Re: [FRsAG] apache mod_security : retours d'expérience

Le Sat, 28 Aug 2010 22:09:30 +0200, JF Bustarret jf@bustarret.com a écrit :

Ce qui n'aidera pas (même si c'est une bonne idée) pour filtrer les XSS et les injections SQL.

Certes. C'est surtout dans le cadre de plateforme d'hébergement massif.

Les injections SQL sont relativement faciles à filtrer, mais pas forcément les XSS, vu les nombreuses possibilités d'injecter du JS. Dans les deux cas, regarde ce qui est dans le Core Rule Set.

Il faut connaitre exactement l'attaque pour le XSS, car, en effet, les filtres génériques font ce qu'ils peuvent pour ce vecteur d'attaques.

a +.