\n<script>\n<![CDATA[\nCoughUpYourPreciousData();\n]]>\n<\/script><\/code><\/pre>\n\n Cela pourrait, par exemple, amener la prochaine personne qui visite cette page \u00e0 envoyer une copie de ses cookies \u00e0 un attaquant.\n<\/p>\n
\n Vous pouvez voir que dans cet exemple, la cha\u00eene de code ci-dessus ne ressemble en rien au nom de quelqu’un. Votre serveur ne le sait pas, mais en utilisant quelques param\u00e8tres d\u00e9finis, vous pouvez lui apprendre. Par exemple, vous pouvez dire \u00e0 ce champ de rejeter les caract\u00e8res sp\u00e9ciaux, tels que ,() et ; (ils ne sont pas particuli\u00e8rement n\u00e9cessaires dans une section de commentaires). Vous pouvez indiquer \u00e0 ce champ que le nom d’une personne ne contient probablement pas de chiffres. Si vous \u00eates pr\u00eat \u00e0 \u00eatre un peu draconien, vous pouvez indiquer \u00e0 ce champ de rejeter les entr\u00e9es de plus de quinze caract\u00e8res (ou vous pouvez modifier les valeurs comme vous le souhaitez). Prendre ces mesures limitera consid\u00e9rablement la quantit\u00e9 de d\u00e9g\u00e2ts qu’un attaquant peut faire avec un champ particulier.\n<\/p>\n
![\"\"](\"https:\/\/inform.click\/wp-content\/uploads\/2022\/11\/post-327507-638448ef92725.webp\")
<\/a><\/p>\n\n M\u00eame avec la validation des donn\u00e9es, il peut y avoir des formulaires ou des champs o\u00f9 vous ne pouvez pas limiter de mani\u00e8re r\u00e9aliste le type de caract\u00e8res utilis\u00e9s, comme dans un formulaire de contact ou un champ de commentaire. Ce que vous pouvez faire, c’est nettoyer les donn\u00e9es. Ce processus rend impossible l’ex\u00e9cution de HTML dans un champ donn\u00e9, convertissant tout ce qui pourrait \u00eatre reconnaissable comme un morceau de code ex\u00e9cutable en caract\u00e8res non codants. Par exemple, un lien hypertexte n’appara\u00eetra pas l\u00e0 o\u00f9 il pourrait en exister un.\n<\/p>\n
\n Enfin, il existe des cas dans lesquels votre site peut finir par afficher des donn\u00e9es dangereuses pour les utilisateurs. Supposons que quelqu’un r\u00e9dige un commentaire malveillant sur l’une de vos pages, qui est ensuite index\u00e9 par la fonction de recherche de votre site Web. Chaque fois qu’un de vos utilisateurs effectue une recherche, ce code malveillant est ex\u00e9cut\u00e9 lorsque son navigateur charge les r\u00e9sultats de la recherche. Ceci est \u00e9vit\u00e9 en \u00e9chappant aux donn\u00e9es, ce qui garantit que lorsque votre site fournit des donn\u00e9es \u00e0 un utilisateur, le seul code qui s’ex\u00e9cute est le code que vous souhaitez ex\u00e9cuter.\n<\/p>\n
\n Pour en savoir plus sur la validation des donn\u00e9es, la d\u00e9sinfection des donn\u00e9es et l’\u00e9chappement des donn\u00e9es, le WordPress Codex<\/a> dispose d’une excellente ressource. Il expliquera les concepts ci-dessus en d\u00e9tail et donnera plus d’exemples qui peuvent \u00eatre appliqu\u00e9s universellement.\n<\/p>\n\n Autres m\u00e9thodes
\n<\/h4>\n
\n Les grandes entreprises ont de plus grands sites Web; c’est un fait. Peut-\u00eatre que des milliers de personnes utilisent votre site chaque jour. Peut-\u00eatre qu’au lieu de formulaires et de champs standard, il existe \u00e9galement des animations, divers portails, des parties \u00e9crites en Java, etc. M\u00eame si vous gardez une trace de tout cela, il y a peut-\u00eatre un jour z\u00e9ro dans l’une de vos applications, et vous n’avez aucun moyen de vous d\u00e9fendre.\n<\/p>\n
\n Dans une situation comme celle-ci, si vous avez l’influence et le budget n\u00e9cessaires pour le faire, je vous recommande d’investir dans un pare-feu d’application Web (WAF). Un bon WAF aura des r\u00e8gles de corr\u00e9lation qui identifient et bloquent automatiquement les cha\u00eenes HTML qui sont le plus souvent associ\u00e9es aux attaques par injection de code. Ils peuvent \u00e9galement vous avertir lorsque des applications commencent \u00e0 exfiltrer des donn\u00e9es alors qu’elles ne sont pas cens\u00e9es le faire ou qu’elles le font dans un volume inhabituel, aidant ainsi \u00e0 se d\u00e9fendre contre les attaques zero-day et autres menaces avanc\u00e9es. Un WAF n’est pas une solution miracle, mais c’est un outil inestimable pour les professionnels de la s\u00e9curit\u00e9 et les propri\u00e9taires de sites Web qui souhaitent prot\u00e9ger des applications complexes.\n<\/p>\n
