Drukowana wersja tematu

Napisany przez: Najki 24.11.2004, 23:13:57

Pytania o streszczenie wątku, posty z "genialnymi" skryptami nadającymi się tylko na przedszkole i inne tego typu, będą bez ostrzeżenia usuwane przez moderatorów.
To mówiłem ja, Jarząbek... znaczy nospor dnia 2007-12-10
-------------------------------------------------------------------------------

SQL Injection (zwane też "SQL Insertion") to (rzekomo) najprostszy sposób włamu na stronę. Spowodowany jest on niepełnym sformułowaniem zapytań do MySQL.

Przykład. Dajemy na stronie możliwość edycji profilu. Zapytanie do SQL wygląda następująco:

[PHP] pobierz, plaintext 
<?php
$query = &#092;"update uzytkownicy set pole='$dane' where id='$id'\";
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
', haslo='nowe_haslo' WHERE id = '1
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$query = 'update `uzytkownicy` set `pole`=\"'.$dane.'\" where `id`=\"'.$id.'\";';
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$id = (int)$_GET['id'];
// lub
$id = http://www.php.net/intval($_GET['id']);
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$string = http://www.php.net/mysql_real_escape_string($_POST['string']); // PHP5
 
$string = http://www.php.net/mysql_escape_string($_POST['string']); /* lub */ $string = http://www.php.net/addslashes($_POST['string']); // PHP4
?>
[PHP] pobierz, plaintext 

Napisany przez: Vengeance 24.11.2004, 23:34:40

[PHP] pobierz, plaintext 
<?php
$query = 'update `uzytkownicy` set `pole`=\"'.$dane.'\" where `id`=\"'.$id.'\";';
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$id = (int)$_GET['id'];
?>
[PHP] pobierz, plaintext 

Napisany przez: ActivePlayer 25.11.2004, 00:06:02

Z tego co wiem to mysql nie wykonuje zapytan typu "zapyta1;zapyt2" od sstrony php wiec tego nei masz sie co bac... co do filtrowania danych...

http://pl.php.net/mysql_escape_string

Napisany przez: Najki 25.11.2004, 00:22:22

[PHP] pobierz, plaintext 
<?php
http://www.php.net/preg_replace( '%<script>%', '', $zmienna );
?>
[PHP] pobierz, plaintext 

Napisany przez: Kinool 25.11.2004, 08:48:38

zabezpieczenie w stylu:

[PHP] pobierz, plaintext 
<?php
$query = 'update `uzytkownicy` set `pole`=\"'.$dane.'\" where `id`=\"'.$id.'\";';
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$_GET['id'] = http://www.php.net/intval($_GET['id']);
?>
[PHP] pobierz, plaintext 

Napisany przez: johnson 6.12.2004, 09:23:12

[PHP] pobierz, plaintext 
<?php
', haslo='nowe_haslo' WHERE id = '1
[PHP] pobierz, plaintext 

Napisany przez: Najki 6.12.2004, 09:29:56

Owszem dodaje, ale chyba tylko, gdy na serwerze jest włączone magic_quotes_gpc ?
A jeśli nie to jakim prawem kolega mi się włamał?

Napisany przez: Seth 6.12.2004, 12:32:14

Dodam jeszcze te dwa linki:
http://www.nextgenss.com/papers/SecondOrderCodeInjection.pdf
http://hacking.pl/download.php?file=get&id=113

Napisany przez: morrison 26.02.2005, 17:20:37

Temat ciekawy, ale w zasadzie nie wiem jeszcze co moglbym zrobic w swojej aplikacji aby uniemozliwic taki atak i aby bylo to zrobione w profesjonalny sposob. Gdyby ktos mogl zerknac na kod i pomoc mi.
Oto kod ktory sluzy do sprawdzenia hasla i nazwy usera:

[PHP] pobierz, plaintext 
<?php
 
// utworzenie krotkich nazw zmiennych i spr. czy dane sa przek. w zm. sesji
if (!http://www.php.net/isset($_SESSION['nazwa_uz']))
  $_SESSION['nazwa_uz'] = $HTTP_POST_VARS['nazwa_uz'];
if (!http://www.php.net/isset($_SESSION['haslo']))
  $_SESSION['haslo'] = $HTTP_POST_VARS['haslo'];
 
//spr. czy zostalo nadane nowe haslo
if (http://www.php.net/isset($_SESSION['nowe_haslo']))
	$_SESSION['haslo'] = $_SESSION['nowe_haslo'];
 
if (($_SESSION['nazwa_uz'] && $_SESSION['haslo']) || ($_SESSION['nazwa_uz'] == '' || $_SESSION['haslo'] == ''))
// proba logowania, sprawdzenie czy podano login oraz haslo
{
	if (loguj($_SESSION['nazwa_uz'], $_SESSION['haslo']))
	{
	  // jesli uzytkownik znajduje sie w bazie danych rejestracja identyfikatora
	  $HTTP_SESSION_VARS['prawid_uzyt'] = $_SESSION['nazwa_uz'];
 
 
	}
	else
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
function loguj($nazwa_uz, $haslo)
// sprawdzenie nazwy uzytkownika i hasla w bazie danych
// jezeli sie �zgadza, zwraca true
// jezeli nie, zwraca false
{
  // polaczenie z baza danych
  $lacz = lacz_bd();
  if (!$lacz)
	return false;
 
  // sprawdzenie unikatowosci nazwy uzytkownika
  $wynik = http://www.php.net/mysql_query(&#092;"select * from uzytkownik 
						 where nazwa_uz='$nazwa_uz'
						 and haslo = password('$haslo')&#092;");
  if (!$wynik)
	 return false;
 
  if (http://www.php.net/mysql_num_rows($wynik) > 0)
	 return true;
  else 
	 return false;
}
 
?>
[PHP] pobierz, plaintext 

Napisany przez: ActivePlayer 26.02.2005, 21:45:06

przyklad:

[PHP] pobierz, plaintext 
<?php
 
$sql = http://www.php.net/mysql_query(&#092;"SELECT * FROM news WHERE id=\".$_GET['id']);
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
if(http://www.php.net/md5($_GET['id']*4)!=$_GET['id2'])http://www.php.net/die('Błędny url');
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
$id = (int)$_GET['id'];
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
$id = http://www.php.net/mysql_escape_string($_GET['id']);
 
?>
[PHP] pobierz, plaintext 

Napisany przez: sopel 26.02.2005, 23:41:07

Napisany przez: Vengeance 27.02.2005, 14:44:07

przez mysql_query() nie. ale funckje postgreSQL już to dopuszczają :/
Dlatego userzy tego drugiego mają większy problem.

Co do zabezpieczenia, nie wiem czym się tak przejmujecie? ;]
Ja stosuje jedynie addslashes() oraz usuwam slowo 'UNION' ze zmiennych

Napisany przez: Riklaunim 27.02.2005, 14:49:14

dość często jest WHERE coś = liczba gdzie coś jest polem auto_increment i ma wartości liczbowe.. wystarczy przed wykonaniem zapytania sprawdzić czy is_numeric parametr dla Where

Napisany przez: MoD 27.02.2005, 17:45:48

Ja do liczb stosuje najczęściej http://pl.php.net/ereg (zwłaszcza w UPDATE, w grze MMORPG). Wtedy mam pewność że osoba która wpisze np -1230 nie wyrządzi mi żadnych szkód. A zabezpieczanie skryptów można trenować na wspomnianym przeze mnie wyżej ExoFusion. Jak ktoś go tak zabezpieczy, że nie będzie żadnych (no, może nie żadnych, a prawie żadnych) błędów to będzie się miał czym pochwalić (ja znałem 2 gry na 10 które były w miarę zabezpieczone, ale i tak padły - właśnie przez SQL Injection)

Napisany przez: MStaniszczak 28.02.2005, 03:21:48

Napisany przez: Vengeance 1.03.2005, 17:20:41

@MStaniszczak: podobnież "is_numeric(), is_integer(), intval()" nie są zawsze dobrym wyjściem. Gdzieś czytałem, iż Zend Engine działa tak, iż te funkcje sprawdzają tylko typ zmiennej. Może to doprowadzać do przekłamań, dlatego niektórzy właśnie stosują eregi (co w tamtym artykule także polecano).

Napisany przez: MStaniszczak 1.03.2005, 23:15:12

@Vengeance:
Więc działa to tak:
is_numeric() - sprawdza czy cos co podałeś jako argument jest cyfrą. Dokładniej czy nie ważne czy cyfra jest stringiem ('123') czy cyfrą (123) czy cyfrą ułamkową (123.123). Jeśli jest cyfrą zwraca true;

is_integer() - zwraca true TYLKO wtedy gdy parametr:
a) jest cyfra
b) jest typu integer (czyli dla '123' nie zwróci true)
c) jest cyfrą CAŁKOWITĄ (czyli dla 123.123 nei zwróci true).
WSZYSTKIE te punkty muszą być spełnione jednocześnie

intval() - nic nie sprawdza... Zamienia parametr na integera (jesli zaczyna się od cyfry). Czyli:

[PHP] pobierz, plaintext 
<?php
$i = http://www.php.net/intval('123')
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$i = http://www.php.net/intval('123 ala ma kota')
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$i = http://www.php.net/intval('ala ma kota');
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$ret  = '123 ala'+'123ma kota';
http://www.php.net/echo $ret;
?>
[PHP] pobierz, plaintext 

Napisany przez: Vengeance 2.03.2005, 22:22:51

@MStaniszczak: ja tam nie wiem Mówie tylko co czytałem. Skoro ktoś to dostrzegł w kodzie Zend Engine (może go analizowałeś, ja nie) to miał jakieś powody by tak twierdzić Może już to poprawili albo coś. Przytaczam tylko swoją "wiedzę" na ten temat, choc sam także używam is_integer() itp.

