Besoin d'aide pour sécuriser un script

Question

Bonjour,
Je me sert de htmlarea (editeur html WYSIWYG pour site web). Je souhaiterais enregistrer les donn&#233;es issues de ce script dans ma base de donn&#233;e. H&#233;las je ne peux pas utiliser htmlentities ni strip_tags pour g&#233;rer les probl&#233;mes d'injection de code. Ces fonctions alt&#233;rant le code HTML renvoy&#233; par htmlarea ... De plus j'ai lu que la fonction addslashes utilis&#233; seule ne garantit pas une protection suffisante

Auriez vous un ptit conseil pour hacher efficassement mes donn&#233;es (texte HTML) avant de les enregistrer dans ma BDD ...

Merci d'avance &#224; tous

JP DC

Tout les hommes meurent un jour mais peu d'entre eux vivent vraiment

cs_eXon · Answer

Utilise la commande htmlentities(string) pour chang&#233; les <, >, etc. par leur code HTML qui va l'afficher.

----------------

eXon
http://www.lookstrike.com

sky_striker · Answer

Si j'utilise htmlentities et que je r&#233;affiche la chaine derri&#233;re elle n'est plus interpr&#233;t&#233; comme du html par internet explorer ... Autrement dit les balises apparaissent "en clair" sur la page ...

Tout les hommes meurent un jour mais peu d'entre eux vivent vraiment

cs_eXon · Answer

Si c'est l'execut&#233; ton code HTML je ne vois pas le probl&#232;me. Tu n'as
qu'&#224; utilis&#233; un addslashes lorsque tu l'envoi et stripslashes pour les
enlever lors de l'affichage.

----------------

eXon
http://www.lookstrike.com

cs_Anthomicro · Answer

Salut ;-) un addslashes et un truc de ce genre : $texte=preg_replace('`(|)`sim','',$texte); ça fera sauter le javascript ;-) a ++ Vulgarisation informatique : Entraide, dépannage et vulgarisation informatique Forum d'entraide informatique (14 catégories)

sky_striker · Answer

Ce que je voudrais c utiliser le HTML uniquement et me pr&#233;munir de toute injection de code ... La addslashes ne prot&#233;ge pas d'&#233;ventuelles injection de code et la solution de Anthomicro ne me prot&#233;ge que de l'injection javascript ...

Est - ce que quelqu'un peux me livre ce pti secret ?

Tout les hommes meurent un jour mais peu d'entre eux vivent vraiment

sky_striker · Answer

J'ai oubli&#233; une autre question comment se prot&#233;ger dans ce cadre d'&#233;ventuelles injection SQL  ??? 

Tout les hommes meurent un jour mais peu d'entre eux vivent vraiment

cs_Anthomicro · Answer

Ah ok je comprends mieux. Même si du code PHP est entré dans ta base, il ne sera pas analysé par php. Le tout est de bien utiliser la fonction addslashes. Ensuite le bout de code que je t'ai passé enlève les balises correspondant au javascript pour éviter d'afficher des messagesbox, de faire des redirections... Mais si tu nous précisais vraiment à quoi sert ton script, ce que tu veux faire on pourrait peut être t'aider mieux. Donc la fonction addslashes protège complètement les insertions dans ta base. Comme l'insertion est protégée, je ne vois pas ce que tu peux faire de plus... Pour éviter les failles de SQL injection : outre le fait d'utiliser addslashes, je préconise pour les logins et passwords d'empêcher les caractères spéciaux via une expression régulière : if(eregi("[\^'$()*+<>?#"{}\]",$pseudo_membre) OR eregi("[\^'$()*+<>?#"{}\]",$passe_membre)) { //il y a des caractères spéciaux exit; } a ++ Vulgarisation informatique : Entraide, dépannage et vulgarisation informatique Forum d'entraide informatique (14 catégories)

sky_striker · Answer

Salut et merci,

C'est pour afficher un mise en page personnalis&#233; pour mes utilisateurs que je cherche &#224; utiliser htmlarea. Un peu comme dans le programme que tu utilises en ce moment pour me r&#233;spondre.
Je suis ok pour l'injection sql c comme &#231;a que je fait aussi mais le probl&#233;me qui va se poser c'est que le script va bloquer mon insertion si l'utilisateur tape :

augmentation de 1% 
 
Pour moi interdire les caract&#233;re sp&#233;ciaux n'est pas une solution en soit m&#234;me si j'ai l'impressions que c'est la seule. De la m&#234;me mani&#233;re ton code bloque les scripts javascript mais qu'en est-il des scripts Vb script ou des autres langages par exemple ...

Je ne connait rien en vbscript pourtant ne bloquer qu'un langage me semble une solution plut&#244;t permissive ....

Tout les hommes meurent un jour mais peu d'entre eux vivent vraiment

sky_striker · Answer

PS: concernant le hachage de login et mot de passe un simple cryptage md5() te pr&#233;munie de ce genre de d&#233;sagr&#233;ments ... H&#233;las on peux pas tout le tps utiliser un cryptage ...

Tout les hommes meurent un jour mais peu d'entre eux vivent vraiment

cs_Anthomicro · Answer

Le VBscript est &#233;galement bloqu&#233;, car il commence par <script>



a ++


Vulgarisation informatique : Entraide, d&#233;pannage et vulgarisation informatique

Forum d'entraide informatique (14 cat&#233;gories)

sky_striker · Answer

Salut c vrai pour le <script> d&#233;sol&#233; ...

Par contre pour l'injection sql c l'unique moyen ? parce que si il existe une caract&#233;re que l'on ignore &#231;a va chauffer ...

En tout cas merci de ton aide ...

Tout les hommes meurent un jour mais peu d'entre eux vivent vraiment

cs_Anthomicro · Answer

Le addslashes suffit pour s&#233;curiser les insertions. Les caract&#232;res
sp&#233;ciaux c'est plus si t'as pas envie de te saouler pour la gestion
future lorsque t'affiches un pseudo, que t'as des indices
correspondants au pseudo dans les urls, etc...

Vulgarisation informatique : Entraide, d&#233;pannage et vulgarisation informatique

Forum d'entraide informatique (14 cat&#233;gories)

Besoin d'aide pour sécuriser un script

12 réponses

Votre réponse

Discussions similaires