[gomanx]

Bonjour je cherche à faire des test sur les faille xss, donc en local, mais ça ne fonctionne pas.

je n'ais pas internet chez moi
j'utilise wamp5

en clair des que je met un caractair genre < ou " l'url les transforme en code html et les rend inofencif.

Quelqu'un pourait t'il m'aider.
Merci.

[hisoka69]

N'utilise qu'un éditeur de texte comme blocnote ou notepad pour générer tes pages HTML.
Là tu es sûr de ne pas avoir ce genre de soucis.

[gomanx]

j'utilise pspad.

Je comprend pas ce que ça va changer. Peut tu m'expliquer.

cela viendrais t'il de l'entête généré par pspad ?

[hisoka69]

Bon apparemment je ne sais pas tout sur ton problème.

1) peut-tu nous dire dans quel environnement tu teste les XSS ? (php avec un truc du genre EasyPHP, ou seulement du JavaScript)
ok : WampServer 5

2) Peut-tu aussi nous coller le script que tu teste. (pour savoir si tu n'as pas une protection X ou Y)

Surement un htmlentities qui traine...

merci

[gomanx]

Je crée un page pspad avec un script genre :

if($_GET[patate] != 0)
{
    echo "hello, $_GET[patate]";
}

je colle la page dans le serv wamp et je lance dans mozilla (127.0.0.1/test/test.php?patate=gomanx)
je modifie l'url en 127.0.0.1/test/test.php?patate=<script>alert("patate");</script>

[_o_]

Et quel est le problème, au final ?

[hisoka69]

tente comme ça :

Code:

if($_GET[patate] != 0)
{
    echo ("hello".$_GET[patate]);
}

Si cela ne fonctionne pas, regarde les configurations de WampServer 5

[gomanx]

les config de wamp 5 deja regarder mais avec tous se bordel je ne sais pas ou chercher

[hisoka69]

sinon tu peux toujours vérifier comme ceci :

127.0.0.1/test/test.php?patate=<script>alert(doument.cookie);</script>

T'as des slashes qui s'affiche du type \" ?

[gomanx]

non il me change le code par des %24script%27 ou un truc du genre

[_o_]

Qui est-ce qui change ? Le navigateur ? Le serveur ? Ou le vois-tu ? Dans l'url ? Dans la page ?

Faut être un tout petit peu plus précis quand on a un problème. Tu es le seul devant ton écran à voir ce qui se passe.

[gomanx]

ok desolé.

Je crée mon fichier php comme dit plus haut ensuite je le balance sur le serveur apache de wamp5 puis le charge dans mozilla (127.0.0.1/test/index.php?patate=gomanx) je test la faille xss dans l'url (127.0.0.1/test/index.php?patate=<script>alert("patate");</script>) et quand je valide de la touche entré rien ne ce passe sauf dans l'url les caractaire spéciaux sont remplacaient par des %23 ou autre.

je ne sais rien de plus.

[Iansus]

C'est normal : quand tu rentre tes données dans l'Url, il y a automatiquement un escape() d'appliqué dessus.
Tente en POST, avec un formulaire !

[_o_]

quand je valide de la touche entré dans l'url les caractaire spéciaux sont remplacaient par des %23 ou autre.

«Caractères» et «remplacés», par pitié. Donc, comme l'a signalé Iansus, c'est tout à fait normal (à ma connaissance, ça n'a rien à voir avec un échappement, mais c'est de l'«urlencode»). Et en POST, le comportement sera le même, sauf que cela ne se voit pas. Mais tout ça n'a pas d'incidence sur la XSS, il s'agit simplement d'une des méthodes classiques employées pour faire passer des caractères spéciaux dans des protocoles orientés texte.

rien ne ce passe

Curieux, mais sans connaître la version et la configuration exacte de ton WAMP, on ne peut conclure : c'est peut-être normal.

Au fait, tu mets bien «http://» dans ton url ?

[gomanx]

désolé pour les fautes pitoyables.

Oui le http:// est la.

je n'ai pas configuré wamp après install