Napisany przez: MStaniszczak 2.03.2005, 22:43:20

@Vengeance: Ano analizowałem Zend Engina dość dokładnie (jeszcze raz mnie to czeka).
Oto funkcja odpowiedzialna za is_numeric (która nie jest częścią Zend Engine-u):

Napisany przez: krzemian 3.03.2005, 17:09:35

W PHPBB też jest coś takiego używane, ale - znowu - nie prościej użyć rzutowania typów? Ostatnio zrobiłem coś takiego na zmiennej $id z GET'a i nawet jeśli dałem id=3fk5 to jeśli zrzutowałem to na (int) otrzymywałem 35. Chyba o to wam chodzi, nie?

Napisany przez: Seth 3.03.2005, 18:08:48

To o czym piszesz sprawdza sie przy liczbach, natomiast do ciagow znakow trzeba juz inaczej do tego podchodzic.

Napisany przez: MStaniszczak 3.03.2005, 20:40:59

@krzemian:

[PHP] pobierz, plaintext 
<?php
$x = '3fk5';
$a = (int)'3fk5';
$b = (int)$x;
 
http://www.php.net/echo $a.'<br>'.$b;
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$a = '1abc';
$b = '2ii';
$d = '-3ala ma kota a kot ma ale';
 
$ret = $a+$b;
http://www.php.net/echo $ret.'<br>';
 
$ret += $d;
http://www.php.net/echo $ret.'<br>';
 
$ret = $b*$d;
http://www.php.net/echo $ret.'<br>';
 
?>
[PHP] pobierz, plaintext 

Napisany przez: ActivePlayer 3.03.2005, 21:23:10

Moze ktos napisze klase, lub zbiór funkcji, alby uniknąc tego typu problemów, tylko ze... tu problem nie polega na tym, co zrobic zeby sprawdzic jaki typ danych user wpisze, tylko raczej na tym jak mądrze napisac zapytanie.

Napisany przez: MStaniszczak 3.03.2005, 23:18:12

Ja używam czegoś takiego (ma już swoje latka - dodałem tylko public;-):

[PHP] pobierz, plaintext 
<?php
require_once(ROOT_PATH.'Libraries/Tools/email.inc.php');
 
http://www.php.net/define('VALIDATE_EMAIL', 1);
http://www.php.net/define('VALIDATE_STRING', 2);
http://www.php.net/define('VALIDATE_INTEGER', 3);
http://www.php.net/define('VALIDATE_DOUBLE', 4);
http://www.php.net/define('VALIDATE_POSTCODE', 5);
http://www.php.net/define('VALIDATE_BOOLEAN', 6);
 
class Validate {	
	private function checkStrSize($value, $minSize, $maxSize) {
		if(http://www.php.net/strlen(http://www.php.net/trim($value))>$maxSize || http://www.php.net/strlen(http://www.php.net/trim($value))<$minSize)
			return false;
		else
			return true;
	}
 
	//array( array('typ', 'value', 'min', 'max', 'correct')
	public function check($array) {
		$ret = http://www.php.net/array(true, $array);
 
		$count = http://www.php.net/count($array);
		for($i=0; $i<$count; $i++) {
			switch($array[$i][0]) {
				case VALIDATE_EMAIL: // e-mail
					if(!tverifyEmail($array[$i][1])) {
						$ret[0] = false;
						$ret[1][$i][4] = false;
					} else
						$ret[1][$i][4] = true;
				break;
				case VALIDATE_STRING: // string
					if(!$this->checkStrSize($array[$i][1], $array[$i][2], $array[$i][3])) {
						$ret[0] = false;
						$ret[1][$i][4] = false;
					} else
						$ret[1][$i][4] = true;
				break;
				case VALIDATE_INTEGER: //integer
					if(!http://www.php.net/is_numeric($array[$i][1]) || 
						(http://www.php.net/strpos($array[$i][1], ',')!==false) || (http://www.php.net/strpos($array[$i][1], '.')!==false) ||
						$array[$i][1]<$array[$i][2] || $array[$i][1]>$array[$i][3]) {
						$ret[0] = false;
						$ret[1][$i][4] = false;
					} else
						$ret[1][$i][4] = true;
				break;
				case VALIDATE_DOUBLE: // double
					if(!http://www.php.net/is_numeric($array[$i][1]) || $array[$i][1]<$array[$i][2] || $array[$i][1]>$array[$i][3]) {
						$ret[0] = false;
						$ret[1][$i][4] = false;
					} else
						$ret[1][$i][4] = true;
				break;
				case VALIDATE_POSTCODE:
					if(!@http://www.php.net/ereg('^[0-9]{2}-[0-9]{3}$', $array[$i][1])) {
						$ret[0] = false;
						$ret[1][$i][4] = false;
					} else
						$ret[1][$i][4] = true;
				break;
				case VALIDATE_BOOLEAN:
					if(!http://www.php.net/is_bool($array[$i][1])) {
						$ret[0] = false;
						$ret[1][$i][4] = false;
					} else
						$ret[1][$i][4] = true;
				break;
			}
		}
 
		return $ret;
	}
}
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
if (http://www.php.net/strtoupper(http://www.php.net/substr(PHP_OS, 0, 3)) === 'WIN')
	$OS_detect = 'Windows NT';
else
	$OS_detect = 'Unix';
 
function checkdnsrrWinNT($host, $type = '') {
  if(!http://www.php.net/empty($host)) {
 
	if($type=='')
	  $type = 'MX';
 
	  @http://www.php.net/exec(&#092;"nslookup -type=$type $host\", $output);
 
	  while(list($k, $line)=http://www.php.net/each($output)) {
		if(http://www.php.net/eregi( &#092;"^$host\", $line)) {
		  return true;
		}
	  }
	  return false;
  }
}
 
 
function multiOScheckdnsrr($host, $type='') {
  http://www.php.net/global $OS_detect;
 
  if(http://www.php.net/strcmp($OS_detect,'Windows NT')===0)
	return checkdnsrrWinNT($host, $type);
  else
  if(http://www.php.net/strcmp($OS_detect, 'Unix')===0) {
	if(http://www.php.net/strcmp($type, '')===0 || http://www.php.net/strcmp($type, 'MX')===0)
	  return checkdnsrr($host, MX);
	elseif(http://www.php.net/strcmp($type, 'A')===0)
	  return checkdnsrr($host, A);
	elseif(http://www.php.net/strcmp($type, 'NS')===0)
	  return checkdnsrr($host, NS);
	elseif(http://www.php.net/strcmp($type, 'SOA')===0)
	  return checkdnsrr($host, SOA);
	elseif(http://www.php.net/strcmp($type, 'PTR')===0)
	  return checkdnsrr($host, PTR);
	elseif(http://www.php.net/strcmp($type, 'CNAME')===0)
	  return checkdnsrr($host, CNAME);
	elseif(http://www.php.net/strcmp($type, 'AAAA')===0)
	  return checkdnsrr($host, AAAA);
	elseif(http://www.php.net/strcmp($type, 'ANY')===0)
	  return checkdnsrr($host, ANY);
  }
}
 
function verifyEmail($email) {
	$wholeexp = '/^(.+?)@(([a-z0-9.-]+?).[a-z]{2,5})$/i';
	$userexp = &#092;"/^[a-z0-9~!#$%&()-_+=[];:'\",./]+$/i\";
	if(http://www.php.net/preg_match($wholeexp, $email, $regs)) {
	  $username = $regs[1];
	  $host = $regs[2];
	  if(multiOScheckdnsrr($host, 'MX')) {
		if(http://www.php.net/preg_match($userexp, $username)) {
		  return true;
		 }else {
		   return false;
		 }
	   }else {
		 return false;
	   }
	}else {
	  return false;
	}
}
?>
[PHP] pobierz, plaintext 

Napisany przez: docent 4.03.2005, 00:18:29

no to i moje 3 grosze. primo: nie ma to jak szczyt lenistwa:

Napisany przez: Vengeance 4.03.2005, 19:04:20

@docent: szczerze to zadna nowosc

----
Przez chwilke pomyslalem, ze mozna by zmienne przekazyawc przez:
www.site.com?int[postID]=4&string[mode]=showAll&bool[save]=true

I robic odpowiednie petle na tablicach, stosujac odpowiednie funkcje

Napisany przez: MStaniszczak 4.03.2005, 19:08:24

Napisany przez: docent 4.03.2005, 23:48:57

@docent: szczerze to zadna nowosc

----
Przez chwilke pomyslalem, ze mozna by zmienne przekazyawc przez:
www.site.com?int[postID]=4&string[mode]=showAll&bool[save]=true

I robic odpowiednie petle na tablicach, stosujac odpowiednie funkcje

Napisany przez: tara 2.04.2005, 17:32:31

w sumei można też tak, np. dla newsów:

[PHP] pobierz, plaintext 
<?php
 
if(http://www.php.net/isset($_GET['id'])) {
  $query1 = &#092;"SELECT MAX(ID) FROM newsy\";
list($d) = http://www.php.net/mysql_fetch_row(http://www.php.net/mysql_query ($query1));
 
if ($_GET['id']> $d) {
http://www.php.net/print &#092;"Blad\";
} else {
 
// kod 
 
}
}
 
?>
[PHP] pobierz, plaintext 

Napisany przez: limak 11.04.2005, 21:05:08

Napisany przez: tara 11.04.2005, 21:06:48

heh no ale jak ktoś wprawdzi DROP TABLE itp. to też zablokuje

Napisany przez: MoD 11.04.2005, 21:33:24

Napisany przez: tarlandil 29.04.2005, 07:47:36

IMHO dosc wygodna i bezpieczne rozwiazanie:

