Outils de recherche et référencement

Hello Turillilo,

Je connais ces techniques, elles sont hérités des failles de type injection SQL, unicode vulnerability et de cross site scripting (xss) dans le domaine de la sécurité informatique.

Le principe est d'utiliser le contenu des variables non protégées dans les urls pour arriver à insérer tout le contenu qu'on veut dans la limite du nombre de caractères acceptable dans une url. Ca marche trés bien sur les forums par exemple pour se créer des comptes admins via des phpBB regorgeant de failles de ce type (injection SQL/Xss) et avoir accès à plein de ressources .

Assez génial comme technique, d'autant plus appliqué sur les outils de recherche, on est quand même ici au frontière du hack de site ou du defacing qui lui pourrait être réprimée par la loi ..

Ce qui me laisse encore plus bouche bée, c'est que les référenceurs du coté obscur de la force soit obligé d'utiliser aujourd'hui ce type de techniques pour arriver à leur fin.
Preuve que Google a réussi une partie de son combat contre les techniques de référencement.

Comme tu le précises, je sais pas si sur le long terme, ca vaut quelque chose, d'autant plus aujourd'hui avec les aspects sémantiques de plus en plus virulents configurés dans l'algo GG, mais c'est effectivement impressionnant comme technique

Le problème est surtout la protection ou pas de l'html dans des variables.

Le plus connu étant de faire passer un <script>alert('AAAAHHHHH C FOIREUXX')</script> qui vous sort une jolie alerte windows si ca passe. C'est çà qu'on appele le cross site scripting ou faille Css (et pas le css du w3c :p).

En théorie, il faut que le serveur soit protégé par une option particulière (dont je ne me souviens plus) et ensuite contrôler les variables en vérifiant la présence de balises html via un htmlspecialchars() par exemple.

pour eviter ce genre de probleme, moi je filtre d'abord chaque variable en supprimant tous les caracteres qui ne sont aps sensés être présent. par exemple pour un login a priori je laisse seulement A-Za-z0-9-_ par exemple, filtrer ainsi toutes les var recupérées garanties un minimum les choses, ensuite si ca va dans une base je fais un addslashes(stripslashes($var)), ca marche quelque soit le serveur avec ou sans magic quotes. Avec ca, injection sql ou CSS n'ont qu'a bien se tenir

Des copains pour Turu :
http://oril1.blogspot.com/
http://neonztc2.blogspot.com/
http://jh1tigh.blogspot.com/

Plutôt bien pensé leur bordel

Edit : je me pose quand même des questions quand à la pérennité de cette technique (si ce n'est pas deja trop tard...) : Rien de plus simple pour GG que de détecter un clien comportant "<a href", non ?

Je suis d'accord avec toi Thick, mais là clairement il semblerait que le process soit industrialisé et peut-etre même que l'ouverture des blogs est bypassé par un robot (c'est le nom des blog qui me fait dire ca )...
Et si tu ragarde par exemple celui-ci : http://jh1tigh.blogspot.com/ il y a une entrée avec un lien qui a merdé : "The Baltimore {link24} officially add highly regarded pitching coach"
Bref, tout ca pour dire qu'une fois l'outil créé, ca ne doit pas leur prendre beaucoup de temps..

Excellent Seg !
Le problème c'est que je ne vois aucune de ces pages créées via un exploit sur un site tiers, crawlées par Google, et donc je ne crois pas que le liens soit effectifs.
J'en ai créé un 15zaine pour le concours V7n et pour l'instant aucune de ces pages ne montre de cache.
Je m'en suis fait une nouvelle, pour la forme, que j'ai trouvé sur un des blogs que tu as trouvé 
http://casinogambling.about.com/sitesea … mp;type=1/
Tiens, j'ai même rajouté une phrase pour contextualiser:
http://casinogambling.about.com/sitesea … mp;type=1/