[HTML][MySQL][PHP]Zabezpieczenie strony w PHP z bazą MySQL bez formularzy itp. Opcje

[GrumpyDogue]

Witam. Od pewnego czasu nurtuje mnie pewna kwestia. Jak mogę zabezpieczyć swoją stronę? Szukałem wszędzie informacji na ten temat, niestety wszędzie gdzie napisane jest coś o bezpieczeństwie, przykłady dotyczą strony z panelami administracyjnymi, formularzami kontaktowymi itd. Otóż moja strona jest dosyć specyficzna - to zwykła strona informacyjna, która nie zawiera żadnych formularzy itp. Użytkownik praktycznie nigdzie nie podaje wartości żadnej zmiennej. Czytałem sporo poradników na temat bezpieczeństwa i wydaje mi się, że wszystko jest dobrze, jednak bardzo przyda mi się także opinia ekspertów w tej sprawie, gdyż zawsze mogło mi coś umknąć. Byłbym wdzięczny za sprawdzenie czy wszystko jest w porządku w tych linijkach kodu:

[PHP] pobierz, plaintext 
<?php
ob_start();
foreach($_GET as $k=>$v)
    $_GET[$k] = (preg_match("/[0-9a-z_]+/",$v) ? stripslashes(htmlspecialchars(strip_tags($v))): '');
 
error_reporting(0);
$dzial = $_GET['dzial'];
$strona = $_GET['strona'];
 
$connection = mysql_connect('localhost', 'root', '')
or die('Brak polaczenia z serwerem MySQL.');
$db = mysql_select_db('baza', $connection)
or die('Brak polaczenia z baza danych.');
 
mysql_query("SET NAMES utf8");
?>
[PHP] pobierz, plaintext 

Pliki includuję w ten sposób:

[PHP] pobierz, plaintext 
<?php include ("folder/plik.php"); ?>
[PHP] pobierz, plaintext 

W ten sposób wczytuję treść do "głównego" diva (na początku kiedy nie ma żadnych zmiennych w pasku adresu, wczytują się newsy):

[PHP] pobierz, plaintext 
<?php
if(!empty($dzial))
{
    if(is_file($dzial."/".$strona.".html"))
    {
        include ("include/naglowki.php");
        include($dzial."/".$strona.".html");
    }
    else echo "<p>Nie odnaleziono wybranej strony.</p>";
}
else include ("newsy/news.html");
?>
[PHP] pobierz, plaintext 

W pliku naglowki.php są zmienne, które wyglądają w ten sposób:

[PHP] pobierz, plaintext 
<?php
    $naglowek1 = "<div style=\"width: 100%; background-image: url(tlo-ramki.jpg);\"><img src=\"tytul.jpg\" alt=\"img\" style=\"width: X%; height: Xpx;\">";
?>
[PHP] pobierz, plaintext 

Nagłówek jest wyświetlany w PLIKU HTML (czy to jest błąd, że plik jest w html i posiada kod php? I tak jest includowany do index.php, więc ma to jakieś znaczenie?) na samym początku w ten sposób:

[PHP] pobierz, plaintext 
<?php echo $naglowek1; ?>
[PHP] pobierz, plaintext 

Tak wygląda odnośnik w menu*:

[HTML] pobierz, plaintext 
<a href="index.php?dzial=gry/gra1&amp;strona=info">Gra 1</a>
[HTML] pobierz, plaintext 

Tak wygląda moje zapytanie do bazy MySQL wyciągające newsy:

[PHP] pobierz, plaintext 
<?php
    $result = mysql_query("SELECT * FROM newsy LIMIT 3");
 
    if(mysql_num_rows($result) > 0)
    {
        while($r = mysql_fetch_assoc($result))
        {
            echo "<div class='news'>";
            echo "<div class='tytul'>";
            echo "".$r['data'].": <i style=\"color: gold;\">".$r['tytul']."</i>";
            echo "<div class='autor'>Dodał: ".$r['autor']."</div>";
            echo "</div>";
            echo $r['zawartosc'];
            echo "</div>";
        }
    }
?>
[PHP] pobierz, plaintext 

