Visiteurs
Actuellement en ligne: 2+ d'infos...
La sécurité sur un site web
J'ai pense qu'un petit tutorial sur la sécurité est un point très important pour vous aider à éviter les principaux pièges.
1. Encoder ses chaînes de caractères
Vous utilisez à travers vos sites web différents variables que le visiteur a rempli lui-même, dans des formulaires par exemple (pseudo, email, adresse internet, ...). Vous n'avez que peu de moyens de vérifications sur ces données (à part utiliser systématiquement des expressions régulières pour empêcher certaines valeurs, mais ce n'est pas toujours applicable).Server.HTMLEncode sur toutes les valeurs que vous ne pouvez pas contrôler (affichage de champs de la base de données par exemple).Server.HTMLEncode d'une chaîne nulle; vous pouvez faire alors un Server.HTMLEncode(maChaineVide & ") pour contourner le problème.
Affichage d'un email que l'utilisateur a rempli avec <script>alert('?')</script> causera l'affichage d'une boîte de dialogue à chaque fois que cet email sera appelé (c'est une exemple "gentillet" sur l'utilisation du Javascript).
Affichage de ce même email dans un champ texte, mais avec un "> avant le <script... Les 2 caractères "> seront interprétés comme une fermeture de balise texte, et le texte suivant pourra être affiché tel quel.
De la même façon, on peut rajouter un </textarea> pour fermer un champ TEXTAREA.
Donc pensez à TOUT coder, affichage de valeurs dans la page ou dans des formulaires ! De plus, n'oubliez pas que Server.HTMLEncode est une fonction propre à l'ASP.
2. Doubler les apostrophes (') pour les chaînes de caractères utilisées pour les requêtes dans les bases de données
De la même façon qu'on peut fermer des balises HTML comme ci-dessus, on peut fermer une requête SQL en insérant un ' dans une variable texte. Ce caractère ' est utilisé pour délimiter les champs textes dans les requêtes SQL.
Vous avez la requête SELECT * FROM Users WHERE uLogin = '" & sPseudo & "' . Si sPseudo est égal à "Pat l'étourdi" vous aurez un problème. Si de plus il en profite pour rajouter une requète supplémentaire, ce sera pire encore.SELECT * FROM Users WHERE uLogin = 'Pat l''étourdi'' qui fonctionnera, au leu de SELECT FROM Users WHERE uLogin = 'Pat l'étourdi' qui plantera.
3. La protection de vos données
Sur un site web, vous stockez vos données principalement sous 2 formes : du code ASP dans vos pages .asp et vos données dans vos bases de données (Access dans le cas qui nous intéresse ici).MonFichier.txt par exemple. Car ainsi, le code sera bien utilisable par la page l'incluant, mais la personne mal intentionnée pourra chercher à afficher directement le code de cette page (appel direct dans le navigateur).
Conclusion
J'espère que ces quelques points vous aideront dans vos créations en évitant les failles de sécurité les plus communes.webmaster@asp-nuke.com .
Votez pour ce site au Weborama