[PHP] pobierz, plaintext 
<?php
 
function CheckValue($type,$v,$default=&#092;"\")
{
  if (!function_exists(&#092;"CheckValue_$type\")) return \"\";
  $func=&#092;"CheckValue_$type\";
  return $func($v,$default);
}
 
function SQLValue($type,$v,$default=&#092;"\")
{
  if (!function_exists(&#092;"SQLValue_$type\")) return \"\";
  $func=&#092;"SQLValue_$type\";
  return $func($v,$default);
}
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
function CheckValue_int($v,$default=&#092;"\")
{
  if (!http://www.php.net/is_numeric($v)) return (int)$default;
  return (int) $v;
}
 
function SQLValue_int($v,$default=&#092;"\")
{
  return CheckValue_int($v,$default);
}
 
function CheckValue_ident($v,$default=&#092;"\")
{
  $v=http://www.php.net/trim($v);
  if (!http://www.php.net/preg_match(&#092;"/^([wd]+)$/\",$v)) return $default;
  return $v;
}
 
function SQLValue_ident($v,$default=&#092;"\")
{
  $v=CheckValue_ident($v,$default);
  $v=http://www.php.net/addslashes($v);
  return &#092;"'$v'\";
}
 
function CheckValue_text($v,$default=&#092;"\")
{
  $v=http://www.php.net/trim($v);
  $v=http://www.php.net/htmlspecialchars($v,ENT_QUOTES);
  return $v;
}
 
function SQLValue_text($v,$default=&#092;"\")
{
  $v=CheckValue_text($v,$default);
  $v=http://www.php.net/addslashes($v);
  return &#092;"'$v'\";
}
 
itd..
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
$result=$sql->SendQuery(http://www.php.net/sprintf(
	&#092;"select * from przedmiot where id=%s and parent=%s;\",
	SQLValue(&#092;"ident\",$GLOBALS[\"id\"]),
		SQLValue(&#092;"ident\",$GLOBALS[\"parent\"])
  ));
 
?>
[PHP] pobierz, plaintext 

Napisany przez: J4r0d 8.05.2005, 17:11:33

Napisany przez: sopel 8.05.2005, 17:35:35

Cytat(Vengeance @ 2005-02-27 13:44:07)

przez mysql_query() nie. ale funckje postgreSQL już to dopuszczają :/
Dlatego userzy tego drugiego mają większy problem.

Co do zabezpieczenia, nie wiem czym się tak przejmujecie? ;]
Ja stosuje jedynie addslashes() oraz usuwam slowo 'UNION' ze zmiennych

Cytat

przez mysql_query() nie. ale funckje postgreSQL już to dopuszczają :/
Dlatego userzy tego drugiego mają większy problem.

A jak go rozwiązać?

Cytat

Co do zabezpieczenia, nie wiem czym się tak przejmujecie? ;]
Ja stosuje jedynie addslashes() oraz usuwam slowo 'UNION' ze zmiennych

Przecież addslashes() to tosamo co mysql_escape_string()

Napisany przez: johnson 8.05.2005, 17:46:29

Napisany przez: sopel 8.05.2005, 17:48:08

addslashes() (jeden raz!!!) powinno w zupelnosci wystarczyc. przy sotsowaniu mysql_escape_string moze sie pojawic porblem przy wyciganiu danych z bazy i stosowaniu stripslashes()

Napisany przez: Peter Riley 8.05.2005, 17:49:40

Smieszne sa te wasze rozwazania, nie szkoda czasu?
Przypomina mi to wiare w zabobony.
Addslashes zalatwia calkowice sprawe, sprobujcie sie wlamac bez mozliwosci uzycia apostrofu. Mozecie wpisywac UNION, srednik i co tylko chcecie, ale to nic nie da, bo i tak co najwyzej zostanie wciagniete do bazy jako czesc stringa.
Do liczb is_numeric i wystarczy.

Napisany przez: J4r0d 8.05.2005, 17:56:50

Napisany przez: Peter Riley 8.05.2005, 18:43:03

Bezpieczeństwo - szkoda czasu?    Nie dla mnie :roll2:

Napisany przez: J4r0d 8.05.2005, 19:08:08

Napisany przez: Peter Riley 8.05.2005, 19:47:55

Napisany przez: sopel 8.05.2005, 22:14:33

Napisany przez: Kinool 9.05.2005, 00:14:50

panowie!!!!

juz ktos pisal o tym ze wiemy co "spodziewamy" sie otrzymac jesli chodzi o liczby to nie addslashes tylko intval() lub settype()

$id = intval($_GET['articleid']);

i jesli gosc wklepie tam cokolwiek to i tak bedzie zutowane na liczbe
nawet ze wzglegow optymalizacji lepiej jest wykonac zapytanie
SELECT * FROM table WHERE id=10
niz
SELECT * FROM table WHERE id='10'
poniewaz MySQL nie musi robic konwersji

addslashes uzywamy jesli mamy doczynienia z wartosciami textowymi lub mieszanymi

tak na marginesie to zadna funkcja nie zwalnia od myslenia!

Napisany przez: Peter Riley 9.05.2005, 01:28:44

Napisany przez: ktuvok 14.05.2005, 20:58:57

Dorzucę się do tego wątku i powiem, że moim zdaniem najlepszym zabezpieczeniem jest:

1. ustawienie w php.ini opcji get_magic_quotes_gpc na ON

2. stosowana równolegle z powyższym funkcja czyszcząca otrzymane dane - od razu uprzedzam, że wbrew nazwie nie dotyczy ona tylko danych przesyłanych metodą POST:

[PHP] pobierz, plaintext 
<?php
 
function OczyscPost($Zmienna, $Rozmiar)
{
		if (http://www.php.net/get_magic_quotes_gpc())
		{
				$Zmienna = http://www.php.net/stripslashes($Zmienna);
		}
		$Zmienna = http://www.php.net/trim(http://www.php.net/strip_tags(http://www.php.net/str_replace(&#092;"\"\", \"\", $Zmienna)));
		$Zmienna = http://www.php.net/substr(http://www.php.net/str_replace(&#092;"'\",\"\", $Zmienna),0,$Rozmiar);
		$Zmienna = http://www.php.net/sprintf(&#092;"%s\",$Zmienna);
		return $Zmienna;
}
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
function DoCyfry($Zmienna)
{
		$Zmienna = http://www.php.net/intval($Zmienna);
		if(http://www.php.net/is_int($Zmienna))
		{
				return $Zmienna;
		}
		else
		{
				return 0;
		}
}
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
$Nazwisko = OczyscPost($_POST['Nazwisko'], 40);
$ID = DoCyfry(OczyscPost($_GET['ID'], 10));
 
?>
[PHP] pobierz, plaintext 

Napisany przez: Vengeance 14.05.2005, 21:44:37

Cytat(J4r0d @ 2005-05-08 16:56:50)

Bezpieczeństwo - szkoda czasu?    Nie dla mnie :roll2:

A co z bezpieczenstwem ma wspolnego kasowanie ciagow typu UNION ze zmiennej, w ktorej i tak kazdy apostrof zostanie wysleszowany? Nic.
addslash lub magic quote zalatwia calkowicie sprawe sql injection, oczywiscie pozostaje sprawdzenie czy nadeslane dane mieszcza sie w dozwolonym zakresie, ale to juz inna historia.

Napisany przez: bolas 16.05.2005, 23:02:57

a takie pytanko jeszcze.
czy umozliwienie stosowania wszystkich znakow np. spacji przy tworzeniu loginu podczas rejestracji jest niebezpieczne ?

Napisany przez: bolas 18.05.2005, 14:56:35

wszystkie znaki - oczywiscie przy wlaczanej dyrektywie gpc_magic_quotes

ktuvok - uzywam podobnego mechanizmu i na razie nie ma problemow (moze dlatego, ze nikt nie robil testow, albo nie zauwazono, ze cos jest nie tak). dodatkowo uzywam htmlspecialchars.

Napisany przez: kubatron 22.05.2005, 10:18:04

Nie wiem czy był dawany ten link lecz jeśli nie to prosze o usunięcie postu, a takto ciekawy art do przeczytanie http://www.computerworld.pl/artykuly/31505.html

Napisany przez: gu35t 29.06.2005, 19:08:01

mozna sie legalnie sprawdzic:
http://peanix.ath.cx/

wiecej na:
http://forum.cc-team.org/viewtopic.php?t=6488
http://forum.cc-team.org/viewtopic.php?t=6680

sqli[taki bylejaki ]:
http://sld.org.pl/index.php?view=1&art_id=6945)%20union%20select%20*%20from%20cms_articles/*&pid=18&ret_id=16&rsid=4

i troche info:
http://www.microsoft.com/poland/technet/article/art008.mspx
http://www.unixwiz.net/techtips/sql-injection.html
http://www.google.pl/search?hl=pl&biw=1019&q=Blind+SQL+Injection&btnG=Szukaj&lr=
http://www.sitepoint.com/article/sql-injection-attacks-safe
http://www.securiteam.com/securityreviews/5DP0N1P76E.html
http://www.google.pl/search?hl=pl&biw=1019&q=sql+injection+paper&btnG=Szukaj&lr=
http://www.google.pl/search?hl=pl&biw=1019&q=sql+injection+faq&btnG=Szukaj&lr=
http://www.google.pl/search?hl=pl&biw=1019&q=sql+injection+howto&btnG=Szukaj&lr=
http://www.google.pl/search?hl=pl&biw=1019&q=sql+injection+getting+names+of+column&btnG=Szukaj&lr=
http://blogs.wdevs.com/colinangusmackay/archive/2004/09/25/652.aspx

troche o union:
http://www.really-fine.com/SQL_union.html

a tak wogule to wszystko na google jest tylko miej troche cierpliowsci i MYSL.

pozdro

Napisany przez: logeen 6.07.2005, 13:03:21

[PHP] pobierz, plaintext 
<?php
// Łączenie z serwerem MySQL itd.
 
