question sur la securité

Version imprimable

17/03/2010, 10h57
Aquaa

1 pièce(s) jointe(s)

question sur la securité

Je vien de telecharger l'application Testpassport engine ou il y'a des test sur php
parmis eux la suivante

http://www.developpez.net/forums/att...1&d=1268816145

la réponse correcte est B, mais je ne sais pas pourquoi. si vous pouvez m'expliquer ce la ...?

Merci d'avance
17/03/2010, 11h51
blueice

Parce qu'il n'y a pas de htmlentities ou htmlspecialchars
17/03/2010, 14h23
ThomasR
Pour être plus clair,

Si tu avais un formulaire contenant un champ dont le nom est "name" et que, une fois le formulaire soumis, tu executais le code suivant :
Code:

1 2 <?php echo 'Bonjour ' . $_POST['name'] ?>
Une personne pourrait injecter un code malveillant dans ta page, il lui suffirait pour cela de mettre du code tel que ceci dans le champ :
Code:

1 2 3 4 <script type="text/javascript"> alert('Code maveillant ! -_-'); </script>
En l'occurence, mon code ne fait qu'ouvrir une popin, mais quelqu'un pourrait executer un code javascript permettant de récupérer les cookies et les envoyer par méthode GET ou POST à un serveur pour les analyser.

C'est ce qu'on appelle le Cross Site Scripting.

il faut, comme l'indique blueice, nettoyer ta chaine avec des fonctions comme htmlentities ou htmlspecialchars, voire strip_tags paramétré.
17/03/2010, 15h44
Aquaa
si ça marche pas chez moi, il y'a surement une directive de securité activé dans php.ini ? parceque rien n'est affiché quand j'envois
Code:

1 2 3 4 <script type="text/javascript"> alert('Code maveillant ! -_-'); </script>

2 pièce(s) jointe(s)

surement puisque :
image 1:

Code:

1
2
3
4
5
6
7
8
9
<?php
echo '<form method="post" action="">';
echo '<input type="text" name="exemple" value="valeur par défaut" />';
echo '<input type="submit" />';
echo '</form>';
 
echo $_POST['exemple'];
 
?>

image 2:

Code:

1
2
3
4
5
6
7
8
9
<?php
echo '<form method="post" action="">';
echo '<input type="text" name="exemple" value="valeur par défaut" />';
echo '<input type="submit" />';
echo '</form>';
 
echo htmlentities($_POST['exemple']);
 
?>

17/03/2010, 16h42
Aquaa

oui mais je devrai avoir une alerte javascript sans le htmlentities,moi je l'ai pas mon $_POST ne contient rien quand on inserre des caracteres qui debute avec "<" rien ça doit être un config dans php.ini ?
17/03/2010, 16h48
sabotage

Citation:

quand on inserre des caracteres qui debute avec "<"

si tu mets <n importe quoi> forcemment ca n'affichera rien (mais la chaine sera bien visible dans la source.

Non justement

voici ma source

Code:

1
2
3
<form name= "form" method="post" action="" enctype="multipart/form-data"> 
<input type = "text" name="sa"/> 
</form>

Code:

1
2
3
4
5
6
7
<html><head></head>
<body>
<form method="post" action="">
<input name="exemple" value="valeur par défaut" type="text">
<input type="submit"></form>
<script type="text/javascript"> alert('Code maveillant ! -_-'); </script>
</body></html>

Code:

1
2
3
4
5
6
7
<html><head></head>
<body>
<form method="post" action="">
<input name="exemple" value="valeur par défaut" type="text">
<input type="submit"></form>
&lt;script type="text/javascript"&gt; alert('Code maveillant ! -_-'); &lt;/script&gt;
</body></html>

17/03/2010, 17h27
Aquaa

Bizare c'est sous chrome que ça passe pas, sous ie ça passe