[מדריך] PHP - אבטחת נתונים למתחילים
יש מספר אנשים אשר לא ממש יודעים איך להגן נגד פירצות.
אני אנסה להסביר לכם הפעם איך להתגונן נגד פרצות כמו LFI\RFI CSRF XSS SQL INJECTION אז בוא נתחיל? LFI\RFI קודם כל מה זה? LFI\RFI זה כאשר המשתמש(הפרוץ כביכול) עושה שימוש בInclude פריץ אצלכם באתר בכדי להגיע לקובץ מסוים לדוגמה. אם האתר מקבל מידע מדפים על ידי שהוא מבצע את הדבר הבא:http:/www.yoursite.co.il/index.php?act=main.php אנו רואים כי האתר מקבל מידע מן הקובץ main.php, כלומר שאם נשנה את הmain.php בקובץ לhttp://www.google.com>התוכן של האתר יהיה הדף של גוגל. השיטה הכי פשוטה להתגונן נגד הדבר הזה היא לא לעשות שימוש בINCLUDE שמתקבל ישר משורת הכתובת בלי לעבור בדיקה! עדיף להשתמש בswitch ולהגדיר case לכל אחד מהדפים ואז לבצע INCLUDE כלומר: PHP קוד:
CSRF מהו CSRF, זה כאשר משתמש שולח מידע מזויף לקובץ עיבוד הטופס שלכם. כלומר אם יצרתם טופס הרשמה עם השדות: שם משתמש, סיסמה ואימיל המשתמש. אך הנתונים בטופס נשלחים לקובץ חיצוני אשר מעבד את הנתונים ומכניס אותם למסד המשתמש מגלה את שם הקובץ המעבד. יוצר טופס מזויף עם פרטים שהוא רוצה ופשוט שולח אותו לעיבוד נתונים. מה שבצעם גורם זה שהמשתמש באותה המידה יכול להכניס טופס לא גלוי שברגע שהקורבן יכנס לאותו דף ישלח למקום כלשהוא איזה מידע שהוא רוצה. הדרך הכי טובה להתגונן נגד זה זה לבצע בדיקה פשוטה: האם ה PHP קוד:
XSS מהו XSS? זוהי הזרקה אשר מנצלת מקומות פגיעים בקוד להזריק קוד HTML זדוני בכדי לפגוע באתר. למשל אם המשתמש רוצה הוא יכול להזריק שורת חיפוש שתוכנה הוא קוד זדוני. הדרך הטובה ביותר למנוע את זה היא למחוק בעזרת פונקציות מובנות בPHP את הטאגי HTML שמכילה המחרוזת, להמיר את הסמלים המיוחדים בHTML. עושים זאת כך: PHP קוד:
SQL INJECTION הדרך הכי נפוצה והכי פשוטה יחסית לפריצת אתרים. איך מזהים SQL INJECTION? דבר ראשון בודקים אם הדף ניהיה לא תקין כלל אם נותנים ערך שלא הגיוני כמו -1 לID מה הכוונה לדוגמה ויש לכם מערכת מאמרים, אתם רוצים רוצים לקבל את תוכן המאמר על פי הID שנמצא בשורת הכתובת http://www.yoursite.co.il/article.php?id=1 מה ש"האקר" ינסה לעשות זה לתת ערך -1 ולראות עם הדף יהרס. אם כן הוא יודע שיש פגיעה ולאחר מכן ינסה להכניס את תוכן הSQLI שלו. בכדי להגן על ערכים מספרים הכי ממולץ לבצע את הדבר הבא: PHP קוד:
אם הבדיקה נכשלה תבוצע פקודת die. בכדי לאבטח ערכים שהם מחרוזות משתמשים בשלוש פונקציות, אחת להסיר חלקים זדונים של HTML מהדף, השנים האחרות להסיר חלקים של XSS מהדף(הרי אנחנו לא רוצים שיהיה שניהם אה?) עושים זאת ככה: PHP קוד:
זהו, הינה כמה טיפים ממני. תהנו! (תגובה לא עולה כסף :P) |
כתבה טובה :) כל הכבוד על ההשקעה!
מספר המלצות: ציטוט:
|
יפה, מדריך שיכול לעזור מאוד :)
ותן קצת קרדיט על ה-SQLI.. |Rolleyes| ובקשר ל-$_SERVER['HTTP_REFERER'], זה לא ממש מומלץ להשתמש בזה סתם ככה, כי זה יכול לגרום בעיות אם למשל שינית דומיין או אם אתה עובד עם כל כתובות אחרות שיכולות להשתנות. בגדול עדיף אבטחה עם מסד או קוד CAPTCHA, אבל אם בכל זה מחליטים להשתמש בכתובת המפנה, אני ממליץ להשתמש בפונקציה הזו: http://php.net/manual/en/function.parse-url.php אבל כאן עדיין יש חור, במקרה שהבנאדם ישים על השרת שלו את אותה הכתובת, ולכן, הנה קוד סופי: PHP קוד:
PHP קוד:
עריכה: בהמשך למה שזה שמעליי אמר, בשביל לבדוק אם הערך מספרי בשיטה הכי תיקנית אפשר להשתמש בביטוי רגולארי פשוט: PHP קוד:
|
ציטוט:
אני נותן טיפים לא מדריך חח. ציטוט:
לגבי השאר זאת אבטחה בסיסית לחלוטין, אין לאף אחד שימוש כאן לעשות באבטחה מושלמת אנשים כאן בונים דברים פשוטים ואני נותן טיפים לאנשים שמתחילים רק. אם זאת הייתה קהילה של מתכתנים שבונים מערכות יקרות שצריכות אבטחה יותר טובה הייתי משחרר כבר פונקציות הגנה. |
מה זה קשור? אם אלו אנשים מתחילים אז זה בסדר אם הם לא יאבטחו את האתרים שלהם כמו שצריך? ועל מה אתה אומר מה פתאום?
