[php/sql] Zabezpieczenia skryptu, ptasia grypa nadciaga :P Opcje

[right6]

Mam pytanie do szanownego grona forumowiczów.

W miare jak mi sie skrypt rozrasta (juz 18 tys. lini na liczniku (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif) ), czas pomyslec powaznie o zabezpieczeniach.
zeby uniknac sytuacji ze ktos wpisze ' i skrypt padnie, bo SQL sie sypnie, albo ze ktos wpakuje ifrem'a szer. 1000 px i mi rozwali strone przy wyswietlaniu, nie mowiac o ciagu 500 znaków bez spacji czy innych poczynaniach.

No i mam pare pytan. Na razie chce wykonac zabezpieczenia tylko zapisu do MySQL'a, i odczytu z niego.

czyli, to co mi przyszlo do glowy co trzeba zabezpieczyc:
- tagi HTML'a
- znaki specjalne jak np '
- zeby sie nie wykonal wpisany kod php, czy JS
- pozamieniac jakies krzaczki pochodzace np. w Word'a

no i cuz jeszcze (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif) no wlasnie pominolem cos (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif)

zaczolem tez dzialac: oto co nazbieralem.

[PHP] pobierz, plaintext 
<?php
 
$text = strip_tags( $text, '<b><i><u><br><span><font><p><a><h1><h2><h3><ul><li>' );
 
 
 
 
?>
[PHP] pobierz, plaintext 

teraz sie zastanawiam czy takie cos

[PHP] pobierz, plaintext 
<?php
 
     // znaki specjalne
$text = str_replace('&amp;plusmn;', '&plusmn;', $text);
$text = str_replace('&amp;trade;', '&trade;', $text);
$text = str_replace('&amp;bull;', '&bull;', $text);
$text = str_replace('&amp;deg;', '&deg;', $text);
$text = str_replace('&amp;copy;', '&copy;', $text);
$text = str_replace('&amp;reg;', '&reg;', $text);
$text = str_replace('&amp;hellip;', '&hellip;', $text);
 
// błędne kodowanie m.in. z phpmyadmina
$text = str_replace('&amp;#261;', 'ą', $text);
$text = str_replace('&amp;#263;', 'ć', $text);
$text = str_replace('&amp;#281;', 'ę', $text);
$text = str_replace('&amp;#322;', 'ł', $text);
$text = str_replace('&amp;#347;', 'ś', $text);
$text = str_replace('&amp;#378;', 'ź', $text);
$text = str_replace('&amp;#380;', 'ż', $text);
 
// znaki specjalne z m$ word
$text = str_replace('&amp;#177;', 'ą', $text);
$text = str_replace('&amp;#8217;', ''', $text);
$text = str_replace('&amp;#8222;', '"', $text);
$text = str_replace('&amp;#8221;', '"', $text);
$text = str_replace('&amp;#8220;', '"', $text);
$text = str_replace('&amp;#8211;', '-', $text);
$text = str_replace('&amp;#8230;', '&hellip;', $text);
         
 
?>
[PHP] pobierz, plaintext 

wykonac przed zapisem do bazy czy juz przy wyswietlaniu (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif) (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif) ?

a takie cos ? przed zapisem czy po (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif) czy nie mozna tego prosciej zrobic (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif)

Kod

   /*Zabezpieczenie przed zadługimi wpisami*
   $nowatresc = explode( " ", $text );
   //liczymy elementy tablicy
   $total = sizeof( $nowatresc );
   //przy pomocy pętli pobieramy każdy element tablicy i mierzymy
   for( $i=0; $total > $i; $i++ )
   {
       //jeśli długość któregoś z elementów tablicy przekracza 30 znaków
       //zmienna weryfikacja jest pusta
       if( strlen( $nowatresc[$i] ) > "30" )
       {
           $weryfikacja="";
       }
   }
   //jeśli weryfikacja jest pusta informujemy że wystąpił błąd
   if ( $weryfikacja!="ok" )
   {
       echo"Za długi wyraz, chińczyków nie obsługujemy";
   }
   else
   {
       echo"Wszystko w porządku";
       //tu wykonują się dalsze czynności skryptu
       //jeśli wszystko jest w porządku
   }

i jeszce anty JS

[PHP] pobierz, plaintext 
<?php
 
 
// anti js
Function js($text)
{
  if(!eregi('<a href=\"javascript:mailto:mail\('',$text[0]))
  {
    return str_replace('javascript','java_script',$text[0]);
  }
    else
  {
    return $text[0];
  }
}
 
?>
[PHP] pobierz, plaintext 

i jak sie zabezpieczyc przed wykonaniem zapytania SQL i kodu php ?

o czyms zapomnialem (IMG:http://forum.php.pl/style_emoticons/default/questionmark.gif) ?

