Méfiez-vous des paramètres d'URL transmis par

(2 votes, moyenne: 5,00 sur 5)

Chargement en cours ...

Toutes les bonnes personnes?

Aujourd'hui, je dis une chose très simple mais il fait beaucoup de différence sur une (web): les paramètres passés par l'URL.

J'ai récemment reçu l'accès à sept jours complets pour un site d'enseignement en anglais (je ne parlerai pas ce que le site). Avec un accès complet, les utilisateurs peuvent télécharger les podcasts, les leçons qui sont des fichiers MP3 ... où les situations quotidiennes sont présentées (en anglais), mais tous très bien expliqué par l'enseignant.
Mais les téléchargements ont une limite: 14 téléchargements par mois.

Je fais un téléchargement, et à ma grande surprise, ma base de données d'identification est passée via l'URL GET. Puis j'ai pensé: je vais tester la sécurité du site!

Devinez ce qui s'est passé?

Oui! Si vous avez répondu que la validation pour voir s'ils ont téléchargé 14 fichiers se fait par ce paramètre, vous cloué!

Alors n'oubliez pas: ne jamais passer des paramètres clés pour l'URL.

REMARQUE: Changer mon ID dans une URL, je pourrais télécharger tous les fichiers de site Web (mp3, pdf ...). classe Pour la pensée, habituellement le premier utilisateur de la base est le propriétaire ou l'utilisateur de l'administrateur du site.

J'espère avoir aidé!