L'Autre Net Bureau · Webmail · Aide · Wiki · Interventions · Irc · Mon
 

Les principales failles web sont très bien décrites par OWASP

Nota: les navigateurs commencent à intégrer quelques précautions pour éviter certaines de ces failles.

XSS (Cross Site Scripting)

Un visiteur entre du code (souvent javascript) dans un champs de texte qui est affiché tel quel. Le code est donc exécuté chez le client.

Conséquence: vol de session, défaçage de site

Contre-mesure: filtrer toutes les entées utilisateurs avec htmlentitites ou htmlspecialchars strip tags n'est **PAS** sûr

CSRC (Cross Site Request Forgery)

Un visiteur est connecté à votre site internet, et navigue sur un forum. Un des membres du forum met comme avatar un lien du style votresite/monprofil/delete.

Conséquence: le navigateur du visiteur se connecte à votre site, et son profil se retrouve supprimé.

Contre-mesure: Utiliser des jetons pour chaque formulaire.

Injection SQL

Vous avez sur votre site internet une liste des membres inscrits. La requête que vous avez ressemble à cela:

SELECT nom, prenom, avatar FROM membres ORDER BY nom $ordre

où ordre est passé par l'url et vaut soit “ASC” soit “DESC”.

Conséquence: Un visiteur mal intentionné peut remplacer le contenu de la variable ordre (?ordre=mechante commande sql) et ainsi executer toutes les commandes qu'il souhaite sur votre base de donnée.

Contre-mesure:

  • Typer les arguments (faible)
  • Filtrer les entrées utilisateurs. Dans ce cas, vérifier que $ordre soit bien “ASC” ou “DESC”.
  • Utiliser des requêtes préparées (mysqli ou pdo)
 
securite/failles.txt · Dernière modification: 2013/05/31 18:13 par fser
[unknown button type]
 
Sauf mention contraire, le contenu de ce wiki est placé sous les termes de la licence suivante : CC Attribution-Noncommercial-Share Alike 4.0 International
Recent changes RSS feed Valid XHTML 1.0 Valid CSS Driven by DokuWiki