Merci à tous pour vos réponses.
Le problème c'est que je ne souhaitait pas modifier les pages une par une, vu que y'en a beaucoup trop. J'ai donc fait un filtrage sur les éléments du tableau $_GET dans la page qui est commune à toutes les autres. Comme ces variables sont parfois du texte, le problème est surtout de savoir si une chaine est une url. Pour le moment, j'ai identifié une chaine comme url si elle contient "http://", je pense que ca devrait éviter les bugs.

$value = "Ta chaine à tester";
$pattern = "#^(((http|https)(:\/\/))[\w+]|([w]{3})[\.])(.*)#Um";
$match();
if (preg_match($pattern, $value, $match) =! 0) /* alors c'est bien une URL */ exit(-1);

Bonjour,
Voila mon problème. Un utilisateur de mon site à trouvé une faille, d'un type que je n'avais jamais vu. Il réussit à faire planter apache en injectant du texte dans l'url.

Après installation d'un système me permettant de savoir la page qu'il utilise, j'ai fini par trouver (les logs d'apache faisaient plus de 1 Go, donc inouvrables et inexploitables ).
Il utilise cette technique un peu partout, et ca fonctionne sur l'immense majorité des pages du site. Il injecte de cette facon :
/sujet.php?id=http://217.218.225.2:2082/index.html?
La variable info est sensée être un nombre. La variable est bien traitée pour éviter les injections SQL, et ne pose aucun problème au serveur SQL, à part un message d'erreur car ce n'est pas le bon type de données. Après vérification de mon code, je pense que ca vient de cette ligne :

header('Location: repondre.php?id='.$_GET['id']);

Alors ma première question : Comment une telle ligne peut-elle faire planter apache ?

Malgré les risques, je suis allé voir l'url qu'il injecte depuis mon navigateur, et il s'agit simplement d'une page de login d'un cpanel, donc rien de méchant.
Deuxième question : Mon site comporte un trop grand nombre de pages pour que je les modifie toutes à la main. Donc mon idée, même si c'est un peu bourrin, serait de, dans une des pages qui est utilisée partout (header.php), filtrer les variables GET, et supprimer celles contenant une url (car je pense que sa méthode fonctionne avec d'autres urls). Donc comment identifier une chaine comme url ?
Merci.

if (!is_numeric($_GET[id])) die("Tu peux traiter ici... En remplacant die par ce que tu veux.");
...
// suite du process
...

define ("authorized", 1);
define ("unauthorized", 2);
define ("restricted", 4);

// Récupération de l'url
$strUrl = ...

// Récupération d'un des fragment du get (sous while ou for)
$strFrag = ...

$arrayAuthorizedUrl = Array("accueil" => 1, "admin" => 4, "member" => 4, "send" => 1);
$arrayAuthorizedFrag = Array("id", "log", ...);

if (!isset($arrayAuthorizedUrl[$url] | (!$arrayAuthorized[$url]  & authorized) ) die("...ou traitement");

if (!!isset($arrayAuthorizedFrag[$strFrag]) ) die("...ou traitement");
...
// Suite du process
...

Url qui est invalide. Il est normal que cela puisse faire planter apache, puisqu'il peut être amené à parser les headers avant de les envoyer au navigateur.

J'suis pas sûr d'avoir tout compris, mais une URL invalide ne devrait pas faire planter Apache.
(Par contre, il est très facile de saturer les connexions d'apache sans saturer le réseau. C'est un gros problème inhérent à Apache, mais c'est un autre problème.)

Url qui est invalide. Il est normal que cela puisse faire planter apache, puisqu'il peut être amené à parser les headers avant de les envoyer au navigateur.

function test_si_url($chaine)
{
if(strpos($chaine,"http://")!=false) $res=true;
else $res=false;

return $res;

}

header('Location: repondre.php?id='.$_GET['id']);