J'ai egalement mis les expressions regulieres sur la page web pour detecter ce genre d'attaque.
La difficulte pour proxy est que " index.php/feed/ " est souvent utilser pour les RSS et autres blogs. Par contre de base et tout ce qui y ressemble doivent etre bloque (ainsi que <.*>)
Malgre les expressions regulieres l'ajout de texte dans la page web est possible.
Cela pourrait nuire a des sites web cible. Et pour ce proteger contre cette attack la methode htmlentities() ne suffit pas.
En utilisant les url-rewrite dans htaccess et en prennant le / comme charactere separateur de variable la technique ne marche pas mais c'est plus tot de l'obscurantisme. Rien ne vaut un bon squid en front avec une whitelist.
voila c'etait les 2 secondes de protections pour le serveur.
# pour plus de precisions
Posté par ~ lilliput . En réponse au journal Faille Apache/PHP permettant du XSS. Évalué à 1.
La difficulte pour proxy est que " index.php/feed/ " est souvent utilser pour les RSS et autres blogs. Par contre de base et tout ce qui y ressemble doivent etre bloque (ainsi que <.*>)
Malgre les expressions regulieres l'ajout de texte dans la page web est possible.
Cela pourrait nuire a des sites web cible. Et pour ce proteger contre cette attack la methode htmlentities() ne suffit pas.
En utilisant les url-rewrite dans htaccess et en prennant le / comme charactere separateur de variable la technique ne marche pas mais c'est plus tot de l'obscurantisme. Rien ne vaut un bon squid en front avec une whitelist.
voila c'etait les 2 secondes de protections pour le serveur.
Cote client .. ben js .. enfin bon ...
http://www.theatre-eibel.fr http://www.isc2chapter-yorkshire.co.uk