Htmlspécialchar

webmaster -  
avion-f16 Messages postés 19252 Date d'inscription   Statut Contributeur Dernière intervention   -
Bonjour,

j'ai un site et je me suis fais hacker. C'est un site au chacun peux y inséré du contenu. Le problème c'est que je me suis fais hacker parce qu'il n'y avais pas htmlspécialcahr . Ou inséré ça comment et a quel moment du script php.

Merci et bonne journée!



2 réponses

Atropa Messages postés 1940 Date d'inscription   Statut Membre Dernière intervention   274
 
bonsoir,

le plus simple et le plus efficace est de mettre tout au début du script le code suivant :

function secure($item) {
	
		if(is_array($item)) {
			foreach($item as $key => $value) {
				if(is_array($value)) $item[$key] = secure($value);
				else if(is_string($value)) $item[$key] = htmlentities($value);
				else $item[$key] = $value;
			}
			return $item;
		}
		elseif(is_string($item)) return htmlentities($item);
		else return $item;
	}

if(isset($_POST)) $_POST = secure($_POST);
if(isset($_GET )) $_GET = secure($_GET);
if(isset($_COOKIE )) $_COOKIE = secure($_COOKIE);

0
Good bye Messages postés 105 Date d'inscription   Statut Membre Dernière intervention   1
 
OK je vais tester!
0
avion-f16 Messages postés 19252 Date d'inscription   Statut Contributeur Dernière intervention   4 507
 
Salut,

Que veux-tu dire par « hacké » ?

La faille XSS que tu tentes de contrer avec htmlspecialchars() ne permet que l'insertion de code HTML/CSS et JS qui sont inoffensifs (quoique avec du JS, le hackeur peut te faire faire des actions avec les privilèges que tu possèdes sur le site, mais pas plus : pas de contrôle du FTP, accès MySQL, etc).
0
Good bye Messages postés 105 Date d'inscription   Statut Membre Dernière intervention   1
 
salut,
(c'est webmaster je me suis inscrit) En fait il avait écrit : utilise htmlspécialchar je t'ai hacké!

Ou quelque chose du genre!

Bonne soirée!
0
avion-f16 Messages postés 19252 Date d'inscription   Statut Contributeur Dernière intervention   4 507
 
Comment était-ce écrit ?
Via une alert Javascript ?
0
Good bye Messages postés 105 Date d'inscription   Statut Membre Dernière intervention   1
 
oui! en javascript
0
avion-f16 Messages postés 19252 Date d'inscription   Statut Contributeur Dernière intervention   4 507
 
Alors il n'a pas vraiment « hacké » ton site, mais il a exploiter une faille qui pourrait faire plus (par exemple, rediriger tout tes visiteurs vers une page dangereuse, utiliser la faille CRSF, etc).

Il vaut mieux s'en protéger pour le bien de tes utilisateurs, pas réellement pour la protection même de ton site.
0
Good bye Messages postés 105 Date d'inscription   Statut Membre Dernière intervention   1
 
Oui mais c'est tout de même embettant !

Sa va il a été gentil il me l'a signalé (enfin gentils entre guillemet , mais cela m'apporteras une expérience )
0