Bezpieczeństwo linków Opcje

[Lethys]

Witam, w swoim skrypcie posiadam linki typu:

pokaz.php?gracz=lethys

Po wejściu w taki link będzie pokazywać dane o graczu Lethys.

Chciałbym zabezpieczyć jakoś te linki żeby nie dało się hackować przez wpisywanie czego się chce zamiast nicku gracza.

Kod wyglada mniej więcej tak:

[PHP] pobierz, plaintext 
 
$pokaz = mysql_fetch_array(mysql_query("select * from players where user='$pokaz'"));
 
// moja próba zabezpieczenia na podawanie za dużo znaków zamiast nicku gracza
 
if (strlen($pokaz) > 10) {
	print "Podany nick jest za długi!";
	exit;
}
 
print "$pokaz[user]<br>życie gracza: $pokaz[hp]";
 
 
[PHP] pobierz, plaintext 

Dobrze jest zrobione to moje zabezpieczenie? Chciałbym zrobić warunek że nick gracza może się składać tylko z liter, bez znaków specjalnych ale nie wiem jak to zrobić.

[flashdev]

Po pierwse, to nie powinno sie przekazywać do strlen tablicy, a po wtóre skrypt nie jest zabezpieczony przed sql injection.

[gargamel]

W tym przypadku zabezpieczenie przed sql injection: Wyrażenia regularne lub mysql_real_escape_string ale 100% nie daje.

Możesz też skorzystać z hashowania.

[Lethys]

Zrobię tak żeby nie można było używać niedozwolonych znaków w linkach + rewrite i przyjazne linki.

Problem mam z niedozwolonymi znakami

[PHP] pobierz, plaintext 
 
 $pokaz = mysql_fetch_array(mysql_query("select * from players where user='$pokaz'"));
 
//to jest źle ale nie mam pojęcia jak zrobić
 
if(!ereg('^[-A-Za-z0-9_]', $pokaz)){
print "Użyto niedozwolonych znaków w linku!";
exit;
}else{	
 
 
 print "<h2>$pokaz[user] (ID $pokaz[id])</h2>";
  print "<br><br><img border=\"0\" src=\"$pokaz[avatar]\" width=\"80\" height=\"80\">";
 
}
[PHP] pobierz, plaintext 

Chcę zrobić aby w linku można było używać tylko alfabetu i cyfr. Jak to przerobić żeby działało ?

[flashdev]

//to jest źle ale nie mam pojęcia jak zrobić

[PHP] pobierz, plaintext 
var_dump($pokaz);
[PHP] pobierz, plaintext 

[gargamel]

Ja jakbym chciał mieć 100% pewności zrobiłbym:

[SQL] pobierz, plaintext 
"SELECT * FROM players WHERE md5(user)='".md5($pokaz)."'"
[SQL] pobierz, plaintext 

Podłączę się tu trochę do tematu i zapytam innych o zdanie dot. tego sposobu obrony przed SQL injection.

Edit:
Troche od d... strony to robisz (IMG:style_emoticons/default/winksmiley.jpg)

Najpierw robisz zapytanie sql a dopiero potem jakieś instrukcje warunkowe.
Jeśli ktoś Ci pohakierzy poprzez wpisanie czegoś niedobrego do linka to to coś namiesza w tabeli najpierw, a później w zależności czy $pokaz spełnia zadane kryteria bedziesz miał

print "Użyto niedozwolonych znaków w linku!";
lub <h2>$pokaz[user] (ID $pokaz[id])</h2> ......


Ten post edytował gargamel 27.11.2010, 18:00:37

[Lethys]

Jak zrobię :

[PHP] pobierz, plaintext 
<?php
 
include("config.php");
$pokaz = mysql_fetch_array(mysql_query("select * from players where user='$pokaz'"));
 
var_dump($pokaz);
?>
[PHP] pobierz, plaintext 

co wyskakuje:

bool(false)

Nie wiem co to ma udowodnic.

