SÉCURISER UN TEXTE ENREGISTRÉ SUR LE SERVEUR : SUPPRIMER L'EXECUTION DU PHP ET J
cs_Anthomicro
Messages postés
9433
Date d'inscription
mardi 9 octobre 2001
Statut
Membre
Dernière intervention
13 avril 2007
-
26 juin 2005 à 20:18
MadM@tt Messages postés 2167 Date d'inscription mardi 11 novembre 2003 Statut Membre Dernière intervention 16 juillet 2009 - 3 déc. 2005 à 22:26
MadM@tt Messages postés 2167 Date d'inscription mardi 11 novembre 2003 Statut Membre Dernière intervention 16 juillet 2009 - 3 déc. 2005 à 22:26
Cette discussion concerne un article du site. Pour la consulter dans son contexte d'origine, cliquez sur le lien ci-dessous.
https://codes-sources.commentcamarche.net/source/32341-securiser-un-texte-enregistre-sur-le-serveur-supprimer-l-execution-du-php-et-javascript
https://codes-sources.commentcamarche.net/source/32341-securiser-un-texte-enregistre-sur-le-serveur-supprimer-l-execution-du-php-et-javascript
3 déc. 2005 à 22:26
Kevin > Strip_tags va m'épargner les balises d'html que je veux garder : Ok, comme ça les utilisateurs peuvent formater leurs textes
Mais ça va quand même me supprimer les balises que j'auraient interdites : php, script etc... Je ne peux pas les autoriser pour des questions évidentes de sécurité, je ne veux pas les supprimer non plus car si ça se trouve c'est du code source. C'est comme si sur phpcs.com on supprimait toutes les balises php des sources, y'aurait plus de code alors que les gens qui postent les sources ils ne veulent pas pirater le serveur.
Il faut donc que je les garde, mais que je les "désactive"
Mais merci pour ton interêt à la question ;)
27 nov. 2005 à 10:50
Pourquoi ne pas utiliser la fonction strip_tags() et ses deux paramètres ?
strip_tags( $string, '<li><lu>
[etc...]' )
Le deuxième paramètre contient la liste des balises (HTML dans ton cas) à ne pas supprimer.
PS : Si l'option asp_tags de PHP est activée (je sais, il faut être tordu) ta vérification est caduque.
Voilà, A+
6 nov. 2005 à 09:56
tu utilises les expréssions régulières et preg_replace()
$msg = preg_replace('onmouseout="exp régulière"', '', $msg);
@+
5 nov. 2005 à 23:15
Par contre je serai interessé par si qqn avait des idées pour supprimer les "petits" appels de javascript de ce style : onmouseout="mnuLightOff(this)" enfin les appels de JS par les evenement quoi.
5 nov. 2005 à 22:14
que tu pourras modifier à ta guise (modifier le tableau renvoyé par cette fonction) pour ensuite convertir les balises de ton choix ;-)
5 nov. 2005 à 21:49
Et je n'ai pas trouvé comment faire d'exceptions pour les balises html avec htmlentities
5 nov. 2005 à 21:45
5 nov. 2005 à 21:33
C'est un site de programmation, donc dans le forum et tout je vois mal comment les utilisateurs pourront se donner des bouts de code en php ou js par exemple si c'est supprimé. Je veux que ça soit affiché moi, mais pas interprété.
5 nov. 2005 à 18:39
htmlspecialchars enlève tout le html ;-)
5 nov. 2005 à 18:30
Si tu pouvais m'expliquer comment faire, je sais pas, y'a des paramêtres à passer ?
Pendant ce temps jvai la tester.
5 nov. 2005 à 18:25
je redis ce que j'ai dit : tu peux utiliser htmlspecialchars :-)
5 nov. 2005 à 18:08
En tout cas j'ai pas arreté de demander une fonction comme ça sur les forum et pas de réponse alors :( jlai faite moi meme.
5 nov. 2005 à 15:18
5 nov. 2005 à 15:17
"C'est vraiment con et c'est rien de nouveau : ça empèche juste le javascript et le php d'etre interprété (extensible à l'asp)...
Attention : ça n'empèche pas l'hmtl de s'executer, sinon autant utiliser htmlentities() et ça n'est pas le but..."
Car voilà dans un forum par exemple, tu poste un message, et si tu veux tu peux le formater, c'est à dire mettre en gras un passage, souligné etc... Mais tu peux aussi mettre du script Javascript, ou du PHP etc.. Mais avec les scripts n'importe qui peut faire des trucs dangereux, donc il faut interdire le javascript, php etc... et autoriser le html.
En php il existe la fonction htmlentities qui interdit toute balise, donc tout script ET tout code html, ce qui ne me convient pas. Donc j'ai codé moi meme une fonction qui désactive seulement les scripts.
Voilà
27 sept. 2005 à 09:37
27 sept. 2005 à 09:13
Tu en as pour combien de temps...?
27 sept. 2005 à 09:08
27 sept. 2005 à 09:04
27 sept. 2005 à 08:39
27 sept. 2005 à 08:31
26 sept. 2005 à 18:38
26 sept. 2005 à 12:42
Je vous remerci de m'explique et de ne pas me lincher^^.
1 juil. 2005 à 08:30
>> ??? ( lol ) : hóigh : hi ... ;-) en gaelic ( de mémoire ... lol ) ... ;-)
Sigurjón Bírgir Sigurðssón aka Sjón
1 juil. 2005 à 01:25
1 juil. 2005 à 01:04
>> Malalam : ,-) ... hóigh ;-) ...