Zapytanie wyciągające z bazy np. linki do najnowszych filmów z kanału YT:

[PHP] pobierz, plaintext 
<?php
    $result = mysql_query("SELECT * FROM filmy ORDER BY ID DESC LIMIT 5")
    or die('Błąd zapytania');
 
    if(mysql_num_rows($result) > 0)
    {
        while($r = mysql_fetch_assoc($result))
        {
            echo "<li><a style=\"margin-top: 5px;\" class=\"menu\" target=\"_blank\" href=\"".$r['link']."\">".$r['tytul']."</a></li>";
        }
    }
?>
[PHP] pobierz, plaintext 

Tak wygląda zawartość kolumny 'zawartosc' w tabeli z newsami w bazie MySQL (czy kod HTML nie jest zagrożeniem kiedy jest pobierany z bazy?):

[HTML] pobierz, plaintext 
<img alt="img" src="sciezka/do/obrazka" style="width: x%; height: Xpx;">
<p>Tresc newsa</p>
[HTML] pobierz, plaintext 

To jest na końcu pliku index.php

[PHP] pobierz, plaintext 
<?php
    mysql_close($connection);
    ob_end_flush();
?>
[PHP] pobierz, plaintext 

* - odnośnik w menu - zastanawia mnie właśnie czy bezpiecznie jest kiedy w zmiennej znajdują się ukośniki: / (zmienna dział przyjmuje wartość z ukośnikiem: dzial=gry/gra1).

Czy zauważyliście w tym kodzie jakieś luki, które mogłyby umożliwić komuś atak? Będę wdzięczny za przeanalizowanie tych fragmentów kodu. Mam obsesję na tym punkcie, tj. chcę mieć pewność, że strona jest bezpieczna. Pozdrawiam!

[GrumpyDogue]

Spoko, w wolnym czasie rzucę okiem na tę bibliotekę PDO. Jak czegoś nie zrozumiem to będę pytał. (IMG:style_emoticons/default/wink.gif)

Przygotowałem skrypt z tym switchem. Jak strona teraz powinna się zachowywać gdy zmienię wartość zmiennej 'strona' w pasku adresu na jakąś inną niż jest w switchu? To dobrze jeśli w środkowym divie nie wyświetla się nic? Jest tylko błąd że ta ścieżka nigdzie nie prowadzi. Zauważyłem że jeśli jestem w dziale który w switchu jest ustawiony przy default, zawartość tego diva do którego includuję pliki nie zmienia się. Tj. na default ustawiłem dział z newsami i jeśli zmiennej 'strona' przypiszę jakąś inną wartość niż podałem w tym switchu, strona nie zmienia się. Natomiast jeśli w dziale z którąś grą przypiszę inną wartość zmiennej 'strona' niż jest w switchu, pojawia się błąd o tym, że nie znaleziono takiego pliku. To dobrze, czy coś zrobiłem źle?

EDIT:
Chyba już rozgryzłem. Ustaliłem takie nazwy plików, żeby w każdym dziale była strona o takiej samej nazwie (info) i jest ona ustawiona w default. Teraz kiedy zmieniam wartość zmiennej 'strona' w pasku adresu, zawsze przekierowuje na stronę info. Kiedy zaś zmienię wartość zmiennej 'dzial' przekierowuje na dział z newsami, który jest ustawiony w default. Tak to powinno działać?