// Logowanie administratora:
http://www.php.net/mysql_query('SELECT * FROM admins WHERE user_login = '' . (get_magic_quotes_gpc() ? $_POST['login'] : addslashes($_POST['login'])) . '' AND user_password = '' . (get_magic_quotes_gpc() ? $_POST['password'] : addslashes($_POST['password'])) . ''');
 
// Zmiana hasła:
http://www.php.net/mysql_query('UPDATE users SET user_password = '' . (get_magic_quotes_gpc() ? $_POST['password'] : addslashes($_POST['password'])) . '' WHERE user_id = ' . http://www.php.net/abs(http://www.php.net/intval($_GET['user_id'])));
 
// Albo:
http://www.php.net/mysql_query('UPDATE users SET user_password = '' . (get_magic_quotes_gpc() ? $_POST['password'] : addslashes($_POST['password'])) . '' WHERE user_login = '' . (get_magic_quotes_gpc() ? $_GET['login'] : addslashes($_GET['login'])) . ''');
 
// Operacje końcowe: zamykanie połączenia itd.
?>
[PHP] pobierz, plaintext 

Napisany przez: Vengeance 7.07.2005, 19:53:24

Wiadomym jest, że nie w każdym się da... ale są przypadki gdzie tak jest. Przecież w UNION najczęściej chodzi o wyciągnięcie danych... więc nie musisz używać apostrofu. Gdy ktoś zrobi błąd w takim miejscu, iż użycie apostrofu nie jest wymagane (a najczęściej jest właśnie tylko w dyrektywach WHERE) to droga otwarta.

Napisany przez: johnson 7.07.2005, 20:04:31

Nie zapominajmy, że przy union włamywacz musi znać nazwę tabeli i pól w tabeli mysql, a w przypadku, jeśli ktoś pisze skrypty sam i nie używa gotowców, prawdopodobieństwo, że włamywacz odgadnie nazwę tabeli i pola jest IMHO bardzo małe.

Napisany przez: Vengeance 7.07.2005, 20:07:40

IMHO pokaz mi programiste co nie trzyma loginow i hasel w tabeli nazwą zblizonej do 'users' :]

Pozatym... wywolujac kontrolowane bledy SQL mozna czesto poznac spora czesc struktury bazy SQL.

Ale ogólnie to masz racje

Napisany przez: logeen 7.07.2005, 21:03:48

Napisany przez: Vengeance 7.07.2005, 23:35:32

Dlatego, że w takim forum wykonuje się masę zapytań i nie zawsze wszystkie 100% sprawdzisz. Więc lepiej w jednym miejscu filtrować niebezpieczne dane... by potem mieć pewność że do każdego zapytania dotrą w odpowiedniej formie... i że nie zapomnieliśmy gdzieś czegoś filtrować.

Napisany przez: logeen 8.07.2005, 01:01:33

To jasne, ale zależy, co rozumiesz przez "filtrować". Jeżeli filtrowaniem nazywamy np. używanie funkcji "addslashes" czy "intval", to OK. Ale jeżeli to ma polegać na bezcelowym usuwaniu np. wszystkich wystąpień słowa "UNION" i innych podobnych z danych przesyłanych przez użytkownika, a podstawianych do zapytania, to ja tego nie rozumiem. Po co to usuwać, skoro i tak w żaden sposób nie może zaszkodzić, jeżeli odpowiednio przefiltrujemy dane? Na dodatek przez takie postępowanie zupełnie niepotrzebnie eliminujemy sobie możliwość wstawienia do bazy danych niektórych słów, co może być akurat potrzebne. Spróbujcie napisać np. tutorial używania unii w SQL, jeżeli z każdego tekstu wstawianego do bazy będziecie czyścić to słowo ;-)

Jak ktoś nie filtruje danych, to i tak żadne usuwanie "UNION" itp. mu nie pomoże, bo SQL injection można wykonać na wiele innych sposobów, kiedy nie przefiltrujemy danych wejściowych...

Napisany przez: Vengeance 8.07.2005, 01:16:42

1. A kto mówi że strona musi traktować o czymś gdzie wystąpi UNION.
2. Zobacz ile skryptów (np. phpbb) jest podatnych na tego typu ataki

Napisany przez: logeen 8.07.2005, 02:34:26

ad.1) Czyli co? Jeżeli zamierzasz zbudować np. forum dyskusyjne przeznaczone do dyskusji na temat języka SQL, to nie będzie się go dało zabezpieczyć, bo w takim przypadku usuwanie "UNION" z treści wysyłanych postów jest absolutnie nie do przyjęcia, a tylko to dałoby wystarczające zabezpieczenie?

ad.2) Skrypty są podatne, ponieważ programiści zapomnieli przefiltrować dane. Gdyby to zrobili, to by nie były podatne. Usuwanie "UNION" tutaj nic nie zmieni, ponieważ jeżeli dane wejściowe potraktujemy odpowiednio "addslashes" czy "intval", to żadne "UNION" przemycone w treści nam nie zaszkodzi. Do tego właśnie zmierzało moje pytanie, na które do tej pory nikt nie odpowiedział jasno i wyraźnie: czy jeśli stosujemy odpowiednią filtrację danych (np. taką jak zaprezentowałem), to wstawienie przez użytkownika "UNION" w danych wejściowych może się źle skończyć?

Napisany przez: MStaniszczak 8.07.2005, 09:39:00

Nie ma sensu nic wywalać (filtrować żadnych słów). Grunt to dobrze wstawiać slashe a tam gdzie ich nie można dodać (np. identyfikatory) stosować odpowiednio is_number, is_integer, intval etc… Nie da rady o tym zapomnieć;-)

Dobry sposobem mogą być filtry w frameworku;-) Ew. klasa z metodami sprawdzającymi dane odpowiednich typów, a wówczaj wystarczy już coś w stylui:

[PHP] pobierz, plaintext 
<?php
try {
   $id = CheckData::integer($_GET[&#8216;id’]);
   $name = CheckData::string($_POST[&#8216;name’]);
   $postcode = CheckData::postcode($_POST[&#8216;postCode’]);
} catch(DataFormatException $e) {
   http://www.php.net/echo &#092;"Zły format danych\";
}
?>
[PHP] pobierz, plaintext 

Napisany przez: Imperior 8.07.2005, 09:45:52

Oświećcie mnie proszę i powiedzcie, gdzie przy zdrowych zmysłach programista może zostawić lukę, że można użyć UNION bez ani jednego apostrofa? Przecież to jest możliwe tylko przy czymś takim:

[SQL] pobierz, plaintext 
SELECT * 
FROM users WHERE id = $string
[SQL] pobierz, plaintext 

Napisany przez: Vengeance 8.07.2005, 12:17:30

Imperior... są nawet tacy co robią

[SQL] pobierz, plaintext 
SELECT *
FROM users $warunki
[SQL] pobierz, plaintext 

Napisany przez: logeen 8.07.2005, 12:36:26

@Vengeance: Z tą opowieścią, to się z Tobą zgodzę. Z tym, że są pewne "ale":

1. Ten temat chyba raczej miał na celu przedstawienia zasad takiego pisania skryptów, aby nie były podatne na SQL injection, a nie poprawiania gotowych skryptów. Więc w przypadku, który podałeś, takie postępowanie może być uzasadnione, ale chyba raczej nie w sytuacji, kiedy piszemy cały skrypt od nowa.

2. Jeżeli w sytuacji, którą przedstawiłeś, nie przefiltruje się odpowiednio danych, to i tak usuwanie "UNION" niekoniecznie da 100% bezpieczeństwo, bo przecież są inne sposoby wykonania SQL injection niż tylko za pomocą unii. Natomiast faktycznie w sytuacji konieczności porawiania istniejących dziurawych skryptów, lepsze takie zabezpieczenie niż żadne.

3. Dane $_POST też przecież można spreparować, po prostu tworząc odpowiedni formularz i go wysyłając do skryptu Co wiecej, można zrobić tak, żeby taki formularz wysłał nieświadomie administrator forum.

Napisany przez: Vengeance 8.07.2005, 12:53:05

@logeen: Ale powiedzmy sobie prawde, że fora szkolne "hakują" tylko gówniarze co potrafią jedynie ściągnąć sploita z internetu. A te korzystają wyłącznie z GET i najczęściej właśnie z UNION (w przypadku phpBB). Ja nie mówie o pełnym zabezpieczeniu gotowca (bo to niemożliwe) ale o "zawężeniu kręgu niebezpieczeństwa" :]

Chyba doszliśmy do porozumienia

Napisany przez: johnson 8.07.2005, 12:57:26

Mówcie co chcecie, ale czy jest ktoś w stanie podać konkretny zestaw zabezpieczeń, który ustrzeże nas przed atakami poprzez php (oczywiście takie, które zależą od programisty) czy może nie ma sposobu na 100%-owe zabezpieczenie skryptów?

Napisany przez: logeen 8.07.2005, 13:32:36

@johnson:
Odpowiedź brzmi: pełna filtracja (tzn. "addslashes", "intval" itp.) wszystkich danych zewnętrznych, które podstawiamy do zapytania SQL. Oczywiście jeżeli piszesz skrypt od zera, bo jeżeli poprawiasz bezpieczeństwo jakiegoś dziurawego gotowca, to trudno Ci będzie sprawdzić wszystkie linie kodu (ale nie jest to niewykonalne, bo tak naprawdę musimy odszukać tylko miejsca wywoływania zapytań SQL i sprawdzić, czy wszystkie zmienne podstawiane do kodu SQL są przefiltrowane) - wtedy można się dodatkowo zdecydować na rozwiązanie podane przez Vengeance, choć i tak nie będzie to pełne zabezpieczenie, niemniej powinno powstrzymać większość script kiddies.

Napisany przez: brachu 8.07.2005, 14:22:05

jezeli mozna wtracic swoje 3 grosze.... to testowalem swoj system zlecen i o dziwo nie mozna sie do niego dostac za pomoca SQL injection, zasluga jest to domyslnych ustawien serwera oraz kilku funkcji sprawdzajacych poprawnosc - ktore wcale nie byly pisane w tym celu.... ogolnie warto jest pisac funkcje sprawdzajace poprawnosc wpisanych przez uzytkownika wartosci - nawet po to aby uniknac wpisywania glupot w wypadku gdy uzytkownikowi pomieszaja sie pola formularza

pozdrawiam

Napisany przez: MStaniszczak 8.07.2005, 14:53:21

A tu http://www.gajdaw.pl/varia/xss.html macie coś o atakcha na strony (nie SQL Injection więc troche OT;-) )

Pozdrawiam
Marcin Staniszczak

Napisany przez: moron 25.08.2005, 09:58:28

czyli co? mysql_escape_string, stripslashes
moglby ktos napisac jakas funkcje ktora by to robila?