Ja chce zrobic tylko tak jak pisalem

[PHP] pobierz, plaintext 
 $pokaz = mysql_fetch_array(mysql_query("select * from players where user='$pokaz'"));
 
//to jest źle ale nie mam pojęcia jak zrobić
 
if(!ereg('^[-A-Za-z0-9_]', $pokaz)){
print "Użyto niedozwolonych znaków w linku!";
exit;
}else{	
 
 
 print "<h2>$pokaz[user] (ID $pokaz[id])</h2>";
  print "<br><br><img border=\"0\" src=\"$pokaz[avatar]\" width=\"80\" height=\"80\">";
 
}
[PHP] pobierz, plaintext 

Link wyglada mniej wiecej tak: pokaz.php?pokaz=lethys

chce zeby mi odrzucalo pokaz.php?pokaz=&%^&%.- tego typu linki.


Moze ktos mi pomoc z moim kodem ?

[flashdev]

Nie wiem co to ma udowodnic.

Return Values

Returns an array of strings that corresponds to the fetched row, or FALSE if there are no more rows. The type of returned array depends on how result_type is defined. By using MYSQL_BOTH (default), you'll get an array with both associative and number indices. Using MYSQL_ASSOC, you only get associative indices (as mysql_fetch_assoc() works), using MYSQL_NUM, you only get number indices (as mysql_fetch_row() works).

http://pl2.php.net/mysql_fetch_array

[Lethys]

Nic mi to nie mówi, nie mam aż takiej wiedzy o php.


Proszę aby jedynie mi ktoś pomógł z tym małym kodem:

[PHP] pobierz, plaintext 
 $pokaz = mysql_fetch_array(mysql_query("select * from players where user='$pokaz'"));
 
//Chcę żeby dostępne były tylko litery alfabetu i cyfry
 
if(!ereg('^[-A-Za-z0-9_]', $pokaz)){
print "Użyto niedozwolonych znaków w linku!";
exit;
}else{	
 
 
 print "<h2>$pokaz[user] (ID $pokaz[id])</h2>";
  print "<br><br><img border=\"0\" src=\"$pokaz[avatar]\" width=\"80\" height=\"80\">";
 
}
[PHP] pobierz, plaintext 

Link wyglada mniej wiecej tak: pokaz.php?pokaz=lethys

chce zeby mi odrzucalo pokaz.php?pokaz=&%^&%.- tego typu linki.


Dawanie mi linków do wyjaśnień czy też przykładów które nie wiele mają wspólnego z moim problem nic mi nie da bo nie jestem dobry w php.

Zależy mi żeby działał tylko ten prosty kod.

[Wicepsik]

Tu nie trzeba mieć dużej wiedzy o php tylko trzeba logicznie myśleć.

Filtracja nicku -> zapytanie do baszy -> odpowiedni komunikat

[Lethys]

No tyle to ja wiem ;D

tylko nie wiem jak przefiltrować ten nick

Rozumiem ze tak jest zle :

[PHP] pobierz, plaintext 
if(!ereg('^[-A-Za-z0-9_]', $pokaz)){
 
// moze tak ?
 
if(!ereg('^[-A-Za-z0-9_]', {$pokaz[user]})){
 
[PHP] pobierz, plaintext 

Jak bede wiedzial jak przefiltrowac ten nick to reszta jak z platka (IMG:style_emoticons/default/biggrin.gif)

[gargamel]

Prosz..

zamiast ereg stosuj preg_match, czyli:

[PHP] pobierz, plaintext 
preg_match('/^[a-zA-z0-9]{1,10}$/D',$pokaz)
[PHP] pobierz, plaintext 

Ale skryptu który przedstawiłeś w żaden sposób to nie zabezpieczy, ogólnie powiedziawszy nie jest on dobry.

Ten post edytował gargamel 27.11.2010, 20:04:12

[Lethys]

No niby to jest dobra komenda na sprawdzanie niedozwolonych znakow ale nie działa z moim $pokaz, jak mogę sprawdzić czy to co użytkownik sobie wpisze w linku będzie posiadało niedozwolone znaki czy nie?

