Bonjour !
Certains connaissent ce site, mais je veux cette fois faire un topic pour que vous m´avertissiez des failles de sécurité du site (je sais qu´il y en a c´est obligé).
http://www.lesunshine.com

Merci de ne pas les exploiter.

Déjà 2 testeurs, c´est super. Cependant si vous ne trouvez pas de failles merci de le dire ici .

On peut tout deleter?

pour le test

T´as un backup?

Hallo?

Etant donné qu´il dit qu´il ne faut pas les exploiter, je suppose qu´il faut juste le mettre au courant. D´ailleurs, j´aimerai bien savoir quelle faille tu as trouvé, ça m´intéresse.

Il en a corrigé une depuis la dernière fois

Ah non il ne faut pas tout supprimer j´ai pas de sauvegarde !
Sinon l´erreur de la dernière fois c´était avec les cookies, là je les ai enlevé.

Ben fais-en une de sauvegarde ^^ On sait jamais, t´es pas à l´abri ne serait-ce que d´une erreur de manip ou d´un plantage côté serveur.

Je fais comment pour copier la BDD ?

tu fais "Importer" dans MyAdmin

Importer ou Exporter ?

Parce que Importer ya pas.

Exporter, ca me semble logique lol, import = entrer, export = sorti

Vous avez terminé ?

Gourmand, va !

Personnellement je n´ai rien trouvé. Je ne suis pas un spécialiste en la matière, ça ne fait que quelques jours que je m´intéresse vraiment à la sécurité Web et toutes les failles que je connaissais n´étaient pas exploitables sur ton site (ou alors d´une manière qui m´est inconnue).

euh oui c´est exporter (excuse moi), honte à moi

Salut j´ai trouvé trois petites ´failles´ :
http://www.lesunshine.com/tutorial.php?titre=%3C/title%3E%3CScRiPt%20%0a%0d%3Ealert(1337)%3B%3C/ScRiPt%3E
http://www.lesunshine.com/chapitre.php?titre_c=%3C/title%3E%3CScRiPt%20%0a%0d%3Ealert(2017263638)%3B%3C/ScRiPt%3E
http://www.lesunshine.com/chapitre.php?titre_c=FAILLE%20TOUTE%20BETE
Certes ses failles sont toutes bêtes mais peuvent être utilisé à des fins de phishing de comptes de personnes inscrites sur ton site ou autre, et puis cela fait plus professionnel d´avoir aucune faille.
Je te conseille également de rajouter une captcha pour l´inscription afin d´éviter des floods d´inscriptions.
Voilà

Pour les cours je vais mettre plutôt les id au lieu des titres dans l´url , bien sur cet id va passer aux mysql_real_escape_string().

Qu´est-ce qu´une captcha ?