Napisany przez: logeen 25.08.2005, 19:37:06

[PHP] pobierz, plaintext 
<?php
/**
 * Wstawia znaki unikowe w zapytaniach, dzieki czemu zapobiega atakowi "SQL injection".
 * @param string $text Ciag tekstowy do zamiany
 * @param resource $handle Identyfikator polaczenia
 * @return string Ciag tekstowy po zamianie
 */
function mysql_escape($text, $handle=NULL)
{
    if (http://www.php.net/version_compare(http://www.php.net/phpversion(), '4.3.0', '>='))
    {
        if ($handle) return http://www.php.net/mysql_real_escape_string($text, $handle);
        return http://www.php.net/mysql_real_escape_string($text);
    }
	if (http://www.php.net/version_compare(http://www.php.net/phpversion(), '4.0.3', '>=')) return http://www.php.net/mysql_escape_string($text);
    return http://www.php.net/addslashes($text);
}
?>
[PHP] pobierz, plaintext 

Napisany przez: qeuw 28.09.2005, 14:47:54

Jak można zabazpieczyć stronę jeżeli mam where id=$_GET['id'] and password=$password, wtedy wpisując kod w $_GET['id']= '7 --'
Zaniecha mi sprawdzanie hasła. Te funckje działają tylko w ściśle określonych przypadkach. Jak można było by zabezpieczyc przed pytaniami or,select,delete, into,update, w tablicy _GET, i mieć jakąś tam pewność że skrypt będzie zabezpieczony.

Napisany przez: ActivePlayer 28.09.2005, 15:14:44

Napisany przez: h.4 28.09.2005, 18:05:34

Mam takie pytanie...

[PHP] pobierz, plaintext 
<?php
 
$_POST['komentarz'] = http://www.php.net/mysql_real_escape_string($_POST['komentarz'];
$_POST['komentarz2'] = http://www.php.net/mysql_real_escape_string($_POST['komentarz2'];
$_POST['komentarz3'] = http://www.php.net/mysql_real_escape_string($_POST['komentarz3'];
 
?>
[PHP] pobierz, plaintext 

Napisany przez: ActivePlayer 28.09.2005, 18:54:36

Napisany przez: wojto 28.09.2005, 20:45:54

i teraz jak zrobic zeby wszystkie dane z _POST przepuscic przez mysql_real_escape_string bez koniecznosci powtarzania tej funkcji do kazdej zmiennej... tylko zrobic to hurtem

[PHP] pobierz, plaintext 
<?php
		foreach($_POST as $a => $b) {
			$_POST[$a] = http://www.php.net/mysql_real_escape_string($b);
		}
 
?>
[PHP] pobierz, plaintext 

Napisany przez: qeuw 28.09.2005, 21:08:04

Otóz zrobilem funckje która zamienia wyrażenia sql na np. z UnIoN na !union!. Sądze że to w miare skuteczna metota gdzyż zawiera popularną składnie sql + wyrażenia opisane w phpmyadminie na stronie ze statystykami. A co to tej pętli to się bardzo mi przyda

Napisany przez: logeen 29.09.2005, 19:58:27

Napisany przez: MalyKazio 15.01.2006, 12:40:44

Prawdę mówiąc ten temat jest strasznie zaśmiecony. Niby ktoś pisał, że ma być też pomoca dla początkujących a jedyną rzeczą przydatną dla mnie, jako bardzo początkującego, było słowo addslashes. Niestety nic poza tym... Ani jak to wykorzystać ani jak to potem wyciągnąć z bazy danych... trochę szkoda bo gdy założyłem temat z prośbą o prostą odpowiedź ( http://forum.php.pl/index.php?showtopic=40200 ) to mi się trochę "oberwało" a temat przyklejony to dla początkującego uzytkownika czarna magia.

Napisany przez: Vengeance 15.01.2006, 12:50:59

MalyKazio: Znów ci się "oberwie" odemnie osobiście, bo skoro piszesz, że w tym temacie nic nie znalazłeś prócz addslashes() to śmię twierdzić, że czytać nie potrafisz i analizować kodów też nie!

Wiadomo, ile ludzi tyleż opini, dlatego w tym wątku znaleść można prawdziwe multum informacji o tym jak się zabezpieczyć. I nikt nie napiszę Ci jednego 100% sposobu - bo taki nie istnieje. Każdy ma jakieś zalety i wady, każda osoba faworyzuje innych.

Ktoś ci napiszę "używaj addslashes" a potem odnajdą lukę w tej funkcji i cała koncepcja bierze w łęb :]

Jeśli szukasz posegregowanych informacji to odsyłam do książek i artykułów. Tutaj jest forum, i nikt nie będzie edytował każdego postu tak aby początkujący mógł odczytać to jako książkę :/ A że się 5 stron czytać dokładnie ludziom nie chce.... no sorry.

Napisany przez: the_foe 23.02.2006, 02:40:09

[PHP] pobierz, plaintext 
<?php
$win="\xA5\xC6\xCA\xA3\xD1\xD3\x8C\x8F\xAF\xB9\xE6\xEA\xB3\xF1\xF3\x9C\x9F\xBF";
$iso="\xA1\xA6\xAC\xB1\xB6\xBC";
$preg="/[^".$win.$iso."A-Za-z0-9_ -!@#\$%\^*\(\)\+=\{\}:;,.\\|\/\?]/s";
 
foreach ($_GET as $k=>$v){
	$_GET[$k]=http://www.php.net/preg_replace($preg,"\\1",$v);
}
foreach ($_POST as $k=>$v){
	$_POST[$k]=http://www.php.net/preg_replace($preg,"\\1",$v);
}
foreach ($_COOKIE as $k=>$v){
	$_COOKIE[$k]=http://www.php.net/preg_replace($preg,"\\1",$v);
}
 
?>
[PHP] pobierz, plaintext 

Napisany przez: kofaniutki_misio 26.02.2006, 19:46:34

Witam,

Czytałem posty na temat zabezpieczeń na stronie i zebrałem wszystko do kupy i wyszło mi coś takiego:

[PHP] pobierz, plaintext 
<?
 
Function logs($msg) 
{ 
	http://www.php.net/global $HTTP_USER_AGENT, $_SERVER; 
	$url = http://www.php.net/sprintf("%s%s%s","http://",$_SERVER['HTTP_HOST'],$_SERVER['REQUEST_URI']); 
	$plik='http'; 
	if($_SERVER['HTTPS']=='on') 
	   { 
		  $plik.='s'; 
		} 
	$plik.='://'.$_SERVER['HTTP_HOST'].$_SERVER['SCRIPT_NAME']; 
	if($_SERVER['QUERY_STRING']>' ') 
	{ 
		$plik.='?'.$_SERVER['QUERY_STRING']; 
	} 
	if ($_SERVER["HTTP_X_FORWARDED_FOR"]) 
	{ 
		if ($_SERVER["HTTP_CLIENT_IP"]) 
		{ 
			$mz_user['proxy']=$_SERVER["HTTP_CLIENT_IP"]; 
		}else 
		{ 
			$mz_user['proxy']=$_SERVER["REMOTE_ADDR"]; 
		} 
		$mz_user['ip']=$_SERVER["HTTP_X_FORWARDED_FOR"]; 
	}else 
	{ 
		if ($_SERVER["HTTP_CLIENT_IP"]) 
		{ 
			$mz_user['ip']=$_SERVER["HTTP_CLIENT_IP"]; 
		}else 
		{ 
			$mz_user['ip']=$_SERVER["REMOTE_ADDR"]; 
		} 
	} 
	$h=@http://www.php.net/fopen('logs/logs.txt','a'); // pamietaj aby ustawic chmod na 622 
	@http://www.php.net/fwrite($h,http://www.php.net/date('H:i:s d-m-Y').'	 ip: '.$mz_user['ip'].' proxy: '.$mz_user['proxy'].'  plik: '.$plik.'  url: '.$url.' atak na zmienną: $'.$msg.' '); 
	@http://www.php.net/fclose($h); 
	return $msg; 
} 
 
//zabezpieczenia zmiennych
 
$akcja = $_GET['akcja'];
$id = (int)$_GET['id'];
 
http://www.php.net/preg_replace( '%<script>%', '', $akcja);
http://www.php.net/preg_replace( '%UNION%', '', $akcja);
 
$akcja = http://www.php.net/mysql_escape_string($akcja); 
 
if(!http://www.php.net/ereg ("[a-z_]", $akcja)) {
   logs('akcja');
   http://www.php.net/die('Naruszenie zasad bezpiczeństwa! Twoj adres IP został pobrany.');}
 
if(!http://www.php.net/ereg ("[0-9]", $id)) {
   logs('id');
   http://www.php.net/die('Naruszenie zasad bezpiczeństwa! Twoj adres IP został pobrany.');}
 
 
//koniec zabezpiczeń zmiennych
 
?>
[PHP] pobierz, plaintext 

Napisany przez: vedeney 28.02.2006, 14:33:07

Sorry that not Polish,
but your functions are so funny

e.g.
Why do you make global $_SERVER??

