verwenden.
hauptsache ist ja sowas wie die simonsache kommt nich mehr vor

mfg sello
15.03.2004, 21:35
blutfeuer

Zitat:

Original geschrieben von Sello
mods können is mir aufgefallen weiterhin html verwenden.

wie kommst du denn auf die idee ? :confused:
the wargod, um den mal als beispiel anzuführen, hat auch html in der sig und es wird der quellcode angezeigt :
http://forum.rpg-ring.com/forum/show...210#post434210
das was du warscheinlich meinst, ist mit "normalen" vb Code erstellt worden.
15.03.2004, 21:49
Jesus_666

Interessant... Jemand hat es also doch geschafft, JS in die Signatur einzubetten. Ich habe da anfangs mal ein Bißchen rumprobiert und alle offensichtlichen Wege waren gesichert.
Ich sag' nicht gerne "Ich hab's euch ja gleich gesagt" und ich werde es auch jetzt nicht tun (obwohl es fast angemessen wäre). Statt dessen ziehe ich meinen Hut vor de(m|n)jenigen (der|die) die Lücke aufgedeckt (hat|haben)... und somit den Beweis erbrachte(n), daß man, wenn man nur _wirklich_ will, irgendwo einen Exploit findet.

Daß sie trotzdem Hammel sind stelle ich nicht in Frage.

...jetzt hab' ich's indirekt doch gesagt. Verdammt.
15.03.2004, 22:16
akira62

Zitat:

Original geschrieben von Jesus_666
Interessant... Jemand hat es also doch geschafft, JS in die Signatur einzubetten. Ich habe da anfangs mal ein Bißchen rumprobiert und alle offensichtlichen Wege waren gesichert.
Ich sag' nicht gerne "Ich hab's euch ja gleich gesagt" und ich werde es auch jetzt nicht tun (obwohl es fast angemessen wäre). Statt dessen ziehe ich meinen Hut vor de(m|n)jenigen (der|die) die Lücke aufgedeckt (hat|haben)... und somit den Beweis erbrachte(n), daß man, wenn man nur _wirklich_ will, irgendwo einen Exploit findet.

Daß sie trotzdem Hammel sind stelle ich nicht in Frage.

...jetzt hab' ich's indirekt doch gesagt. Verdammt.

Das Problem ist wir wissen es nicht genau ob es wirklich so gelaufen ist aber wir müssen es auf alle fälle absichern.
15.03.2004, 22:19
Hylian

Zitat:

Original geschrieben von blutfeuer
das was du warscheinlich meinst, ist mit "normalen" vb Code erstellt worden.

what`s the difference ?

gibt es auch nicht normalen VB Code? und warum nennt sich dieser dann HTML? ich habe zwischen Wargod`s und Meiner Sig (beispielsweise) keinerlei unterschiede gefunden.

nicht das ich nicht wüsste was HTML ist, aber das ist irgentwie komisch.
15.03.2004, 22:35
blutfeuer

ähm. nein. es gibt keinen "nichtnormalen" vb Code. :p
der unterschied ist im wesentlichen die unterschiedlichen befehle.
beispiel bild einbinden :
bei html :
<img src="http://.....">
bei vb :
http://....

oder beispiel link:
bei html :
<a href="http://....></a>
bei vb :
[url]http://....[/url]

ich nehm aber mal an, das wusstest du schon. bei vb ist die anzahl an erlaubten befehlen wesentlich geringer und von daher die warscheinlichkeit einer sicherheitslücke nahezu ausgeschlossen.
dass deine sig allerdings per html codiert sein soll, glaub ich irgendwie nicht ganz. kannst aber gern mal posten, welchen code du für deine sig verwendest.
15.03.2004, 22:50
Hylian

Zitat:

Original geschrieben von blutfeuer
ich nehm aber mal an, das wusstest du schon. bei vb ist die anzahl an erlaubten befehlen wesentlich geringer und von daher die warscheinlichkeit einer sicherheitslücke nahezu ausgeschlossen.
dass deine sig allerdings per html codiert sein soll, glaub ich irgendwie nicht ganz. kannst aber gern mal posten, welchen code du für deine sig verwendest.

hmm, jetzt wo du`s sagst.
meine sig ? mit normalem VB Code :D
was kann mann den mit HTML machen was man mit VB Code nicht kann ?
15.03.2004, 22:56
Evil_Dragon

<script type="text/javascript">

</script>

...vieles! ;)
15.03.2004, 23:00
Hylian

Zitat:

Original geschrieben von Evil_Dragon
<script type="text/javascript">

</script>

...vieles! ;)

willst du wirklich wissen was ich verstanden habe ? gar nichts :D

manno nicht alle sind computerspezialisten ;__;
15.03.2004, 23:07
Jesus_666

VBCode ist eine Reihe von HTML-ähnlichen Tags, die beim Anzeigen von der Forensoftware in HTML umgesetzt werden. So wird z.B. [b] zu <b> und [url=*] wird zu <a href=*>.
Dabei bietet VBCode nicht alle Möglichkeiten, die HTML bietet, unter anderem aus Sicherheitsgründen: HTML kann z.B. JavaScript enthalten, eine Skriptsprache, deren Skripte vom Browser ausgeführt werden. Dadurch ist es möglich, mit dem Browser allerhand unschöne Dinge anzustellen: Popup-Fenster öffnen, eine beliebige Seite zu den Bookmarks hinzufügen, Daten wie Passwörter usw. erfassen und weiterleiten... Für einen findigen JS-Coder alles machbar.
HTML bietet noch weitaus mehr Möglicheiten, das Forum zu stören, so z.B. durch einen einfachen Kommentar-tag, wodurch Teile der Seite nicht mehr korrekt angzeigt werden.

