[Sécurité] Faille de sécurité et htmlentities [Résolu]

kuja2053 · 26/07/2007, 19h11

Concernant cette faille dans laquelle si on ne met pas htmlentities avant de récupérer les valeur que l'on affiche par la suite et dans laquelle un pirate pourrait écrire une commande mySQL ou changer l'affichage du site (dans le meilleurs des cas) ::: je suppose que cela ne concerne que si on écrit avec echo ou print et que reécrire dans le formulaire avec du javascript (elementarybyid) ne constitue aucune ouverture de faille

vg33 · 26/07/2007, 19h15

Toute donnée provenant de l'utilisateur et qui est affichée doit être échappée (htmlentities entre autres) pour éviter une faille XSS.

chaced · 27/07/2007, 16h56

Si c'est pour une faille sql injection c'est plutot mysql_real_escape_string qu'il faut, et a l'affichage sur l'ecran de l'user htmlentities pour les faille xss

kuja2053 · 28/07/2007, 13h20

Ok merci bqs !!!

@+

26/07/2007, 19h11	#1
kuja2053 Membre régulier Inscription : octobre 2006 Messages : 233 Détails du profil Informations personnelles : Âge : 27 Informations forums : Inscription : octobre 2006 Messages : 233 Points : 94 Points : 94	[Sécurité] Faille de sécurité et htmlentities Concernant cette faille dans laquelle si on ne met pas htmlentities avant de récupérer les valeur que l'on affiche par la suite et dans laquelle un pirate pourrait écrire une commande mySQL ou changer l'affichage du site (dans le meilleurs des cas) ::: je suppose que cela ne concerne que si on écrit avec echo ou print et que reécrire dans le formulaire avec du javascript (elementarybyid) ne constitue aucune ouverture de faille
	00

28/07/2007, 13h20	#4
kuja2053 Membre régulier Inscription : octobre 2006 Messages : 233 Détails du profil Informations personnelles : Âge : 27 Informations forums : Inscription : octobre 2006 Messages : 233 Points : 94 Points : 94	suite Ok merci bqs !!! @+
	00

26/07/2007, 19h15	#2
vg33 Membre Expert Inscription : janvier 2005 Messages : 1 249 Détails du profil Informations personnelles : Localisation : France, Gironde (Aquitaine) Informations forums : Inscription : janvier 2005 Messages : 1 249 Points : 1 417 Points : 1 417	Toute donnée provenant de l'utilisateur et qui est affichée doit être échappée (htmlentities entre autres) pour éviter une faille XSS.
	00

27/07/2007, 16h56	#3
chaced Membre confirmé Inscription : janvier 2004 Messages : 242 Détails du profil Informations forums : Inscription : janvier 2004 Messages : 242 Points : 245 Points : 245	Si c'est pour une faille sql injection c'est plutot mysql_real_escape_string qu'il faut, et a l'affichage sur l'ecran de l'user htmlentities pour les faille xss
	00

Outils de la discussion
Afficher une version imprimable Envoyer un lien vers cette page par email