code javascript dans la barre d'adresse

Bonjour � tous,

je voudrais faire une script en javascript v�rifiant que lorsque l'utilisateur a rentr� "javascript:alert(document.forms[0].to.value="[email protected]");"
dans l'url, il puisse apr�s cliqu� sur le bouton envoy� et qu'on lui affiche le message...

Est-ce-que quelqu'un pourrait m'aider, je suis perdu...

Merci d'avance

je ne vois vraiment pas pourquoi quelqu'un irait entrer

Code:

---

"javascript:alert(document.forms[0].to.value="[email protected]");"

---

dans la barre d'adresse ...

Peux tu expliquer un peu plus l'ergonomie ? l' resultat souhait� ?

en faites si l'utilisateur rentre cela dans l'url "javascript:alert(document.forms[0].to.value="[email protected]");"

c'est pour qu'il puisse appuyer sur le bouton envoyer par rapport � ce code html....
code:

Code:

---

1 2 3 4 5 6 7

<form action="niveau6.php" method="post"> <input type="hidden" name="to" value="[email protected]"> <input type="submit" name="envoyer" value="Envoyer mot de passe &agrave; Bob"> </form></center><br /><br /><center><b>Password:</b><br /> <form action="niveau6.php" method="post"> <input type="password" name="password"><br /><br /> <input type="submit" value="submit"></form>

---

pourquoi ? parce que j'effectue un site web, montrant aux utilisateurs les types de failles....

et quel message afficher ???

utilise le onsubmit du form non ?

en quoi est ce une faille ?

Citation:

---

Envoy� par le_chomeur

en quoi est ce une faille ?

---

Je pense que tu sais en quoi consiste cette faille.
Je rentrerai pas sur le sujet. Le site est un outil p�dagogique aujourd'hui utilis� pour la pr�ventive et simulation d'une attaque.

une attaque en javascript ^^
� condition que ton navigateur soit une passoire
je ne vois pas la faille l� dedans

La faille est r�elle mais pas dangereuse.

Sur Hotmail par exemple car c'est l'exemple qui a fait le buz:
Lorsqu' Hotmail est devenu WindowsLive, il n'�tait plus possible de cr�er des emails de type [email protected].
Il n'�tait plus possible d'en cr�er car ils n'�taient plus propos�s dans le formulaire mais il suffisait d'ajouter ce choix � l'aide d'une ligne JS dans la barre d'adresse pour en cr�er.

Imaginons que sur Facebook au lieu de mettre "En couple" ou "C�libataire" vous vouliez mettre "plan � 3" et bien ce serait possible si Mark n'avait pas pr�vu le coup.


Pour contrer la faille, il suffit de v�rifier que les valeurs du champs sont conformes avant de les traiter et pour un �mail, ca devrait d�j� �tre fait., de toutes facon, ca doit etre fait !!!
Non pas en JS mais dans un langage serveur... sinon, tu vas ouvrir une autre faille... :s

Citation:

---

Envoy� par KstorTroy

La faille est r�elle mais pas dangereuse.

Sur Hotmail par exemple car c'est l'exemple qui a fait le buz:
Lorsqu' Hotmail est devenu WindowsLive, il n'�tait plus possible de cr�er des emails de type [email protected].
Il n'�tait plus possible d'en cr�er car ils n'�taient plus propos�s dans le formulaire mais il suffisait d'ajouter ce choix � l'aide d'une ligne JS dans la barre d'adresse pour en cr�er.

Imaginons que sur Facebook au lieu de mettre "En couple" ou "C�libataire" vous vouliez mettre "plan � 3" et bien ce serait possible si Mark n'avait pas pr�vu le coup.


Pour contrer la faille, il suffit de v�rifier que les valeurs du champs sont conformes avant de les traiter et pour un �mail, ca devrait d�j� �tre fait., de toutes facon, ca doit etre fait !!!
Non pas en JS mais dans un langage serveur... sinon, tu vas ouvrir une autre faille... :s

---

Dans le cote d'hotmail, la faille �tait cot� serveur, (si on peut consid�rer �a comme une faille) car cot� serveur pour un select donn�e, il ne doit jamais faire

Code:

---

$email_extention = $_POST['email'];

---

mais bien,

Code:

---

1 2	if( "@live.com" == $_POST['email']) $email_extention = "@live.com";

---

mais effectivement les injections par l'url est un sujet p�dagogique int�ressant. et contrairement aux autres r�ponses ci-dessus, je ne dirai pas que les failles sont inexistantes pour un bon navigateur, je me veux prendre un exemple simple : facebook le 2�me site le plus visit� au monde, il y a encore un an via des applications utilisateurs et du pseudo code facebook, il �tait encore possible de passer ce genre de code dans un lien ou autres bricoles.

pour r�pondre � ta question, un �v�nement "onchange" sur l'input ne servira � rien puisqu'il n'est d�clench� qu'avec une action utilisateur dans la page et non pas si le changement est issu d'un code javascript. je te conseillerai dont la technique rustre du setInterval et de v�rifier tous les x temps si la valeur de ton input n'a pas chang�.