Table des matières
Quelle est la vulnérabilité exploitée par le XSS Cross-Site Scripting?
La vulnérabilité XSS ou Cross-site Scripting est une vulnérabilité qui affecte le côté client d’une application Web. Cette vulnérabilité a été nommée pour la première fois en janvier 2000 par Microsoft et fait partie des vulnérabilités les plus courantes des applications Web sur internet (Cross-site scripting).
Quelles sont les caractéristiques de cross-site scripting et l’injection SQL?
Injection.
Quels sont les types de XSS les plus connus?
Pour faire simple, il existe 3 sous-types d’attaques XSS: attaques XSS stockées (stored XSS attacks), attaques XSS reflétées (reflected XSS attacks), attaques XSS basées sur le DOM (DOM based XSS). Nous allons tenter d’expliquer ces trois types de failles avec des termes simples.
Quel entêté HTTP permet de minimiser l’impact d’une XSS en interdisant l’importation d’un script malveillant externe au domaine?
Header HTTP Elle permet de détecter, de prévenir et de désactiver l’exécution de scripts non-autorisés (code contenu dans les paramètres HTTP).
Quelle est la différence entre les failles XSS de type stored et celles de type reflected?
Contrairement à la reflected XSS, la stored XSS ne nécessite pas une interaction forte de la part de la victime comme cliquer sur un lien. En effet, ici l’injection de code est directement stockée en base de données.
Quelle est la différence majeure entre une faille de type XSS et une faille de type injection?
Une faille XSS consiste à injecter du code directement interprétable par le navigateur Web, comme, par exemple, du JavaScript ou du HTML. Cette attaque ne vise pas directement le site comme le ferait une injection SQL mais concerne plutôt la partie client c’est-à-dire vous (ou plutôt votre navigateur).
Où mettre Content Security Policy?
Pour activer CSP, vous devez configurer vos serveurs web afin d’ajouter un en-tête (header) HTTP Content-Security-Policy aux réponses. Vous pouvez rencontrer des documents qui mentionnent X-Content-Security-Policy comme en-tête, il s’agit d’une version obsolète qu’il n’est plus utile de supporter.
Quelle fonction permet de se prémunir d’une injection de code JS faille XSS?
Plusieurs techniques permettent se se protéger de la faille XSS : La fonction htmlspecialchars() convertit les caractères spéciaux en entités HTML. htmlentities() qui est identique à htmlspecialchars() sauf qu’elle filtre tout les caractères équivalents au codage html ou javascript.
Quelle fonction PHP native permet de se protéger contre la faille XSS?
Comment s’en prémunir Il faut absolument utiliser les fonctions php htmlspecialchars() qui filtre les ‘<‘ et ‘>’ ou htmlentities() qui filtre toutes les entités html. Ces fonctions doivent être utilisées sur des entrées utilisateurs qui s’afficheront plus tard sur votre site.
Quelle fonction utiliser pour éviter les failles XSS?
Quel est le meilleur moyen de se protéger contre une XSS?
Comment sécuriser un formulaire?
Pour protéger les formulaires tels que les formulaires de contact, les pages de connexion ou les requêtes de recherche, vous devriez utiliser un captcha. Un captcha est une procédure pour savoir si l’action a été demandée par une personne ou une machine.