[PHP] pobierz, plaintext 
<?php
http://www.php.net/global $HTTP_USER_AGENT, $_SERVER;
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
http://www.php.net/preg_replace( '%UNION%', '', $akcja)
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
foreach ($_GET as $k=>$v){
	$_GET[$k]=http://www.php.net/preg_replace($preg,"\\1",$v);
}
foreach ($_POST as $k=>$v){
	$_POST[$k]=http://www.php.net/preg_replace($preg,"\\1",$v);
}
foreach ($_COOKIE as $k=>$v){
	$_COOKIE[$k]=http://www.php.net/preg_replace($preg,"\\1",$v);
}
?>
[PHP] pobierz, plaintext 

Napisany przez: kofaniutki_misio 28.02.2006, 22:08:23

hej vedeney. funkcja logs, jest przepisana. Global mozna wyrzucic. Ale czemu nie rozumiesz zastosowania tego kodu:

[PHP] pobierz, plaintext 
<?php
http://www.php.net/preg_replace( '%UNION%', '', $akcja);
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
http://mojastron.php?id=10 UNION SELECT TOP 1 TABLE_NAME FROM
INFORMATION_SCHEMA.TABLES--
?>
[PHP] pobierz, plaintext 

Napisany przez: dr_bonzo 28.02.2006, 23:28:36

[PHP] pobierz, plaintext 
<?php
$age = $_GET[ 'age' ]; // pomiijam sprawdzanie czy to w ogole istnieje
$name = $_GET['name' ];
 
$intAge = http://www.php.net/intval( $age )
$strName = mysql_real_escape( $name ); // moglem pomylic nazwe funkcji
$sql = "SELECT some_column FROM users WHERE age = " . $intAge . " AND name = '" . $strName . "'";
?>
[PHP] pobierz, plaintext 

[SQL] pobierz, plaintext 
SELECT some_column 
FROM users
 WHERE age = 0 AND name = 'UNION.... blalbba..--'
[SQL] pobierz, plaintext 

Napisany przez: vedeney 1.03.2006, 08:53:31

Ok! I`ve understand you, But your code didn`t prevent such hack as

Napisany przez: the_foe 2.03.2006, 19:35:09

[PHP] pobierz, plaintext 
<?php
foreach ($_GET as $k=>$v){
	$_GET[$k]=http://www.php.net/preg_replace($preg,"\\1",$v);
}
foreach ($_POST as $k=>$v){
	$_POST[$k]=http://www.php.net/preg_replace($preg,"\\1",$v);
}
foreach ($_COOKIE as $k=>$v){
	$_COOKIE[$k]=http://www.php.net/preg_replace($preg,"\\1",$v);
}
?>
[PHP] pobierz, plaintext 

Have you ever here about  $_REQUEST? No?

Napisany przez: LamaMASTER 5.04.2006, 17:53:33

[PHP] pobierz, plaintext 
<?php
$query = 'update `uzytkownicy` set `pole`="'.$dane.'" where `id`="'.$id.'";';
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
$sql = http://www.php.net/mysql_query("SELECT * FROM news WHERE id=".$_GET['id']);
 
?>
[PHP] pobierz, plaintext 

Napisany przez: Pawel86 5.04.2006, 22:36:28

A takie rozwiazanie:

[PHP] pobierz, plaintext 
<?php
 
 function ParseText(&$Text)
   {
      $Text=http://www.php.net/trim($Text);
      if(http://www.php.net/get_magic_quotes_gpc())
      {
         $Text = http://www.php.net/stripslashes($Text);
      }
      $Text = http://www.php.net/htmlspecialchars($Text, ENT_QUOTES);
      $Text = http://www.php.net/str_replace('\\0','\\\\0',$Text);
      $Text = http://www.php.net/str_replace('\\t','\\\\t',$Text);
      $Text = http://www.php.net/str_replace('\\n','\\\\n',$Text);
      $Text = http://www.php.net/str_replace('\\r','\\\\r',$Text);
      return $Text;
   }
 
   function SecureSuperglobalsTables()
   {
      $this->SecureTable($_POST);
      $this->SecureTable($_GET);
      .....
   }
 
   function SecureTable(&$Table)
   {
      if(!http://www.php.net/is_array($Table)) return false;
      foreach($Table as $Id=>$Row)
      {
         if(http://www.php.net/is_array($Row))
         {
            $this->SecureTable($Table[$Id]);
         }
         else $this->ParseText($Table[$Id]);
      }
   }
 
?>
[PHP] pobierz, plaintext 

Napisany przez: Janek111 16.04.2006, 17:47:42

Mam taki problem:
Jesli uzyje mysql_real_escape_string i jesli jest wlaczone magic quotes to otrzymam przykladowo ze stringu jakis'wyraz, string jakis///'wyraz. Moglbym zrobic tak:

[PHP] pobierz, plaintext 
<?php
 
if(!http://www.php.net/get_magic_quotes_gpc())
   $string = http://www.php.net/mysql_real_escape_string($string);
 
?>
[PHP] pobierz, plaintext 

Napisany przez: J4r0d 29.05.2006, 22:28:55

Cytat(ktuvok @ 14.05.2005, 19:58 )

[PHP] pobierz, plaintext 
<?php
 
function OczyscPost($Zmienna, $Rozmiar)
{
		if (http://www.php.net/get_magic_quotes_gpc())
		{
				$Zmienna = http://www.php.net/stripslashes($Zmienna);
		}
		$Zmienna = http://www.php.net/trim(http://www.php.net/strip_tags(http://www.php.net/str_replace(""", "", $Zmienna)));
		$Zmienna = substr(str_replace("'","", $Zmienna),0,$Rozmiar);
		$Zmienna = sprintf("%s",$Zmienna);
		return $Zmienna;
}
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
function DoCyfry($Zmienna)
{
		$Zmienna = http://www.php.net/intval($Zmienna);
		if(http://www.php.net/is_int($Zmienna))
		{
				return $Zmienna;
		}
		else
		{
				return 0;
		}
}
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
$Nazwisko = OczyscPost($_POST['Nazwisko'], 40);
$ID = DoCyfry(OczyscPost($_GET['ID'], 10));
 
?>
[PHP] pobierz, plaintext 

Napisany przez: em1X 29.05.2006, 22:36:35

A http://www.google.pl/search?q=sql+union to nie potrafisz?

[SQL] pobierz, plaintext 
SELECT * FROM text UNION
SELECT * FROM news
[SQL] pobierz, plaintext 

Napisany przez: J4r0d 29.05.2006, 22:52:27

Próbując podsumować dyskusję, możnaby powiedzieć, że aby zabezpieczyć się przed SQL Injection trzeba filtrować każdą zmienną przychodzącą, czyli:

1. Jeśli spodziewamy się liczby to każdą zmienną traktujemy

[PHP] pobierz, plaintext 
<?php
http://www.php.net/intval($zmienna);
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
http://www.php.net/addslashes($zmienna);
?>
[PHP] pobierz, plaintext 

Napisany przez: Termit_ 3.06.2006, 19:58:56

Wówczas zawsze należy robić dodatkowe confirmy - formularze typu "Czy na pewno chcesz.... [ TAK ] [ NIE ]"

Napisany przez: J4r0d 4.06.2006, 17:53:17

Cytat(Termit_ @ 3.06.2006, 18:58 )

Napisany przez: thornag 28.07.2006, 16:32:02

Wedlug mnie mozesz jedynie sprawdzic czy Id nie jest elementem wyznaczonego przez Ciebie a niedozwolonego zbioru.

Zostaja jedynie confirmy, tutaj wszystko wydaje sie kwestia dostepu. Jesli dasz dostep do tego panelu, to po co meczyc sie ze zmiana URLa skoro wystarczy kliknac No chyba ze kazdy uzytkownik ma inne prawa i innych uzytkownikow ktorych moze edytowac (taka relacja su/admin/sub-admin wtedy wspommniany przezemnie zbior nalezalo by uzaleznic od uzytkowanika.

Napisany przez: eai 2.08.2006, 00:19:08

@J4r0d Bardzo prosto się można zabezpieczyć

Zastosuj sume kontrolną. jakasstrona/usun.php&id=2&checksum=f3sxSdf32vx3sGx

Napisz własny wzór generowania sumy kontrolnej oraz jej sprawdzania.
Np.

[PHP] pobierz, plaintext 
<?php
 
  function checksum ($id) {
 
  return http://www.php.net/substr(http://www.php.net/md5('aXq23' . $id), 1, 3); 
 
  }
 
  if (checksum ($id) == $_GET['checksum']) {
	 // .... Usuwamy itp...
 
	 }
?>
[PHP] pobierz, plaintext 

Napisany przez: Turgon 2.08.2006, 08:37:09

Zgadzam się z Eai. Ja stosuje sumy plus sesje oraz grupy uprawnień. Jeśli użytkownik nie ma odpowiedniego levela odrazu acces denied w głównym pliku administracyjnym. Nie pozwalam nawet dojść do uruchomienia reszty .
Co do tego usuwania adminów to banał jest. Dodajemy do filtrowania requestów :

[PHP] pobierz, plaintext 
<?php
if($_GET['id'] == '1')
{
return false;
}
?>
[PHP] pobierz, plaintext 

Napisany przez: J4r0d 2.08.2006, 15:12:09

Cytat(eai @ 1.08.2006, 23:19 )

[PHP] pobierz, plaintext 
<?php
 
  function checksum ($id) {
 
  return http://www.php.net/substr(http://www.php.net/md5('aXq23' . $id), 1, 3); 
 
  }
 
  if (checksum ($id) == $_GET['checksum']) {
	 // .... Usuwamy itp...
 
