Quel genre d'attaque peut faire ça

Bonjour à tous,

J'ai détecté une vulnérabilité sur l'un de mes sites. C'est sur un formulaire de contact, j'ai reçu un message avec des caractères non autorisés. Le message n'est pas méchant, c'est un spam qui n'a pas causé de dégâts mais quand bien même.
Il y a bien un htmlspecialchars + contrôle via une Regex, et pourtant le message est passé. Quand je fais le test manuellement avec ce même texte, l'envoi du formulaire est stoppé.

Est-ce que vous avez déjà été confronté à ce problème et si oui, savez vous comment s'en protéger ?

Bonjour,
les « vraies vérifications » sont à effectuées côté serveur, côté client c'est juste pour le confort de l'utilisateur pour éviter des allez-retours inutile.

Que ce passe-t-il si JavaScript est désactivé ou le script trituré, le formulaire est envoyé !?!

Bonjour NoSmoking,

Le formulaire est envoyé en Ajax. Les vérifications sont faites à la fois côté client (regex pour le gestion des erreurs claviers) et et du côté serveur avec PHP (htmlspecialchars + regex).


Voilà ma regex côté PHP qui contrôle le message :

Code:

---

1 2 3 4 5 6 7

$re = '/^[a-zA-Z0-9@\sÀÉÈÇÙéàêçèûùôîïœ:\-,.?!\.;\'’«""»+=#%()\/]+$/mi'; if ( preg_match($re , $paragraphe) ) { return true; } else { echo "<p class='error'>Erreur : le champs {$champ} ne respecte pas le format requis</p>"; die(); }

---

Dans le message reçu sur ma boite mail il y a des crochets [], des Ü, des Ö, des chevrons < > :?

Citation:

---

Dans le message reçu sur ma boite mail il y a des crochets [], des Ü, des Ö, des chevrons < > :?

---

en quoi ces caractères te dérangent-ils dans du texte ?

Hormis les chevrons htmlspecialchars ne les traite pas.
Pour tes Ü et tes Ö, ta regExp ne les prend pas en compte.

Les Ü et Ö ne me dérangent pas, mais les chevrons si.
Reste que le message n'aurait pas du passer puisque je ne les ai pas autorisé, et pourtant ils sont passés, d'où mon interrogation sur la faille que je ne comprend pas

Citation:

---

mais les chevrons si.

---

si ils sont passés par htmlspecialchars alors ils ressortent sous la forme &lt; et &gt; et ne sont pas plus gênant que cela mais il s'afficheront sous forme < et >.

Si tu veux les supprimer purement et simplement alors ajoute les à ta regExp.

Citation:

---

Reste que le message n'aurait pas du passer puisque je ne les ai pas autorisé

---

A quel niveau tu as placé l'interdiction ? Si c'est côté client il ne faut pas se surprendre cela peut-être une vrai passoire pour qui ouvre la console !