Forum PHP.pl

Jak zabezpieczyć ten kod przed nieprawdziwymi danymi?

[PHP] pobierz, plaintext 
<?php
header('Access-Control-Allow-Origin: *'); 
header("Access-Control-Allow-Headers: Origin, X-Requested-With, Content-Type, Accept"); 
 
include('config.php');
 
if($_SERVER['HTTP_REFERER']='***'){   
$id = (int) $_POST['id'];   
$tip = $_POST['tip'];
$link = $_POST['link'];
$typ = $_POST['typ'];
$zdobywca = $_POST['zdobywca'];
$przeciwnik = $_POST['przeciwnik'];
$a_nicki = $_POST['nicki'];
$a_outy = $_POST['outy'];
$gdzie = $_POST['gdzie'];   
if(!empty($tip) && !empty($gdzie)){
 
mysql_query("INSERT INTO table1 (id_itemu, tip, link, typ, zdobywca, przeciwnik, a_nicki, a_outy, gdzie) VALUES ('$id', '$tip', '$link', '$typ', '$zdobywca', '$przeciwnik', '$a_nicki', '$a_outy', '$gdzie')")or die(mysql_error());
}
}
?>
[PHP] pobierz, plaintext 

A jakei to są te "nieprawdziwe" dane?

@nospor
Np. wysłane z innego servera niż podany.
Słyszałem coś aby zrobić to w obiektach i pdo... Ale... (IMG:style_emoticons/default/biggrin.gif)

Po prostu nie chce aby ktoś wysyłał nieprawdziwe dane, przykładowo jak ktoś użyje nieskończonej pętli? To wyśle się X wyników. (IMG:style_emoticons/default/biggrin.gif)

Pierwszy z brzegu wynik który powinien pomóc
http://www.wikihow.com/Prevent-Cross-Site-...-Attacks-in-PHP

@viking to co podales w zaden sposob nie zabezpieczea przed sytuacją, którą opisał autor

Jeśli serwer który te dane wysyła dołączy również poprawny token i później załóżmy

[PHP] pobierz, plaintext 
if (Costam::isValidToken($_POST['token']))
[PHP] pobierz, plaintext 

to raczej nie widzę problemu. Zwłaszcza w tej sytuacji gdzie if jest na bazie referera który to sobie można dowolny podać.

Ale atakujacy moze bez wiekszego problemu pobierac ten token i przesylac go razem ze swoim żądaniem. Dlatego też piszę, że to nie jest zabezpieczenie na ludka, ktory bedzie celowal w jego strone.

Zależy od stopnia skomplikowania. Przecież na podobnej zasadzie działają choćby systemy płatności online. W skrócie logowanie partnera, ustalenie indywidualnego kodu. md5 z jakiegoś tam kodu sesji + kod klienta = token. Bez znajomości kodu nie można wysłać poprawnego ciągu.

jesli przegladarka moze wysylac forma, to i atakujacy moze wyslac forma. A juz przy zabezpieczeniu co podales