[php] przekazywaine parametrow w URL Opcje

[hhg]

z tego co wiem przekazywanie parametrow w URL

Kod

storna.pl/podstrona.php?parametr1=wartosc1

jest niezbezpieczne (np PHP injection)

czy przed tym wystarczy zabepieczenie:

[PHP] pobierz, plaintext 
<?php
switch ($_GET['parametr1']) {
 
case 'podstrona1.html':
operacje na wartosci..
case ....
 
}
?>
[PHP] pobierz, plaintext 

? jak sie zabezpieczyc przed takimi url-atakami?

[tsharek]

Witam,

Może się mylę, ale wystarczy rzutowanie lub sprawdzanie typów + nie używanie EVALa czy innej funkcji wykonującej coś ze stringa (SYSTEM, EXEC) ze zmiennych hyperglobalnych. W Twoim przypadku dodałbym jednego ifa:

[PHP] pobierz, plaintext 
<?php
if(!isset($_GET['parametr1'] || !is_string($_GET['parametr1'])) $_GET['parametr1']='';
 
switch ($_GET['parametr1']) {
 
case 'podstrona1.html':
operacje na wartosci..
case ....
 
}
?>
[PHP] pobierz, plaintext 

żeby nie otrzymywać warningów o niezgodnści typów jak ktoś wyśle

Kod

storna.pl/podstrona.php?parametr1['ble']=wartosc1

Pozdrawiam,
tsharek

[hhg]

czyli atak przez to jest niemozliwy??

[fredzio90]

jeżeli wartościami są TYLKO liczby to polecam taki sposób:

[PHP] pobierz, plaintext 
<?php
if(intval($_GET['parametr1'])) {
switch ($_GET['parametr1']) {
 
case 'podstrona1.html':
operacje na wartosci..
case ....
 
}
}
?>
[PHP] pobierz, plaintext 

albo ogólne zabezpieczenie:

[PHP] pobierz, plaintext 
<?php
if (preg_match("/union|select/i", strtolower($_SERVER['REQUEST_URI']))) {
die('System wykrył obecność nieprawidłowej zmiennej w adresie URL. Prawdopodobnie pró
ba włamania się do systemu.' );
}
?>
[PHP] pobierz, plaintext 

Ten post edytował fredzio90 29.08.2007, 14:26:01

[PanGuzol]

addslashes()" title="Zobacz w manualu PHP" target="_manual

[tsharek]

jeżeli wartościami są TYLKO liczby to polecam taki sposób:

[PHP] pobierz, plaintext 
<?php
if(intval($_GET['parametr1'])) {
switch ($_GET['parametr1']) {
 
case 'podstrona1.html':
operacje na wartosci..
case ....
 
}
}
?>
[PHP] pobierz, plaintext 

Takie coś CI wogle nie zadziała, bo w w casie masz stringa.

albo ogólne zabezpieczenie:

[PHP] pobierz, plaintext 
<?php
if (preg_match("/union|select/i", strtolower($_SERVER['REQUEST_URI']))) {
die('System wykrył obecność nieprawidłowej zmiennej w adresie URL. Prawdopodobnie pró
a włamania się do systemu.' );
}
?>
[PHP] pobierz, plaintext 

addslashes()

A to raczej odnosi się sqlinjection, a najleprzym sposobem na zabezpieczenie przed tym są jednak funkcje z *_escape_string

[hhg]

Takie coś CI wogle nie zadziała, bo w w casie masz stringa.

to bylo schematycznie

Kod

inval(); instrukcje

hmm a jezeli ktos wstawi w $_GET['zmienna'] np schemat:

Kod

3 ); $sql="DROP TABLE USERS" ... funkcja(

to będzie

Kod

intval(3); $sql="DROP TABLE USERS" ... funkcja()

[tsharek]

ojejku.. a czemu miało by tak niby być? chyba nie rozumiesz zasad działania języka PHP. Jeżeli nie użyjesz funkcji eval to nigdy nic nie zdziałasz wpisując niewadomo co w $_GET/$_POST/$_COOKIE