Bezpieczeństwo mojej strony Opcje

[benusso]

Witam

Chciałbym się poradzić doświadczonych użytkowników czy zabezpieczenia które stosuje są wystarczające do powstrzymania ataków sql injection, i ogólnie co o nich myślicie ?

1) Rzutowanie wszystkich zmiennych liczbowych GET na int

[PHP] pobierz, plaintext 
$profilid=intval($_GET['profil']);
[PHP] pobierz, plaintext 

2) Cudzysłowa

[PHP] pobierz, plaintext 
                foreach ($_POST AS $klucz => $wartosc)
                {
                $wartosc= trim($wartosc);//usuwamy białe znaki
                        if(get_magic_quotes_gpc()){
                        $wartosc= stripslashes($wartosc);
                        $wartosc=htmlspecialchars($wartosc, ENT_QUOTES);
                        }
                $_POST[$klucz]=$wartosc;
                }
[PHP] pobierz, plaintext 

3) Zapytanie do bazy wygląda tak

[PHP] pobierz, plaintext 
$zapytanie=sprintf("INSERT into users (login,haslo) values ('$login','$haslo')",mysql_real_escape_string($login),mysql_real_escape_string($haslo));
[PHP] pobierz, plaintext 

4) Dodatkowo z pól typu chciałbym usunąć niebezpieczne znaczniki

[PHP] pobierz, plaintext 
function strip_only($str, $tags) {
    if(!is_array($tags)) {
        $tags = (strpos($str, '>') !== false ? explode('>', str_replace('<', '', $tags)) : array($tags));
        if(end($tags) == '') array_pop($tags);
    }
    foreach($tags as $tag) $str = preg_replace('#</?'.$tag.'[^>]*>#is', '', $str);
    return $str;
}
 
$artykul=strip_only($artykul, '<script>');
[PHP] pobierz, plaintext 

Co o tym myślicie ?

Pzdr.

Ten post edytował benusso 18.04.2010, 14:08:10

[blooregard]

Tu masz wszystko na ten temat:
Temat: SQL Injection Insertion

[benusso]

Na tym się wzorowałem, i nie tylko. I wyszło mi właśnie to co pokazuje.

Czy rzutowanie każdej liczby z GET na intval

a do tego taka funckja

[PHP] pobierz, plaintext 
function safe($value){
	 $value=trim($value);
	 $value=strip_tags($value,'<strong>'); 
	 $value=htmlspecialchars($value, ENT_QUOTES);
     $value=mysql_real_escape_string($value);
	 return $value;
} 
[PHP] pobierz, plaintext 

użyta na każdej zmiennej GET lub POST

[PHP] pobierz, plaintext 
$imie=safe($_POST['imie']);
[PHP] pobierz, plaintext 

jest skutecznym zabezpieczeniem przed SQL Injection i XSS ?
Proszę o pomoc, cały dzień nad tym siedzę dziś (IMG:style_emoticons/default/sad.gif)

Pzdr.

Ten post edytował benusso 18.04.2010, 19:58:27