EDIT 2:
Już całkowicie chyba to zrozumiałem. Mój tok rozumowania jest taki: w case podaję WSZYSTKIE wartości jakie może przyjąć zmienna 'dzial' lub 'strona'. W default podaję wartości zmiennych jakie mają zostać przypisane jeśli wartość zmiennej nie pokryje się z żadnym z caseów. Z czego zauważyłem ma to jednak w moim przypadku jedną wadę - zmienna 'strona' może przyjąć taką samą wartość w kilku działach, jednak podstrony o takiej nazwie może nie być w innym dziale. Już wyjaśniam to na przykładzie:

[PHP] pobierz, plaintext 
switch($_GET['dzial'])
{
	case
		$_GET['dzial']="gry/gra1";
		$dzial = $_GET['dzial'];
		break;
	case	
		$_GET['dzial']="gry/gra2";
		$dzial = $_GET['dzial'];
		break;
	case	
		$_GET['dzial']="gry/gra3";
		$dzial = $_GET['dzial'];
		break;
	default:
		$dzial = "newsy";
		break;
}
 
switch($_GET['strona'])
{
	case
		$_GET['strona']="postacie/postac1";
		$strona = $_GET['strona'];
		break;
	case
		$_GET['strona']="postacie/postac2";
		$strona = $_GET['strona'];
		break;
	case
		$_GET['strona']="postacie/postac3";
		$strona = $_GET['strona'];
		break;
	default:
		$strona = "news";
		break;
}
[PHP] pobierz, plaintext 

I teraz tak. 'postac1' istnieje w dziale 'gry/gra1' i 'gry/gra2', za to nie istnieje już w dziale 'gry/gra3'. Teraz wystarczy że podmienię wartość zmiennej 'dzial' na 'gry/gra3', ZOSTAWIAJĄC PRZY TYM wartość zmiennej 'strona' tak jak była, czyli: 'postacie/postac1' i strona się wysypie. Czy mój tok rozumowania jest dobry, czy po prostu coś źle ogarnąłem? (IMG:style_emoticons/default/biggrin.gif) Jeśli wszystko jest dobrze to myślę, że lepiej niż SWITCH sprawdziłyby się IFy:

[PHP] pobierz, plaintext 
if ($_GET['dzial'] == 'gry/gra1')
{
	if ($_GET['strona'] == 'postacie/postac1')
	{
		$dzial = $_GET['dzial'];
		$strona = $_GET['strona'];
	}
 
	else if ($_GET['strona'] == 'postacie/postac2')
	{
		$dzial = $_GET['dzial'];
		$strona = $_GET['strona'];
	}
 
	else if ($_GET['strona'] == 'postacie/postac3')
	{
		$dzial = $_GET['dzial'];
		$strona = $_GET['strona'];
	}
 
	else
	{
		$dzial = "gry/gra1";
		$strona = "info";
	}
}
 
else if ($_GET['dzial'] == 'gry/gra2')
{
	if ($_GET['strona'] == 'postacie/postac1')
	{
		$dzial = $_GET['dzial'];
		$strona = $_GET['strona'];
	}
 
	else if ($_GET['strona'] == 'postacie/postac2')
	{
		$dzial = $_GET['dzial'];
		$strona = $_GET['strona'];
	}
 
	else if ($_GET['strona'] == 'postacie/postac3')
	{
		$dzial = $_GET['dzial'];
		$strona = $_GET['strona'];
	}
 
	else
	{
		$dzial = "gry/gra2";
		$strona = "info";
	}
}
 
else if ($_GET['dzial'] == 'gry/gra3')
{
	if ($_GET['strona'] == 'postacie/postac2')
	{
		$dzial = $_GET['dzial'];
		$strona = $_GET['strona'];
	}
 
	else if ($_GET['strona'] == 'postacie/postac3')
	{
		$dzial = $_GET['dzial'];
		$strona = $_GET['strona'];
	}
 
	else
	{
		$dzial = "gry/gra3";
		$strona = "info";
	}
}
 
else
{
	$dzial = "newsy";
	$strona = "news";
}
 
[PHP] pobierz, plaintext 

Jak Wam się wydaje? Czy takie rozwiązanie będzie dobre?

Ten post edytował GrumpyDogue 26.02.2015, 02:34:37