	 }
?>
[PHP] pobierz, plaintext 

Napisany przez: eai 2.08.2006, 22:40:56

@J4r0d Przecież to jest jeszcze prostsze

Przykład:

checksum.php

[PHP] pobierz, plaintext 
<?php
 
  function checksum ($id) {
  return http://www.php.net/substr(http://www.php.net/md5('aXq23' . $id), 1, 3); 
  }
 
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
//...
 
include 'checksum.php';
 
 
function foo () { //Jakas tam funkcja generujaca linki do panelu admina bla bla bla...
$row = ...; //Tablica np. wynik z mysql
http://www.php.net/echo 'strona.com?usun=' . $row['id'] . '&checksum=' . checksum($row['id'];
 }
 
 
function delete () {
if(checksum ($_GET['id']) == $_GET['checksum'])  {
 
// Usuwasz
 
}
}
 ?>
[PHP] pobierz, plaintext 

Napisany przez: J4r0d 3.08.2006, 09:01:53

Cytat(eai @ 2.08.2006, 21:40 )

@J4r0d Przecież to jest jeszcze prostsze

Przykład:

checksum.php

[PHP] pobierz, plaintext 
<?php
 
  function checksum ($id) {
  return http://www.php.net/substr(http://www.php.net/md5('aXq23' . $id), 1, 3); 
  }
 
?>
[PHP] pobierz, plaintext 

admin.php

[PHP] pobierz, plaintext 
<?php
 
//...
 
include 'checksum.php';
function foo () { //Jakas tam funkcja generujaca linki do panelu admina bla bla bla...
$row = ...; //Tablica np. wynik z mysql
http://www.php.net/echo 'strona.com?usun=' . $row['id'] . '&checksum=' . checksum($row['id'];
 }
 
 
function delete () {
if(checksum ($_GET['id']) == $_GET['checksum'])  {
 
// Usuwasz
 
}
}
 ?>
[PHP] pobierz, plaintext 

Prościej się wytłumaczyć nie da

Napisany przez: planet_x 3.08.2006, 15:09:20

Co do zabezpieczenia przed SQL Injection znalazłem coś takiego

[PHP] pobierz, plaintext 
<?php
 
	$arrArguments = http://www.php.net/array();
	$intArgumentIndex = 0;
 
	function parseArgument($arrMatches) {
		http://www.php.net/global $arrArguments, $intArgumentIndex;
 
		$strMatch = $arrMatches[0];
		$strArgument = @$arrArguments[$intArgumentIndex++];
		switch ($strMatch) {
			case '%d': return (int)$strArgument;
			case '%s': return '"'.
			  http://www.php.net/mysql_real_escape_string($strArgument).'"';
			case '%b': return (int)((bool)$strArgument);
		}	
	}
 
	function SQL($strSql) {
		http://www.php.net/global $arrArguments, $intArgumentIndex;
 
		$arrArgs = http://www.php.net/func_get_args();
		http://www.php.net/array_shift($arrArgs);
		$arrArguments = $arrArgs;
		$intArgumentIndex = 0;
		return http://www.php.net/preg_replace_callback('/(%[dsb])/', 'parseArgument',
		  $strSql);	
	}
 
?>
[PHP] pobierz, plaintext 

[SQL] pobierz, plaintext 
$sql = SQL('INSERT INTO users (id, uid, name, username, password, newsletter) 
VALUES (NULL, %d, %s, %s, %s, %B)', $_POST['uid'], $_POST['name'], 
$_POST['username'], md5($_POST['password']), $_POST['newsletter']); 
 
INSERT INTO users (id, uid, name, username, password, newsletter) 
VALUES (NULL, 1, "Łukasz \"anAKiN\" Lach", "anakin", 
"97296eca657a093aa379778c237e292d", 1)
[SQL] pobierz, plaintext 

Napisany przez: php programmer 21.08.2006, 11:10:02

Mam zapytanie, które jest brzydkie

[PHP] pobierz, plaintext 
<?php
$query = "DELETE FROM newsy WHERE id=".$_GET['id'];
?>
[PHP] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
$query = "DELETE FROM newsy WHERE id='".$_GET['id']."'";
?>
[PHP] pobierz, plaintext 

Napisany przez: nospor 21.08.2006, 11:25:10

a jak ktos ci w miejsce id zamiast powiedzmy 2, wpisze: 2' or 1=1 to usunie ci wszystko z tabeli.... byla mowa na poczatku tego topicu. jesli id to liczba, to rzutuj ja na liczbe: (int)$_GET['id']. jak nie liczba to slashuj

Napisany przez: php programmer 21.08.2006, 13:05:04

OK. Ale jak mam już zapytanie typu SELECT, np

[PHP] pobierz, plaintext 
<?php
$query = "SELECT * FROM newsy WHERE id=".$_GET['id'];
?>
[PHP] pobierz, plaintext 

Napisany przez: nospor 21.08.2006, 13:08:30

W przypadku mysql za bardzo tak ci nic nie skasuja, gdyz mysql_query pozwala na wykonanie tylko jednego zapytania. ale w przypadku innych baz to moglbys sie zzdziwic.
Pozatym w mysql to ci moga wyciagnac inne dane niz w twoim warunku, wystarczy ze za id dadza: 2 or 1=1
i juz poznaja wszystkie rekordy a nie tylko o danym id.

Przyjmij wkoncu do wiadomosc. Dane nalezy filtrowac, niezaleznie od tego czy ktos moze zaszkodzic czy nie. Naucz sie wyrabiac w sobie dobre nawyki.
Cos ma byc intem: zrzutuj na int. Cos ma byc tekstem: przeslashuj to

Napisany przez: sopel 21.08.2006, 13:25:04

Cytat(php programmer @ 21.08.2006, 14:05 )

[PHP] pobierz, plaintext 
<?php
$query = "SELECT * FROM newsy WHERE id=".$_GET['id'];
?>
[PHP] pobierz, plaintext 

Napisany przez: skowron-line 21.08.2006, 13:45:32

Cytat(nospor @ 21.08.2006, 12:08 )

Napisany przez: nospor 22.08.2006, 08:23:57

Napisany przez: php programmer 23.08.2006, 12:39:00

Kurcze zrobiłem coś takiego:

[PHP] pobierz, plaintext 
<?php
$query  = ($_GET['id']=='') ? 'INSERT INTO formularze SET' : 'UPDATE formularze SET ';
$query .= " name = '".http://www.php.net/mysql_escape_string($_POST['name'])."', date='".$_POST['date']."' ";
if ($_GET['id']!='')
	$query .= ' WHERE id ='.(int)$_GET['id'];
 
$result = http://www.php.net/mysql_query($query) or http://www.php.net/die(http://www.php.net/mysql_error());
?>
[PHP] pobierz, plaintext 

Napisany przez: nospor 23.08.2006, 12:41:56

no musisz przed wyswietleniem uzyc stripslashes. jest to pewien feler...

Mozesz tez zapisywac do bazy przy pomocy htmlspecialchars z dyrektywa ENT_QUOTES. Zapiszesz wowczas encje i nie bedziesz mial \

Napisany przez: sopel 23.08.2006, 13:20:47

używaj prepared statements to w wiekszosci przypadkow nie bedziesz musial sie sie przejmowaniem slashowaniem i odslashowaniem. niestety dostepne dopiero od mysqli i pdo

Napisany przez: free 29.08.2006, 20:33:05

Cytat(MoD @ 27.02.2005, 16:45:48 )

Napisany przez: Vexator 30.08.2006, 06:36:08

przyznam szczerze, ze calego topica nie przeczytalem i moze sie juz pojawilo

jesli chcemy zrobic

[SQL] pobierz, plaintext 
SELECT pole FROM tabela WHERE id=$_GET['id']
[SQL] pobierz, plaintext 

[PHP] pobierz, plaintext 
<?php
 
switch ($_GET['id'])
	{
	case 'a': $szukana=0;
	break;
	case 'b': $szukana=1;
	break;
	default : $szukana=666;
	}
 
$sql = "SELECT pole FROM tabela WHERE id =".$szukana.";";
?>
[PHP] pobierz, plaintext 

Napisany przez: nospor 30.08.2006, 08:13:33

@Vexator z calym szacunkiem, ale przeczytaj jednak ten topic caly, albo przynajmniej strone na ktorej napisales tego posta...
Przeciez ty dales warunek na ID, w bazie mam powiedzmy 1000 rekordow i co, mam walić na kazdego case? Jak ty to sobie wyobrazasz? poroniony pomysl
skoro to ID to wystarczy zrzutowac na int: (int) $_GET['id']
i nikt ci nic nie wrzuci

Napisany przez: free 31.08.2006, 11:33:31

Naklepsza ochroną jest stosowanie sesji z prawami dostepu. W swoich skryptach przed wyslaniem zapytanie do SQL spr czy user ma prawa dostepu, jezeli nie skrypt nie puszcza pasozyda.

Napisany przez: nospor 31.08.2006, 12:02:58

@free ale jak to sie ma do topicu w ktorym uraczyles nas tym postem?
W jaki sposob sprawdzasz czy koles ma prawa? Na podstawie pewnie czy zalogowany, a zeby sie zalogowac to musi wpisac login i haslo i juz w tym momencie moze zrobic ci atak. No chyba ze sprawdzasz czy ma prawa do zalogowania sie

edit: a nawet jak ma prawa to moze chcacy lub niechcacy zrobic cos "źle"

Napisany przez: Blastereq 7.09.2006, 12:27:57

Hmm, mam pytanie, stosuje mod_rewrite w ten sposób :

[HTML] pobierz, plaintext 
RewriteEngine on
RewriteRule ^$ /index.php
RewriteRule ^([0-9a-z]+)$ /$1/
RewriteRule ^([0-9a-z]+)/$ /index.php?p_zmienna=$1
 
RewriteRule ^([0-9a-z]+)/([0-9a-z]+)$ /$1/$2/
RewriteRule ^([0-9a-z]+)/([0-9a-z]+)/$ /index.php?p_zmienna=$1&d_zmienna=$2
[HTML] pobierz, plaintext 

Napisany przez: Rzast 11.09.2006, 15:36:07

Ja bronię się trochę inaczej:
robię zapytanie typu

[PHP] pobierz, plaintext 
<?php
$sql='SELECT id,login FROM baza WHERE haslo="'.http://www.php.net/md5($_POST['haslo']).'"';
$wynik=http://www.php.net/mysql_fetch_row($sql);
if ((http://www.php.net/mysql_num_rows($sql)==1) && ($wynik[1]==$_POST['login'])){
//Zalogowany
$_Session['id']=$wynik[0];
//Dalsze czynności....
}else{
//Jeszcze raz, bo nie udało się. Można ewentualnie wypisać, czy to zły login, czy 
też hasło....
}
?>
[PHP] pobierz, plaintext 

Napisany przez: MatheW 11.09.2006, 16:49:54

Super - sprawdzasz tylko po haśle - więc zakladasz ze kazdy user MUSI miec inne haslo - zle - wybierz po loginie (ktory winien byc unikalny) i potem czy hash hasła = shaszowane wczesniej haslo z bazy.

