iframe dans les blogs - Page 1

j'aimerais bien integrer un truc comme ca dans mon blog: http://trip.rgaucher.info
donc je pense a une iframe, y'a moyen de le faire presentement ?

Impossible au niveau sécurité de permettre l'insertion d'une iframe.

Ouais, ce que je me disais aussi...

Heu j'y connais rien, mais j'ai deux questions:
nEUrOO: comment entres tes contact dans la google map?
yAro: c'est quoi le problème de sécurité?

bah heu... je parse mon fichier XML et j'utilise les fonctions de l'API Google Map.
Enfin, pour l'Iframe, tu inclus un truc qui n'est pas sur ton server, dont tu as aucun controle... ca peut etre dangereux (cross site scripting en javascript)

JackosKing :
yAro: c'est quoi le problème de sécurité?

comme a dit nEUrOO, XSS powa ^^

dès le moment où t'as le moyen d'executer du javascript à l'intérieur d'un site c'est la fin ^^

Comment ils font sur protopage.com, quand on ajoute une fenêtre de type "web page" ? Il y a un trou de sécurité accepté par les développeurs ou c'est blondé ? (Pour un exemple, regarder la démo sur laquelle on tombe immédiatement en allant à l'adresse indiquée et passer en page 2 (en bas à droite) pour un exemple de page web ajoutée).

Hum, y'a necessairement une faille, mais de toute facon, c'est pas super grave pour eux.
Enfait, les XSS en JavaScript ne font chier que l'utilisateur (a ma connaissance), tu peux simplement voler son compte avec le cookie ou des trucs comme ca, car de toute facon, le JS (ou toute page appelee) ne sera pas executee sur le serveur (a la difference des XSS genre en PHP, Java etc.)

(correction de CSS en XSS, histoire de pas confondre avec la feuille de style )

thx pour les réponses

Nil: oui on peut meme aller sur yN avec

yAro
:

JackosKing :
yAro: c'est quoi le problème de sécurité?

comme a dit nEUrOO, XSS powa ^^

dès le moment où t'as le moyen d'executer du javascript à l'intérieur d'un site c'est la fin ^^

et la possibilité de modifier les CSS, ça permet pas déjà de faire du XSS avec IE ?

bah si mais je peux contrôler le contenu des CSS entrés dans yN, dans une iframe nan

ben tu pourrais les contrôler, mais tu autorises les CSS externes donc de fait Extended peut piquer les cookies de n'importe quel utilisateur d'IE

Oui c'est faisable (je viens de tester un XSS via CSS externes..)

Le CSS: http://ha.ckers.org/xss.css

(marche que avec IE pour cet exemple mais bon)

ah ué tiens c vrai ... bon bah jcrois qu'il va falloir virer les CSS externes

Rha ça va casser mon projet pour mon blogs

ou sinon g une autre idée ^^

Godzil :
Rha ça va casser mon projet pour mon blogs

c'est quoi ton projet ? une CSS aléatoire ou qui dépend de l'heure ?

Recuperer le fichier, le parser et le stoquer tel quel ?


J'espere que c'est pas ça

Pollux
:

Godzil :
Rha ça va casser mon projet pour mon blogs

c'est quoi ton projet ? une CSS aléatoire ou qui dépend de l'heure ?

Cheu peu po le dire #chut#

Et si on parse le fichier distant un coup pour vérifier qu'il ne soit pas vérolé ?
En fait on aurait :
Dans la table des blogs des utilisateurs, on doit avoir déjà "chemin_CSS_distant", on ajoute "md5_CSS_distant"


si md5(fichier_CSS_distant) est différent de md5_css_distant //évite de refaire un check systématique, on a juste à faire un SELECT et à calculer un md5
{
check_CSS(fichier_CSS_distant)
si OK alors md5_CSS_distant = md5(fichier_CSS_distant)
sinon on refuse le CSS
}
sinon
{
on continue
}

non, c'est idiot parce qu'un fichier distant peut changer à chaque fois (et je pense que l'idée de godzil en dépend, justement), donc la vérification ne sert rigoureusement à rien... par contre on pourrait faire ça côté client :

chargerCSS() {
  css = XmlHttpDownloadFile(css_url);
  appliquerCSS(securiserCSS(css));
}

avec une CSS statique par défaut pour les gens qui n'ont pas javascript activé, mais bon c'est un peu overkill ^^

ah oui, pas mal non plus comme concept

ou bien inclure un langage de script rudimentaire dans les CSS yn :

.edito {
  background-color: <? echo $HOUR>=7 && $HOUR<18 ? 'cyan' : 'black' ?>;
}
.page {
  width: <? echo $SCREENWIDTH-200 ?>px;
}
.citationdujour {
  background: url(http://godzil.com/citationdujour<? echo random(5) ?>.gif);
}

Et pas besoin de parseur spécifique, il suffit d'écrire une regexp qui décrit un sous-ensemble suffisamment restreint de PHP pour que l'exécution soit immédiate et qu'on ait accès juste à 2-3 variables prédéfinies, et de l'évaluer ensuite en tant que script PHP...

Oui mais ça fait pas mal de boulot pour yAro ça...

ben non, au lieu de faire
echo $user_css;
il fait
echo eval($user_css);
et quand la css est modifiée :

if ($user_css !~ /regexp du sous-ensemble de PHP/)
  rejeter la CSS;

Le problème, c'est plutôt "est-ce que c'est vraiment utile (et si oui à quelles données veut-on avoir accès)", et ça pour le savoir faut demander à godzil

Ben c'est pas tellement au niveau de l'implémentation que ça fait du boulot, mais il faut déterminer ce qui est autorisé ou pas (gestion des entiers, des chaînes...), le risque pris, les temps de calculs en terme de parsing (voir la vitesse d'exécution de la regexp) etc.