Discussion :

[defacta]

Salut,

Je suis en train de dev. un site avec authentification où des iframes communiquent entre elles et j'aimerais savoir si il est possible pr un utilisateur malveillant de faire passer une variable javascript dans l'URL ?

Mon système permet l'identification dans une iframe et si l'identification s'est bien passée cette iframe lance par javascript l'info à d'autres iframes...

Merci,
Vincent.

[SpaceFrog]

Aucune identification ne devra jamais reposer uniquement sur javascript ...

[defacta]

Aucune identification ne devra jamais reposer uniquement sur javascript ...

J'ai mal expliqué la chose. L'identification se fait en PHP à l'aide de la phplib dans un iframe.
Si l'identification est OK dans cette iframe, cela charge une page contenant du javascript qui va dire à une autre iframe:

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
7
 
function JS_user_logged() {
  if(window.parent.iframe_main.JS_picbook_user_id == ".$auth->auth["uid"].") {
    window.parent.iframe_main.JS_menu_edit = 1 ;
    window.parent.iframe_main.iframe_menu_picbook.location = 'iframe_menu_picbook.php' ;
      }
}

Vous voyez, cela change une variable d'une autre iframe et change le contenu d'une iframe, un menu permettant des modifications.

Après identification on vérifier si un bouquin en ligne appartient bien à celui qui s'est identifié par un if javascript:
if(window.parent.iframe_main.JS_picbook_user_id == ".$auth->auth["uid"].")
Est-ce qu'un utilisateur malveillant peut modifier par l'URL la valeur de cette variable: JS_picbook_user_id

Merci,
Vincent.

[Bovino]

J'ai mal expliqué la chose. L'identification se fait en PHP à l'aide de la phplib dans un iframe.

Ben si, la preuve :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

if(window.parent.iframe_main.JS_picbook_user_id == ".$auth->auth["uid"].")

Ici, ton script PHP va écrire dans ta page HTML la valeur recherchée. Il suffit donc de lire ton code pour savoir comment s'authentifier.