(re)Salut tout le monde, le site que je fais pour une entreprise semble quasiment fini (excepté quelques messages d'erreur a rajouter, ou des fautes de frappes).
J'aimerai sécurisé un peu le tout, j'ai déjà protégé le site des injections sql (avec le mysql_real_escape_string...)
Je souhaiterai savoir si c'est suffisant pour le protéger de petits pirates? Si vous avez des techniques a me présenter ainsi que les méthodes pour le sécuriser (on reste dans le code pour l'instant) j'ai fais une petite recherche, http://www.crazyws.fr/securite/plus-de-10-outils-pour-tester-la-securite-de-votre-site-web-IO8AX.html
je ne sais pas si les logiciels sont légaux (dans le doute je ne les télécharges pas encore) mais si ils le sont, est ce qu'ils sont efficace?

http://www.deblan.tv/post/374/Les-bases-de-la-securite-sur-un-site-PHP

merci

Attention qu'une injection SQL peut se faire sans guillemet si par exemple tu utilises un nombre (genre un ID).

THE règle d'or en informatique au niveau de la sécurité: ne JAMAIS faire confiance à l'utilisateur, la moindre info provenant de lui doit être filtrée.

en faite j'ai une parti visiteur client, et une partie admin, seul 2personnes auront acces a cette partie, pour s'y connecter on demander uniquement l'identifiant et le mot de passe, j'ai inséré la fonction mysql_real_escape_string, seulement j'ai entendu parler d'injection java, ou d'injection par l'URL, je voudrais savoir si la fonction mysql_real_escape_string suffit ou pas pour protéger le site

petite précision, le visiteur n'aura aucun moyen de saisie sur le site, seul les admin ont des champs de saisie accessible uniquement a l'aide de mot de passe

Ca dépend des cas.

Tu en as pourtant un qui est accessible par tout le monde; l'URL.

mapage.php?id=1 où tu ne mets pas de guillemet autour du 1 et où tu utilises ça dans une requete, mysql_real_escape_string n'aura strictement pas le moindre effet et sera totalement impuissant, pourtant l'injection sera bel et bien possible.

je n'ai rien trouvé pour ce type d'injection

Bah c'est la même chose sauf que tu n'as pas besoin d'inclure de guillemet, et comme mysql_real_escape n'échappe que les guillemets...

Bref pour ça bah suffit de vérifier qu'un nombre et bien un nombre (donc du genre avec des fonction tel que is_int(), ctype_digit() etc).

je travail sur wamp la, et je ne passe pas par l'URL, donc quand je suis sur une page en interne, l'url c'est le nom de la page... je sais pas si c'est une erreur importante de faire comme ça?