Ten post edytował right6 15.04.2006, 11:53:40

[phobos]

poczytaj sobie moze o takich 2 funckjach , ktore napewno ci sie przydarza i ukatwia zycie
addslashes oraz htmlspecialchars

Ten post edytował phobos 14.04.2006, 15:27:48

[kszychu]

Poza tym, str_replace może przyjmować tablice jako argumenty.

[right6]

ale na moje kluczowe pytania dalej nie mam odpowiedzi.

[phobos]

proponuje ci cos takiego
ten tekst co dostajesz z formularza pakujesz jako argument do 2 funckji

[PHP] pobierz, plaintext 
<?php
$tekst=addslashes(htmlspecialchars($_POST['tekst']));
?>
[PHP] pobierz, plaintext 

i wpisujesz do bazy danych
a jak chcesz go wyswietlic na stronce to dajeszt takie cos

[PHP] pobierz, plaintext 
<?php
 
$tekst=dropslashes($result['tekst'])
?>
[PHP] pobierz, plaintext 

[AxZx]

dziwne, napisales juz 18 tys linii kodu i dopiero teraz zastanawiasz sie nad zabezpieczeniem serwisu?
chyba ze te 18tys linii kodu to ogolnie w twoim zyciu i chcesz sie nauczyc zabezpieczac przyszle skrypty.

wg mnie w bazie trzymaj juz przetworzone dane.

[right6]

phobos - ale to nie zabezpiecza przed wszytskim.

AxZx - do tej pory myslalem ze mam zabezpieczenia wystarczajace (IMG:http://forum.php.pl/style_emoticons/default/tongue.gif) , ale jak wpisalem znak ' i mi wysypalo wszytsko (IMG:http://forum.php.pl/style_emoticons/default/biggrin.gif) zaczolem temat drazyc i sie okazalo ze dziura na dziurze dziure dziura pogania (IMG:http://forum.php.pl/style_emoticons/default/ohmy.gif)

[phobos]

to napisz czego nie zabezpiecza ...

[right6]

nieusuwa blednego kodowania, nie usuwa js.

[NuLL]

http://forum.php.pl/index.php?showtopic=23258

Moze warto to poczytac ?

I zmien temat na poprawny bo zamkne.

[piwib]

Korzystając z tematu mam zapytanie... Potrzebuje łatwy system logowania i przykładowo mam formularz który nadaje wartość zmiennej login i password no i

[PHP] pobierz, plaintext 
<?php
 
if ($login == "musztarda" && $password == "majonez")
{
echo "zalogowany"';
}
 
else
echo "Podales/as bledny login lub haslo";
 
?>
[PHP] pobierz, plaintext 

no i pytanie moje czy to jest bezpieczne? Czy można jakoś podglądnąć co zawiera instrukcja warunkowa?Bo jeśli tak to pomysł jest kitowy :/

[envp]

Sposob prosty, ale malo uzyteczny, bo mozesz zabezpieczyc nim tylko jedna podstrone (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) No chyba ze login i pass bedziesz GET'em przesylal, co jest troche glupie bo kazdy moze sobie podejrzec wtedy login i pass. Poczytaj o sesjach w php - bardzo proste i uzyteczne, jesli Cie to interesuje podaj maila to Ci wysle prosty i zuyteczny kod...

[piwib]

No ok rzuć mi na piotrek369@tlen.pl zobacze i przeanalizuje (IMG:http://forum.php.pl/style_emoticons/default/smile.gif) z góry thx

[matrach]

mysql_escape_string() -zamiana znaków specjalnych mysql

Żeby sie nie wykonal wpisany kod php

- Nie evaluj tylko print/echo
htmlspecialchars()- zamienia określone znaczniki na encje (&..(IMG:http://forum.php.pl/style_emoticons/default/winksmiley.jpg)
htmlentities() - zamienia znaczniki na odpowiadające encje
strip_tags()- usuwa znaczniki html i php