Une technique de spam et de pishing entre autres
Ne laissez pas la possibilité de déposer sur sites des fichiers .html .php etc...
Je nettoyais la base de données de mon réducteur d'URL [1] à grand coup de :
DELETE FROM ... WHERE url LIKE '%loans%' .
Une grande partie des URL fournies pointe vers des fichiers, déposés sur des wikis. Qui s'ils sont interprétés en HTML, les plus inoffensifs vont vous rediriger vers une page de vente de viagra en ligne[2]. Certains plus fourbes vont imiter la page du site sur lequel vous vous trouvez, et au milieu d'un wiki informatique on retrouve une page dédiée à Apply For Advance Cash.
La parade la plus simple est d'interdire certaines extensions de fichier lors de l'upload (ou de les modifier). Normalement si votre serveur est correctement configuré et votre navigateur pas trop con. un fichier .txt ne sera pas interprété en html, donc pas de redirection, ni de javascript malveillant ou autre, juste le code. Exemple: Plop en html et le meme fichier plop en text
Allez, zou, je continue mon blacklistage de domaines sur le réducteur d'URL.
Notes
[1] Vous savez, ce truc qui enregistre l'adresse internet que vous souhaitez, et vous en fournit une plus courte qui redirigera vers la votre http://url-courtes.tinad.fr/. On est maxi trois humains à l'utiliser (pas grave, je l'avais fait surtout pour moi même). Il est utilisé surtout par des bots.
[2] Par exemple, sur le site d'une université http://gforge.avacs.org/tracker/download.php/9/115/52/304/71cis.html