Tester la sécurité de son site web

[ouarzazat]

Bonjour à tous,

je vais bientôt développer un site web pour des clients sérieux, c'est à dire des clients casses pieds, des clients quoi , et je voulais vous demander si vous connaissiez un moyen de tester la fiabilité de ce site à moindre coût. Parce qu'en fait je n'ai pas les moyens d'engager qqun pour ça!

Alors j'avais pensé aller sur le net et dire qqchose du genre, "essayez de hacker mon site et dites moi comment vous y êtes arrivés, voici l'adresse...." mais je crois que là il vaudrait peut être mieux que je sabote moi-même mon travail! Enfin j'en sais rien...

Alors voilà si vous avez des retours d'expériences à me communiquer, en gros comment assurer à son client que le site sur lequel il va diffuser des informations est secure !!!!

Merci à tous et bonne soirée!

++

Modifié 27 Juillet 2006 par ouarzazat

[Guest Albert_H]

Il y a de multiples manieres pour hacker un site.

Les passages de variables dans l url, les formulaires avec envoi d email.

Mais aussi des scripts tout fait, j ai vu des logs apaches ou des hackers essayais de trouver certains scripts ayant des failles afin de les exploitees.

au niveau de ton serveur il y a aussi pas mal de choses a installe et qui previennent ce genre d attaque.

ainsi meme un site "mal" ecrit ou plutot non securise, est quand meme protege.

fait aussi tres attention aux chmod de tes repertoires et evite les chmod en 777 qui sont non des failles mais des gouffres

[ouarzazat]

Merci pour tes précisions

[Dudu]

Salut

Technique dite "du singe": essayer de taper n'importe quoi dans un formulaire comme le ferait un animal s'il était devant le clavier.

Voir ce que ça donne.

Ensuite, redevenir un humanoïde cruel et sans pitité et essayer d'écrire autre chose dans les formulaires: si possible des trucs sympas comme de l'HTML, du JS, du SQL

Ou bien des ' ou des ".

Voir ce que ça donne.

Ensuite:

• éviter les variabes 'sensibles' dans les URLs. En gros: éviter les URLs de type www.example.com/index.php?login=toto&password=motdepasse
  
• éviter les scripts tout faits s'ils n'ont pas une bonne réputation (et encore). Je repense aux désastres causés par le passé par Formmail par exemple
  
• toujours mettre un .htaccess/.htpasswd sur une éventuelle interface d'admin. Mettre le .htpasswd hors du répertoire web
  
• "deny from all" sur les répertoires qui contiennent les fichiers de config
  
• fichiers de config avec extension .php (si tu codes en PHP), jamais de .txt
  
• etc..
  

PS: Albert_H, la touche apostrophe se situe sur le touche 4 du clavier alpha-numérique Tel quel c'est peu lisible, merci.

[Guest Albert_H]

PS: Albert_H, la touche apostrophe se situe sur le touche 4 du clavier alpha-numérique Tel quel c'est peu lisible, merci.

Slt, et merci cela fait des annee que je la cherche.....lol