Insgesamt ist es IMO eine Gute Sache™, daß HTML in Signaturen nicht mehr erlaubt ist. Die gestalterischen Vorteile haben die Gefahren keinesfalls aufgewogen.
15.03.2004, 23:10
Evil_Dragon

du kannst in HTML einige Sachen machen, die in VB Code ohne weiteres nicht oder gar nicht möglich sind... so zum Beispiel in Sprachen wie JavaScript, PHP etc. wechseln, mit denen einige Operationen durchführbar sind, die böse, böse Menschen dazu nutzen können, um braven Usern das Forum kaputt zu machen.
15.03.2004, 23:25
Dingsi

Zitat:

Original geschrieben von Evil_Dragon
du kannst in HTML einige Sachen machen, die in VB Code ohne weiteres nicht oder gar nicht möglich sind... so zum Beispiel in Sprachen wie JavaScript, PHP etc. wechseln, mit denen einige Operationen durchführbar sind, die böse, böse Menschen dazu nutzen können, um braven Usern das Forum kaputt zu machen.

[KLUGSCHEISZER]
PHP wird nicht aus HTML ausgeführt, sonder schon vorher auf dem Server. PHP kann nur später HTML ausgeben, welches der Browser dann interpretiert. Das bedeutet auch, dass PHP (afait) nur auf dem Server Schaden anrichten kann, auf dem Client nicht.
In die Sigs kann man außerdem kein PHP stecken, da diese ja erst vom Forum ausgegeben werden (Also nicht vom Server, bzw, doch. Das Forum ja liegt ja auch nur auf dem Server. x_X Aber jedenfalls kann man kein PHP in seine sigs tun).Öh. ja. Vielleicht ist nicht alles ganz richtig formuliert. o_O Aber du verstehen?
[/KLUGSCHEISZER]
17.03.2004, 02:12
BB2k3

Trotzdem irgend wie kagge, dass kein HTML erlaubt ist!
mit VB code ist man sehr sehr eingeschrenkt in seinen handlungs
Möglichkeiten! (was die sig angeht)

Ich hatte mich bloss gewundert, wieso bei mir auf einmal HTML-Tags
in der sig zu sehen waren :D
17.03.2004, 19:25
Jesus_666

Zitat:

Original geschrieben von BB2k3
Trotzdem irgend wie kagge, dass kein HTML erlaubt ist!
mit VB code ist man sehr sehr eingeschrenkt in seinen handlungs
Möglichkeiten! (was die sig angeht)

Stimmt; man kann nicht das Seitenlayout überschreiben, keine Popups öffnen, keine Cookies an den User senden...

Ernsthaft: Die Signaturen sollen keine high-end-Präsentationen sein sondern ein kurzer mehr oder weniger deskriptiver Text zur eigenen Person. Ich sehe nicht wirklich Sinn darin, komplexe Tabellen und ähnlichen Krimskrams zu verbauen, vor allem wenn die Fähigkeit, das tun zu können, mit einschließt daß man die ganze Seite überschreiben kann.

Was hat HTML für insteressante Möglichkeiten, die VB Code nicht hat?
Tabellen. Die sind aber wunderbar dazu geeignet, das Seitenlayout zu zerstören.
Alternativtexte. Wären in VBC praktisch, sind aber nicht lebensnotwendig.
Tags wie <abbrev>. Genauso.
<div>, <span> etc. Nett, aber die VBC-Möglichkeizten zur Textausrichtung sind eigentlich ganz in Ordnung.
CSS. Overkill für eine Sig.
JavaScript. Sicherheitsrisiko.

Wenn es hier nicht üblich wäre, die Forensoftware in jungfräulichstem Zustand zu belassen könnte man um das Einbauen von einigen Sachen wie <abbrev> in VBC per Hack an der Software bitten; der Aufwand würde das Ergebnis aber sowieso nicht wirklich rechtfertigen.

Fazit: Ich ziehe stark erhöhte Sicherheit den paar gestalterischen Möglichkeiten, die ungefiltertes HTML bringt, allemal vor.
18.03.2004, 02:39
BB2k3

Waren vorher eigentlich Styles aktiviert (beim HTML code)?
wie zum beispiel:
style="filter:glow(color=yellow, strength=2)"
18.03.2004, 03:00
Gamabunta

Zitat:

Original geschrieben von BB2k3
Waren vorher eigentlich Styles aktiviert (beim HTML code)?
wie zum beispiel:
style="filter:glow(color=yellow, strength=2)"

Jup, hatte das vor der Deaktivierung drin.
22.03.2004, 22:35
Damon

mh.... konnten vor der deaktivierung von html in sigs bodyonloads benutzt werdn?also in den sigs ô.O...das würd mich ma interessiern