Script inter-sites
XSS · Type de faille où un attaquant peut placer son propre script dans une page web et l'exécuter dans les navigateurs d'autres utilisateurs qui ouvrent cette page.
- 01
Pourquoi c'est important
Avec XSS, un attaquant peut détourner la session de la victime, afficher un faux formulaire de connexion sur la page ou agir au nom de l'utilisateur. Tout endroit où une saisie utilisateur est affichée, comme les commentaires, la recherche et les champs de profil, est à risque. La solution consiste à encoder correctement la saisie selon l'endroit où elle est affichée, ainsi qu'à mettre en place une politique de sécurité du contenu.
- 02
Exemple
Le texte saisi dans un champ de profil d'un forum est affiché tel quel sur la page. Un attaquant y place un script ; chaque modérateur qui ouvre le profil envoie sans le savoir ses informations de session à l'attaquant.
- 03
Erreur fréquente
Essayer de se défendre en filtrant quelques caractères. Les filtres peuvent être contournés avec d'autres encodages ; la bonne approche est l'encodage de sortie adapté au contexte et l'utilisation d'outils de gabarits prêts à l'emploi et sûrs.
- 04
Termes associés
Services et guides associés
Parlons de votre projet.
Dites-nous votre besoin ; nous définirons le périmètre ensemble.