\n Il existe \u00e9galement un certain nombre de plugins qui pr\u00e9tendent se d\u00e9fendre contre les attaques XSS. En fait, je ne les recommande pas. Plut\u00f4t que de r\u00e9duire les risques, bon nombre de ces plugins ne repr\u00e9sentent qu’une autre surface d’attaque \u00e0 exploiter par un pirate informatique. M\u00eame l’un des plugins de s\u00e9curit\u00e9 les plus connus et les plus utilis\u00e9s, Akismet, s’est av\u00e9r\u00e9 vuln\u00e9rable aux attaques XSS<\/a> l’ann\u00e9e derni\u00e8re. Lorsqu’il s’agit de d\u00e9tourner les attaques XSS, ne comptez pas sur des demi-mesures. D\u00e9veloppez les comp\u00e9tences n\u00e9cessaires et utilisez l’ensemble d’outils appropri\u00e9 pour assurer la s\u00e9curit\u00e9 de votre site Web.\n<\/p>\n\n Autres applications pratiques
\n<\/h4>\n
\n Ces informations peuvent \u00eatre un peu complexes pour les non-initi\u00e9s, mais je d\u00e9testerais que les gens soient d\u00e9courag\u00e9s par la complexit\u00e9 potentielle de ces informations. Si une attaque XSS se produit, vous pouvez \u00eatre certain que le nettoyage des cons\u00e9quences d’un tel \u00e9v\u00e9nement sera beaucoup plus complexe que d’apporter les modifications \u00e0 votre site Web. Nettoyer les co\u00fbts de r\u00e9putation de votre site Web (les lecteurs r\u00e9guliers fuiront votre site Web assez facilement) sera un probl\u00e8me suppl\u00e9mentaire dont vous ne voulez pas avoir \u00e0 vous soucier.\n<\/p>\n
\n M\u00eame si vous demandez \u00e0 quelqu’un d’autre de g\u00e9rer le d\u00e9veloppement et la s\u00e9curit\u00e9 de votre site Web pour vous, faites ce que vous pouvez pour au moins \u00eatre en mesure de r\u00e9pondre \u00e0 une urgence et de savoir o\u00f9 se trouvent vos points faibles. Savoir comment v\u00e9rifier votre syst\u00e8me sera une comp\u00e9tence essentielle \u00e0 long terme et sera la base d’autres sujets de s\u00e9curit\u00e9 et de projets de d\u00e9veloppement de sites Web. Tout est interconnect\u00e9 en ligne et bien que les attaques XSS puissent \u00eatre une chose des derni\u00e8res ann\u00e9es sur toute la ligne (aussi peu probable que cela soit), conna\u00eetre les tenants et les aboutissants de votre site Web ne sera jamais obsol\u00e8te.\n<\/p>\n
\n Derni\u00e8res pens\u00e9es
\n<\/h4>\n
\n Le paysage de la s\u00e9curit\u00e9 Internet change constamment. Vous ne pouvez jamais \u00eatre enti\u00e8rement certain de la mani\u00e8re dont une attaque XSS pourrait appara\u00eetre ou de la mani\u00e8re dont elle pourrait \u00eatre utilis\u00e9e contre vous, mais vous vous devez, \u00e0 vous-m\u00eame et \u00e0 vos lecteurs, de vous assurer que vous faites tout ce qui est en votre pouvoir pour les arr\u00eater. Continuez \u00e0 vous informer sur cette menace et v\u00e9rifiez r\u00e9guli\u00e8rement (je recommanderais au moins une fois par mois) tout d\u00e9veloppement pertinent dans le monde de la cybers\u00e9curit\u00e9.\n<\/p>\n
\n Cela ne signifie pas non plus que vous pouvez ignorer les autres menaces. L’acc\u00e8s au r\u00e9seau public n\u00e9cessite toujours l’utilisation d’un VPN pour \u00eatre s\u00fbr. Vous ne pouvez pas n\u00e9gliger la s\u00e9curit\u00e9 de tout ordinateur que vous utilisez pour acc\u00e9der \u00e0 votre site Web. Les informations de connexion doivent encore \u00eatre modifi\u00e9es souvent et \u00eatre \u00e0 l’abri des attaques par force brute. Les attaques XSS sont brutales, mais elles ne sont pas la seule menace \u00e0 surveiller.\n<\/p>\n
\n Il peut \u00e9galement vous incomber de partager ces informations (ou m\u00eame cet article) avec vos pairs et les parties int\u00e9ress\u00e9es afin de propager la r\u00e9sistance contre ces types d’attaques. Bien que vous ne puissiez pas en faire trop par vous-m\u00eame, si suffisamment de personnes se prot\u00e8gent correctement, nous pourrions voir une diminution g\u00e9n\u00e9rale de ces types d’attaques alors que les pirates tentent de trouver une autre fa\u00e7on de profiter des internautes pauvres.\n<\/p>\n
\n Avez-vous vous-m\u00eame des id\u00e9es sur la fa\u00e7on de v\u00e9rifier les attaques XSS et de vous d\u00e9fendre contre elles \u00e0 l’avenir ? Existe-t-il d’autres strat\u00e9gies de d\u00e9tection et de suppression que vous utilisez vous-m\u00eame pour lutter contre cette menace ? Y a-t-il des outils que vous recommanderiez \u00e0 vos coll\u00e8gues lecteurs? Si tel est le cas, veuillez laisser un commentaire ci-dessous et poursuivre cette importante conversation avec vos coll\u00e8gues lecteurs.\n<\/p>\n<\/p>\n