Jak robie w ten sposób:

[PHP] pobierz, plaintext 
$pokaz = mysql_fetch_array(mysql_query("select * from players where user='$pokaz'"));
 
 
if(!preg_match('/^[a-zA-z0-9]{1,10}$/D',$pokaz)){
[PHP] pobierz, plaintext 

to preg match nie działa z moim $pokaz, a chce zeby uzytkownik nie mogl wpisac pokaz.php?pokaz=^%$.=_ takiego czegos w linku.

[Mephistofeles]

PDO i prepared statements, nic nie trzeba filtrować.

[Lethys]

Ok, zrobiłem to w taki sposób i chyba teoretycznie działa

[PHP] pobierz, plaintext 
if(preg_match('/^[a-zA-z0-9]{1,10}$/D', $pokaz['user']))
{
echo '<p>'.$pokaz['user'].'</p>';
}
else
{
echo '<p>Nieprawidłowe dane!!</p>';
}
[PHP] pobierz, plaintext 

Ten post edytował Lethys 28.11.2010, 17:02:11

[fr33d0m]

Ja bym zrobił to w taki sposób

[PHP] pobierz, plaintext 
function filter($zmienna){	
	$zmienna = strip_tags(trim($zmienna));
	$zmienna = mysql_real_escape_string($zmienna);	  
	  if(get_magic_quotes_gpc()){
		$zmienna = stripslashes($zmienna);
		}
	return $zmienna; 
  }
 
$GetGracz = filter(substr($_GET['gracz'],0,10));
 
$sprawdz = mysql_fetch_array(mysql_query("select COUNT(*) from `players` where `user`='$GetGracz'"));
 
if ($sprawdz[0] == 0){
	echo 'Taki player nie istnieje...';
    }
	else 
	{
	$pokaz = mysql_fetch_array(mysql_query("select * from players where user='$GetGracz'"));
	echo '<br>'.$pokaz['user'].'<br>życie gracza: '.$pokaz['hp'].'<br>';
	}
[PHP] pobierz, plaintext 

Nie testowane, ale powinno śmigać (IMG:style_emoticons/default/wstydnis.gif)

Ten post edytował fr33d0m 28.11.2010, 18:40:58

[ADeM]

A po co tu dwa zapytania do bazy?

[fr33d0m]

Cóż, pisałem kod z głowy i dla pewności działania napisałem dwa zapytania.
Zresztą mój poziom wiedzy jest ograniczony, ponieważ dopiero poznaje PHP więc wybacz...

Ten post edytował fr33d0m 28.11.2010, 18:57:44

[Wicepsik]

[PHP] pobierz, plaintext 
if(!preg_match('/^[a-zA-z0-9]{1,10}$/D', $_GET['gracz'])){
 echo 'Nieprawidlowa nazwa uzytkownika';
}else{
  $s = mysql_fetch_array(mysql_query('SELECT * FROM player WHERE user = "'.$_GET['gracz'].'"'));
    if($s){
      echo $s['user'];
    }else{
     echo 'Nie ma takiego uzytkownika';
    }
}
[PHP] pobierz, plaintext 

[Lethys]

Rozumiem że taki kod :

[PHP] pobierz, plaintext 
<?php
 
include("config.php");
$pokaz = mysql_fetch_array(mysql_query("select * from players where user='$pokaz'"));
 
 
 
if(!preg_match('/^[a-zA-z0-9]{1,10}$/D', $pokaz['user'])){
 echo 'Nieprawidlowa nazwa uzytkownika';
}else{
  $s = mysql_fetch_array(mysql_query('SELECT * FROM players WHERE user = "'.$pokaz['user'].'"'));
    if($s){
      echo $s['user'];
    }else{
     echo 'Nie ma takiego uzytkownika';
    }
}
?>
 
[PHP] pobierz, plaintext 

Jest właściwy i będzie w jakiś tam sposób chronił przed sql injection? Jeżeli chodzi o praktyke to działa.