Sigurjón Bírgir Sigurðssón aka Sjón
30 juin 2005 à 10:26
heu non, c'est l'effet "norme XHTML" en fait, lol.
30 juin 2005 à 10:24
29 juin 2005 à 14:11
Car dans ton cas autant utiliser la fonction htmlentities() et ça revient à ce que tu as dit...
Donc non, ça ne revient pas au meme et ce n'est pas ce qu'on cherche
29 juin 2005 à 10:28
function RemoveScriptstr($str) {
return str_replace('<', '>', $str);
}
28 juin 2005 à 17:38
"Comme ça dans la page on a ça :
<?
echo "Hello World !!";
?>"
Les caractères "<" et ">" étaient censé être des codes html ("& l t ;" et "& g t ;") mais ils sont interprétés lors de l'affichage de la page (normal) donc voilà je précise sinon ce qui est écrit n'a pas de sens :S
28 juin 2005 à 17:33
Immortal >> lol la même chose que Malalam et Anthomicro
Merci à tous pour donner des idées en tout cas ;)
28 juin 2005 à 12:54
>> Malalam : " Ca ne marche plus partout ca, a priori. C'est un element obsolete.
En tous cas ca ne marche pas chez moi lol. " Je présume que c'était pour moi ;-) ... En fait je m'en était servi il y a quelques temps sur un Intranet ( vous savez là où la configuration du parc est " contrôlable " ... ? ;-) ) donc je pense qu'il faudrait effectivement le réécrire sans le xmp mais cela peut donner des idées ... ;-) Par ailleurs je l'ai testé sur windows Mobility 2003 2nd Edition en vm et cela fonctionnait ... ( Bah oui j'étais en esqualle à Manille pour 1h, fallait faire le plein à la pompe ;-), et les aéroports question Wifi c'est le top !!! ;-) ... )
Sigurjón Bírgir Sigurðssón aka Sjón
28 juin 2005 à 10:10
28 juin 2005 à 10:07
28 juin 2005 à 09:55
Ce sera toujours plus simple que de retaper ton code a chaque fois, en modifiant en plus le post en get de temps a autres.
28 juin 2005 à 09:54
28 juin 2005 à 09:53
>Anthomicro
tu remplaces $_POST par $_GET et voilà.
Ensuite j'ai dit dans le fichier où l'ontraite ces données.
@+
28 juin 2005 à 09:42
En tous cas ca ne marche pas chez moi lol.
28 juin 2005 à 00:11
Par ailleurs dans le cadre d'un forum géré par des sessions de faire en sorte que le code incriminé soit totalement supprimé ( il faudra cependant pour cela modifier votre function ) pour un utilisateur normal et de l'afficher pour un admin afin de dire aux admins : Attention à ce user ...
Sigurjón Bírgir Sigurðssón aka Sjón
28 juin 2005 à 00:07
Une autre solution intéressante :
function RemoveScriptstr($str)
{
$str = str_replace(array('<script','</script>','<?','?>'), array('<xmp><script','</script></xmp>','<xmp><?','?></xmp>'), $str);
return $str;
}
Cela conserve le multi-ligne éventuel et désactive le script Par ailleurs vous pouvez appliquer un style au xmp via css pour qu'il soit en rouge par exemple ... Et cela permet en plus de concerver les "<" ">" au lieu d'avoir < et > ...
Sigurjón Bírgir Sigurðssón aka Sjón
27 juin 2005 à 21:54
En plus ton code remplace tout directement, alors qu'on en a peut-être pas le besoin... Bref le code proposé est bon, tu en as fait un exemple mais pas une généralisation.
27 juin 2005 à 21:08
Donc je voie pas où est le problème ?
>"ça ne fonctionne pas dans toutes les situations"
Où as tu vu ça !?
+
27 juin 2005 à 20:15
Réutilisable facilement
27 juin 2005 à 18:06
27 juin 2005 à 18:00
Voici un truc plus simple et automatique
Mettre ceci en haut de la page de récéption :
<?php
if(isset($_POST)){
$_POST = str_replace(array('<script','</script>','<?','?>'), array('<script','</script>','<?','?>'), $_POST);
}
?>
@+
26 juin 2005 à 23:16
pour la modif je vais la faire merci
26 juin 2005 à 22:27
Chapeau faut le faire, t'es un bon ;-)
26 juin 2005 à 22:22
26 juin 2005 à 21:31
AnthoMicro >> Excellente idée ça raccourcirait le code et ça n'appelerait la fonction qu'une seule fois, mais c'est plus rapide ?
Merci pour la suggestion en tout cas, et j'en attend d'autre si vous en avez !
26 juin 2005 à 20:31
Merci,
A++
26 juin 2005 à 20:18
tu peux remplacer tes multiples str_replace par des array :
function removescriptstr(&$str)
{
$str=str_replace(array('<script','</script>','<?','?>'),array('alt;script','</script>','<?','?>'),$str);
}
Ensuite t'appelles ta fonction comme ça par exemple :
<?php
function removescriptstr(&$str)
{
$str=str_replace(array('<script','</script>','<?','?>'),array('<script','</script>','<?','?>'),$str);
}
$var='<script>machin';
echo removescriptstr($var);
?>
a +