merci a vous

[quote="Perine"]Non, c'est de la poudre aux yeux. Des attaques XSS n'ont aucune influence sur le serveur - "protéger" une URL n'a absolument aucun sens. [/quote]

:lol:

[quote="wikipedia"]La détection de la présence d'une faille XSS peut se faire par exemple en entrant un script Javascript dans un champ de formulaire[b] ou dans une URL[/b] :[/quote]

http://fr.wikipedia.org/wiki/Cross-site_scripting
;)

[quote="Perine"]Les attaques XSS sont de l'injection de code CSS [/quote]
:lol:

htmlspecialchars est une protection basique. A elle seule, cela ne suffit pas. ;)

Non, c'est de la poudre aux yeux. Des attaques XSS n'ont aucune influence sur le serveur - "protéger" une URL n'a absolument aucun sens. Les attaques XSS sont de l'injection de code HTML/JavaScript/CSS sur le client afin de récupérer, par exemple les cookies d'un utilisateur. On se protège contre les attaques XSS en échappant les caractères spéciaux de l'HTML. En PHP avec la fonction htmlspecialchars().
Dans ton cas, le problème doit être plus profond et provenir d'une faille dans une de tes applications, du vol de ton mot de passe FTP (si jamais tu n'utilises pas SFTP ou FTPS).

merci niuxe

Salut,

1. Dans l'url tu exclus :
<[b]script[/b] ....>

2. Je t'invite à lire un vieux post que j'avais écrit sur php France : [url=http://forum.phpfrance.com/modelisation-securite/securiser-une-query-string-t251261.html#p313604]proteger une query string[/url]. Dans l'exemple que j'avais mis, c'était un md5. Le md5 n'est pas une super protection : [url=http://korben.info/comment-decoder-un-mot-de-passe-en-md5.html]au hasard dans google[/url]. Si tu as des questions, n'hésite pas.

3. le mieux est que tu réécris tes urls

Bonjour,

J'ai lus le log du serveur, j'ai un seul site sur le serveur et j'ai trouve des codes <script> qui etaient ecrit sur l'url, maintenant le serveur est down (Server not found), mais je peux acceder en SSH, comment resoudre ce probleme (rendre le site disponible), et comment se proteger des attaques XSS sur l'URL??

exemple du log:
[code]
[Tue Feb 19 14:32:24 2013] [error] [client IP_ATTACKER] File does not exist: /home/domaine/www/666\n\n<script>alert('Vulnerable');<

[Tue Feb 19 14:35:50 2013] [error] [client IP_ATTACKER] Invalid URI in request GET shopdisplayproducts.asp?id=1&cat=<script>alert(document.cookie)</script> HTTP/1.1
[/code]
Merci a vous