Comment évaluer le contenu Web et la sécurité

Test de mots-clés générés par les utilisateurs ou le contenu
Plusieurs fois, nous autorisons certains utilisateurs à publier des informations et nous ne modérons ni ne révisons ce qu'ils publient, puis le titre ou le contenu devient un mot-clé. Une façon de contrôler cela est à partir d'un moteur de recherche comme Google, mettre le site : mydomain.com "mot-clé", être entre guillemets est un mot-clé exact.
Allons un exemple site : apple.com "voler des photos" comme mot-clé

Nous avons trouvé un titre, il s'agit en fait d'une application appelée Steal photos dans l'iTunes store, mais si nous recherchons cela pourrait être encore pire avec d'autres mots-clés ou si nous subissons une attaque de type xss.
Il sert également à voir si nous sommes positionnés pour un certain mot-clé.
Fichiers avec métadonnées utilisateur
Cela se produit dans les documents pdf et Microsoft Office, qui sont édités à partir d'un serveur Windows et publiés directement sur le Web.
Pour ce faire dans Google, nous écrivons site : "Documents et paramètres"
Dans les résultats, vous pourrez voir le chemin d'accès au répertoire, le nom de l'utilisateur et même le chemin physique du serveur où se trouve le document.

Accéder au fichier robots.txt
Le fichier robots.txt est utilisé pour bloquer les répertoires et les fichiers que nous ne voulons pas suivre, mais comme ce sont des fichiers texte, ils peuvent être répertoriés pour voir si une zone sensible telle qu'un panneau d'administration ou une application ne publie pas est trouvée .

L'archive robots.txt il est public puisque les moteurs de recherche le lisent lors de l'exploration d'informations. Tous les sites Web l'utilisent pour protéger le contenu et les répertoires.
injections SQL
Celles-ci surviennent notamment lors de la réception de paramètres envoyés par url de type www.mydomain.com/pagina?id=2
Ensuite, ce paramètre est lu pour exécuter une instruction SQL
SELECTIONNER le nom. clé FROM utilisateurs WHERE user_id = $ id;
La meilleure chose à faire est d'envoyer la requête via des méthodes de publication au lieu d'entrer dans les formulaires html et de crypter le code et la variable avec une méthode telle que md5 ou sha.
Par exemple:
www.mondomaine.com/comprar?idcompra=345&producto=12
Cryptage de md5 et masquage des variables
www.midominio.com/comprar?detalle_compra=e3d4b8f9637ce41a577ac68449e7f6b5
Obfuscation des scripts javascript
Souvent, les développeurs Web laissent les fichiers javascript publics et peuvent être lus par n'importe qui, si vous avez du code ou des fonctions système sensibles telles que les redirections ajax ou jquery, cela pourrait être une vulnérabilité pour le Web.
Une méthode intéressante consiste à obscurcir le code ou à le crypter de sorte qu'une fonction qui exécute une tâche importante n'est pas facile à déchiffrer.

 calcul de fonction (quantité, prix) {// Sous-total calcul sous-total = prix * quantité; documnet.getbyID ("sous-total").valeur = sous-total ; // Calcul du total documnet.getbyID ('total').Valeur = documnet.getbyID ('total').Valeur + sous-total; } 

Le même code obscurci à l'aide de l'outil en ligne http://myobfuscate.com

Attaques de validation d'entrée
De nombreux programmeurs pour gagner du temps ne valident pas les entrées de formulaire et permettent d'écrire et de sauvegarder n'importe quoi dans la base de données, par exemple au lieu d'un nom ou d'un téléphone, écrivez une instruction javascript, xss ou tout code qui peut ensuite être exécuté lorsque cet enregistrement est lu de la base de données.Avez-vous aimé et aidé ce tutoriel ?Vous pouvez récompenser l'auteur en appuyant sur ce bouton pour lui donner un point positif