XSS me

[Inconnu]

Bonjour, j'ai deja eu un probleme avec des bots sur mon site, j'ai mis un système de captcha, il y a l'anti bot de franceserv, mais des fichiers sont apparus dans mon dossier "idprog" de "s-y-s.franceserv.com", je ne peux pas les supprimer, pouvait vous le faire ? (et aussi m'aider a corriger le probleme ?)

[Franceserv]

Bonjour,

Ce dossier est rempli de fichiers avec des noms de commandes JavaScript pour exploiter des failles XSS. Ces fichiers ont été créent par l'intermédiaire de votre site ou via CSRF. Je vois qu'il y a eu également des injections SQL.

C'est dû à un mauvais développement PHP et à la non utilisation (semble t'il) de commandes telles que htmlentities() pour contrer le XSS ou mysql_real_escape_string() pour les injections SQL.

Ces fichiers sont supprimables depuis votre FTP comme il vous appartiennent et qu'ils sont en chmod 666. Je supprime les fichiers les plus évidents mais il vas falloir de votre coté sérieusement revoir votre développement.

[Inconnu]

Désolé, mais htmlspecialchars est utilisé partout, et je n'utilise pas de BDD, je ne vois vraiment pas d'ou ca vient...

[Franceserv]

Il vas alors falloir tracer ce que font vos internautes à l'aide de fichiers log, stocker les POST qui sont invisibles dans les journaux systèmes et demander à une personne de tester votre site en essayant les failles possibles. Un site sécurisé c'est un site où son webmestre est fainéant, où les sécurités sont exécutées une seule fois au début du site (et pas en utiliser partout car ca augmente le risque d'erreur).

Après il ne faut pas se fier entièrement aux captcha, voici un exemple :

Sur une mailing list, une personne a demandé pourquoi il n'arrivait pas à passer le captcha suivant :


Il avait beau saisir "pui37" mais ca ne passait pas. Alors plusieurs personnes ont dit qu'il ne fallait pas lire un I mais un R. Une de ces personnes a même fait ceci :

Code : Tout sélectionner

convert -threshold 60% test.png testovh.jpg
convert testovh.jpg testovh.tif
/usr/bin/tesseract testovh.tif ovh nobatch ovehache >/dev/null 2>&1
cat ovh.txt
pur37

Cette personne à trouvé le capcha avec uniquement des programmes.

Moralité : les robots arrivent mieux à lire certain captcha que les humains alors que c'est l'inverse qui est recherché.

[Inconnu]

Les failles ont été testé pendant 1 semaine il y a un mois, elles ont été corrigées, mais je ne vois pas comment des fichiers ont pu etre crées dans le dossier idprog sous le nom de "yugpiqugvs.txt" alors que les seuls fichiers a etres crées ici vienne de PostProg.php (Upload.php) et que le nom est ecrit par php sous la forme de 1.txt, ou 2.txt ... c'est etrange non ?

[Franceserv]

Ces fichiers étaient carrément des commande JavaScript avec des balises HTML, des alert(); etc ...

[Inconnu]

Mais c'est debile de faire ca non ?, puisque le nom du fichiers ("x.txt") n'est jamais affiché

[Franceserv]

Les robots ne sont pas non plus intelligents Ils sont seulement plus puissants et ne se fatiguent jamais à la tâche.