Napisany przez: Rzast 12.09.2006, 07:58:38

@MatheW: Właśnie chodziło mi o to, żeby nie dopuścić do bazy danych zawartości $_POST['login']. Bezpieczne jest zhaszowane hasło

Racja, nie wpisałem ostatniej modyfikacji....

[PHP] pobierz, plaintext 
<?php
$sql='SELECT id,login FROM baza WHERE haslo="'.http://www.php.net/md5($_POST['haslo']).'"';
$wynik=http://www.php.net/mysql_query($sql);
if (http://www.php.net/mysql_num_rows($wynik)>=1){
  $ok=true;
  while (($dana=http://www.php.net/mysql_fetch_row($wynik))&&($ok==true)){
	if ($dana[1]==$_POST['login'])){
	  //Zalogowany
	  $ok=false;
	  $_Session['id']=$wynik[0];
	  //Dalsze czynności....
	}
  }
}else{
  //złe hasło
}
?>
[PHP] pobierz, plaintext 

Napisany przez: MatheW 26.09.2006, 16:37:19

Napisany przez: Rzast 28.09.2006, 10:24:12

MatheW: Przyjżałeś się? Ale tak naprawdę uważnie?
Piszesz:

[PHP] pobierz, plaintext 
<?php
if (http://www.php.net/mysql_num_rows($wynik)>=1){//jeżeli jest jakiś user (userzy) o takim haśle...
  $ok=true;  //ustaw zmienną pomocniczą 
  while (($dana=http://www.php.net/mysql_fetch_row($wynik))&&($ok==true)){// dekoduj wynik z bazy dopóki pomocnicza prawdziwa
	if ($dana[1]==$_POST['login'])){  //jeżeli jest taki login to...
	  //Zalogowany
	  $ok=false;  //skasuj pomocniczą
	  $_Session['id']=$wynik[0]; //ustaw sesję
 ...itd
?>
[PHP] pobierz, plaintext 

Napisany przez: eai 29.09.2006, 09:26:34

To jest bez sensu... a jeśli w bazie masz założymu 1 000 000 userów gdzie 10 000 na takie same hasło... Wtedy zalogowanie jednocześnie 1 000 userów, obciąży serwer. Po co tak robić?

Lepiej zrobić tak:
Login: [A-Za-Z0-9_-]
Hasło: tu już dowolnie i tak hasło trzymamy w bazie jako md5, wiec dodanie jakichkolwiek znaków ' " które mogłby by spowodować zmiane zapytania nic tu nie dadzą.

Po co sobie utrudniać życie i kombinować?

Napisany przez: paziek 29.03.2007, 20:20:36

Witam,

Czytam wątek już drugi raz (pierwszy raz ok. 3 miesiące temu, kiedy php to było dla mnie jeszcze nowość) i dalej nie jestem pewien co do sposobu zabezpieczenia.


Do tej pory używałem ctype_digit() do liczb, oraz htmlspecialchars() do reszty.
Ogólnie to wolałbym używać zamiast htmlspecialchars() funkcję addslashes(), ale kilka postów zamieszczonym na tym forum skutecznie zniechęciło mnie do niej. A mianowicie teksty typu: "A ja podwójnie robię addslashes", jakieś wyrażenia regularne, cuda nie widy..

Czy istnieje możliwość na 'obejście' addslashes()? Tzn przekazać do zmiennej nie wyeskejpowany cudzysłów (podwójny czy pojedyńczy) ?


ps. addslashes() dlatego, że zauważyłem iż MySQL wykonuje swego rodzaju stripslashes() na przychodzących danych, więc oszczędza to miejsce i nie trzeba dekodować później danych z wartości html'owych.


I o co chodzi z tym poruszeniem na temat UNION?
Przeczytałem artykuł http://www.really-fine.com/SQL_union.html i mniej więcej wiem na czym to polega..
Jeśli wyeskejpuje zmiennę lub sprawdze czy są liczbowe, to powinienem być bezpieczny przed tym, racja?



Nie potrzebuję alternatyw do wspomnianych funkcji (czytać manuala potrafię ) , jedynie potwierdzenie od kogoś doświadczonego, czy addslashes() to 100% zabezpieczenie przed cudzysłowiami (nie SQL Injection).
Oczywiście, post Nospora polecający używanie addslashes() przy zmiennych tekstowych daje mi 99% pewności, iż to tylko moja paranoja, ale ten 1% to o 1% za dużo niepewności


Swoją drogą, czy składnia typu

[PHP] pobierz, plaintext 
<?php
"SELECT * FROM table WHERE cos = '".$_POST."'";
?>
[PHP] pobierz, plaintext 

Napisany przez: Jarod 29.03.2007, 21:18:38

Cytat(paziek @ 29.03.2007, 19:20:36 )

Napisany przez: paziek 29.03.2007, 21:52:15

Jarod: Dzięki ale nie dzięki ;o

Po pierwsze, cytujesz fragment postu i odpowiadasz na ten fragment (nawet jak by go wyjąć z kontekstu) czymś zupełnie innym :/ Zadatki na polityka tutaj widzę

Po drugie, tak jak napisałem, nie potrzebuje alternatywy do wspomnianych funkcji, ani gotowego rozwiązania na SQL Injection, koduje swoje aplikacje 'w miarę potrzeb' i potrafię posługiwać się manualem oraz goglami.
Przeczytałem już tyle artykułów oraz postów na forum, że wiem wystarczająco dużo na ten temat.



Chciałem się tylko dowiedzieć, czy istnieje jakiś bug, dziura, sposób, cokolwiek w funkcji addslashes(), który umożliwiłby wprowadzenie do zmiennej nie wyeskejpowanego cudzysłowia, bo nieco zwątpiłem w tą funkcję, zapewne nadinterpretacją kilku postów. To (prawie) wszystko.


Jakiś .. chakier się wypowie?

Napisany przez: akubiczek 6.04.2007, 13:14:58

Tak, istnieje taki bug. Nazywa się on:

$slashedVar=str_replace('\"','"',addslashes($sourceVar));

Tylko to programista musiałby go popełnić.. Moim zdaniem, masz faktycznie paranoję


I na koniec: Jarod dobrze ci napisał - do escepowania zmiennych, które umieszczasz w zapytaniu SQL służy mysql_real_escape_string().

I na drugi koniec: ani addslashes() ani htmlspecialchars() nie służą do tego, do czego próbujesz je użyć (patrz punkt wyżej). htmlspecialchars() stosujesz w momencie wyświetlania treści na stronie, aby zabezpieczyć się przed złośliwym działaniem właśnie na poziomie przeglądarki (HTMLa) a nie bazy.

Napisany przez: L00zak 27.04.2007, 23:41:16

php5, pdo i podpinanie, a skończą się wam problemy z addslashes(), mysql_real_escape_string() i magic_quotes

Napisany przez: radex_p 6.05.2007, 17:53:23

Czy ktoś, kto się na tym zna może mi odpowiedzieć:

Jest tu wiele sprzecznych wypowiedzi

I czy "mysql_escape_string" w całkowicie wyklucza możliwość przeprowadzenia ataku SQL Injection, czy konieczne są jakieś modyfikacje zapytań (jak w pierwszym poście)? I proponuję administracji posprzątać temat, bo po przeczytaniu nic mi się kupy nie trzyma:P

Napisany przez: Jarod 6.05.2007, 17:57:26

Stosuję mysql_escape_string + filtrowanie danych i moim zdaniem jest to w zupełności bezpieczne.

A przy okazji jak filtrować na poziomie postgresql'a?

EDIT: @radex_p - bo nie znalazłem odpowiednika dla postgresql'a

Napisany przez: radex_p 6.05.2007, 19:15:35

skoro mysql_escape_string (nie licząc standardowych procedur filtrujących) jest good, to czemu nie użyć podobnej funkcji przeznaczonej dla postgre'a, lub PHP'owskiej wbudowanej?

Napisany przez: sopel 7.05.2007, 00:05:09

są sytuacje kiedy da się ją obejśc, nie jest tajemnicą że najlepiej stosować tzw. prepared statements. więcej: http://ilia.ws/archives/103-mysql_real_escape_string-versus-Prepared-Statements.html

Napisany przez: orglee 12.05.2007, 17:08:15

Witam.
Przeczytałem ten temat dwa razy. Dwa razy dostałem oczopląsu i palpitacji serca.
Temat niby jeden, ale skaczecie od wątku do wątku. Oszaleć można.
Postaram się w skrócie podsumować poprzednie wypowiedzi, zanim przejdę do swojego pytania,
jako że poprzednie podsumowania ułatwiły mi czytanie tego wątku.

1. Należy sprawdzać czy liczba jest liczbą, to znaczy że jeśli przesyłamy urlem id rekordu z tabeli musimy sprawdzić czy jest on liczbą.
2. Dodawanie ukośników przez addslashes() lub mysql_real_escape_string() w zmiennych typu string.
(Z tekstu tutaj wyczytałem że mysql_real_escape_string() robi to lepiej. Czy tak jest i dlaczego ?)
3. Ostatnim problemem z SQL-Injection jakiego zdołałem się tutaj doczytać jest słowo kluczowe SQL 'UNION'
dzięki któremu można pobrać więcej danych.

W mojej opinii nie należy trząść portkami przed UNION jeśli zamiast gwiazdki po SELECT wypisuje się nazwy pól które chce się pobrać z tabeli. Jeśli się mylę poprawcie mnie.

Moje pytanie(oprócz tego w punkcie drugim):
Chciałbym się dowiedzieć jak mam usunąć ze zmiennej wszystkie spacje nie tylko te z przodu i z tyłu - trim()
Mam z tym problem bo spacje można zapisać jeszcze w inny sposób niż ' ' a ja niestety na tych metodach zapisu się nie znam.

Poniżej przedstawiłem swoją metodę dodającą do łańcucha znaków wsteczne ukośniki.
Prosiłbym o jakieś komentarze czy jest ona bezpieczna i czy zamiast addslashes powinienem zastosować mysql_real_escape_string()