Christian stocker vient de corriger une attaque XSS étrange : elle se base sur l'interprétation que font les navigateurs du caractère slash : /. En l'occurrence, il peut être remplacé par un espace quand le navigateur ne sait pas trop quoi en faire.
A court terme, la solution est bien de compléter les filtres HTML, mais à plus long terme, comment se prémunir contre ces interprétations bizarres et non-documentées ? Selon Christian, passer par la regénération XML du code est une bonne protection : au lieu d'utiliser les données brutes, elles sont produites par DomDocument (ou par n'importe quel outil de production XML), afin de s'assurer que le code HTML final est valide.
Et valide au sens des standards que tout le monde comprend, et pas ceux que les navigateurs comprennent !
- MISSED CASE IN EXTERNALINPUT.PHP RESULTING IN VIABLE XSS ATTACKS - FIX AVAILABLE
- #2008-012 Horde, Popoon frameworks common input sanitization errors (XSS)
A court terme, la solution est bien de compléter les filtres HTML, mais à plus long terme, comment se prémunir contre ces interprétations bizarres et non-documentées ? Selon Christian, passer par la regénération XML du code est une bonne protection : au lieu d'utiliser les données brutes, elles sont produites par DomDocument (ou par n'importe quel outil de production XML), afin de s'assurer que le code HTML final est valide.
Et valide au sens des standards que tout le monde comprend, et pas ceux que les navigateurs comprennent !
- MISSED CASE IN EXTERNALINPUT.PHP RESULTING IN VIABLE XSS ATTACKS - FIX AVAILABLE
- #2008-012 Horde, Popoon frameworks common input sanitization errors (XSS)
-
Auteur
-
Origine
