Lorsqu'en javascript certaines variables sont mal protégées, et son directement mise dans l'url, il est donc possible d'injecter du code arbitraire.Par exemple imaginons un script pour afficher une page :
<?php
[...]
print("page : $page");
[...]
?>
Si le nom de la page est hack me.htm cela donnera :
http://site_vulnerable.com/?page=hack%20me
Le hacker peut donc envoyer n'importe quel code via l'url grace a la faille XSS :
http://site_vulnerable.com/?page=<script>alert("alph4net");</script>
Ce qui aura pour effet de faire apparaitre une boite de dialogue avec ecrit alph4net
dedans, et la, au cas ou vous ne l'auriez pas vu, il y a une faille, c'est une faille
XSS non-permanente
Maintenant pour securiser tous ca, a chaque fois que vous utilisez les fonctions
echo et print() pour afficher une variable faite ceci :
<?
print(htmlspecialchars($variable));
?>
ou
<?
echo htmlspecialchars($variable);
?>
Au lieu de ca:
<?
print($variable);
?>
ou
<?
echo ($variable);
?>
Voila, je le répète, c'est a titre d'information, c'est pour que les personnes qui créer des script php, les sécurisent au Max. Certain (meme beaucoup) connaissent cette faille, mais il n'y a pas que des ingénieurs sur ce site ... ;)