Recherches d'url dans mon moteur

[Jaunalgi]

Bonjour,

J'ai une "curiosité" avec mon moteur de recherche. Certaines personnes s'amusent à rechercher des url du type ht*p://w*w.pokerroomreview.com/Search.aspx?Area=All&Search=GEENA%20DAVIS%20PICTURES</title><iframe%20src=//r0l.eu> GEENA DAVIS PICTURE
Ils mettent ces url à la place du nom du commerce recherché dans le formulaire présent sur l'accueil.

Évidemment, cela ne renvoit aucun résultat. Selon vous, ça correspond à quoi? Une tentative d'utilisation de faille include ou quelque chose du genre? Il y a entre 1 à 3 tentatives par IP.

C'est le site de mes www

 

[BadProcESs]

Il cherche une faille dit XSS, qui serviraient à injecter du code html dans tes résultats de recherche si tu les logs sur une page (genre "recherches les plus fréquentes") et si tu te contente d'afficher simplement le contenu de la requête SANS htmlentities()

Conclusion: Il est impératif de toujours rendre les chaînes passés par les utilisateurs du site via htmlspecialchars() par exemple, mais JAMAIS directement.

 

[Jaunalgi]

Merci de ta réponse.
Justement, pour éviter la faille XSS, je passe justement tous mes champs de recherches avec htmlentities()

En tout cas, ils s'acharnent.

 

[Leonick]

déjà, la première chose à faire pour un moteur de recherches interne : pas de http:// dans la requête

 

[Jaunalgi]

Oui mais sinon? Tu ne renvoies rien, une erreur de recherche (le champ ne correspond blabla) ou autre chose?

 

[Leonick]

message d'avertissement comme quoi il ne doit pas y avoir de http:// dans la requête, avec un test en js sur le navigateur.
Pour un "vrai" internaute, le test du js est suffisant. Ensuite, si la requête qui t'arrive au niveau serveur contient http:// tu blacklistes l'ip directement :evil:

 

[Jaunalgi]

Merci de ta réponse Leonick, je vais regarder de ce côté là, tu as raison. Ce n'est pas bien compliqué à mettre en place. Par contre, je ne pense pas que je blacklisterai l'IP, je vais déjà voir ce que ça donne avec les règles JS.

 

[Leonick]

je blackliste pour la journée quand j'ai des requêtes bizarres.