|
ציטוט:
ותאמין לי שהאבטחה הזאת מספיקה היטב. היא מונעת SQLI כמו שצריך ואת שאר החרא. כל עוד אתה לא תשכח לעשות בהן שימוש הכל יעבוד כמו שצריך. |
ציטוט:
|
ציטוט:
|
אינעל העולם, אנשים פה לא יודעים להודות שהם טעו.. אז לך תשבור תראש עם מה שאמרת..
|
ציטוט:
CAPTCHA בכלל לא מיועד לפתירה של XSRF/CSRF אפשר להשתמש בזה לזה.. אבל על כל טופס באתר תמקם CAPTCHA? בנוסף - אין שום סיבה לא להשתמש ב REFERER - רק קח בחשבון שזה לא חובה שדפדפן ישלח REFERER וגם כל אחד יכול לשנות אותו בהתאם למצב רוח |
למה לא? הוא מיועד למניעת הצפות בעיקרון, אבל מה הבעיה להשתמש בזה גם לזה? זה כמו שביטוי רגולארי לא נועד דווקא בשביל לבדוק האם המשתנה הוא מספר, אלא לדברים מסובכים יותר כמובן, אבל אפשר. וזה לא מזיק.
ואיפה אמרתי שא"א להשתמש בREFERER? אמרתי שאם כבר משתמשים, אז לעשות בצורה שנתתי, שזה לפחות מוריד את הרמה של הפירצות. |
כבוד על ההשקעה אבל הקודים שלך ממש לא חכמים...
PHP קוד:
PHP קוד:
PHP קוד:
|
לגבי הCSRF אין לי מושג מה זה,אבל לפי התיאור שנתת,הפיתרון הוא לא הכי טוב,מכיוןן שאם כבר מישהו שולח בקשה ידנית לקובץ שמבצע את הפעולות,אז הוא בקלות יכול להוסיף HEADER של הREFFER ואז אתה תחשוב שזה בא מהקובץ המקורי,כך שלא פתרת את הבעיה
|
מדריך נחמד , התעלמת לגמרי מ 2 דברים
1. מאד חשוב , register_globals = on יכול לגרום לפרצות אבטחה מאד חמורות 2. magic_qoutes צריך לוודא שהוא OFF ואם הוא ON אז לעשות STRIP_SLASH על הכל כי אז זה עושה צרות עם ה ESCAPE שפשוט תקבל סלאשים כפולים וכאלה... לגבי הפתרונות הם מתאימים למקרים הבסיסיים אבל אם לדוגמא יש לך עורך WYSIWYG אז אתה לא בדיוק יכול לעשות STRIP_TAGS.... יש עוד כמה נושאים באבטחה שלא נגעת בהם , אבל זה טוב להתחלה כל הכבוד.... |
PHP קוד:
פשוט תעשו INCLUDE בעמודים בהם יש חשש.. או תעשו INCLUDE כולל על ידי הכנסת העמוד הזה כ INCLUDE בתוך ה CONFIG (בהנחה שאתם עשיתם INCLUDE לקובץ הCONFIG שלכם בכל האתר) |
ציטוט:
ציטוט:
ציטוט:
בכמובן שאם תשתמש בstrip_tags זה ידפוק את התוכן של WYSIWYG לכן צריך גם קצת לדעת מתי להשתמש. |
כל הכבוד על הכוונות הטובות והנסיון לעזור, זה משהו שיכול לעזור לכל מי שבתחילת דרכו.
יישר כוח ! |
כל הטיפים האלה מתרכזים לאותה נקודה, פשוט לא להסתמך על המשתמש (מוזר שרק דילרים וחנונים קוראים ללקוחות שלהם ככה אבל בסדר) בנוגע לשום דבר. כלומר, כל דבר שנכנס אליכם למערכת, כמו שאני מקווה שאתם עושים בחיים, בודקים בקפדנות ומסננים. KEEP IT SIMPLE
|
איזה שטויות.
בואו נתחיל מזה שברוב המקרים הפריצות יהיו לשרת עצמו ולא למערכת, משום שקשה מאוד לזהות פרצות אבטחה במערכת שלא ציבורית. חשוב לחסום שטויות, לכתוב קוד מסודר ונכון, ולבצע הברחה ואימות נתונים מול סוג נתונים. כל השאר יבוא לבד |
ציטוט:
ותתפלא, רוב ה"מתכנתים" בישראל(אלו שחושבים את עצמם אבל לא באמת מתכנתים) לא עושים גם את זה. |
לדעתי כל מי שכותב בחתימה שלו "בברכה" ודברים דומים, והוא מתחת לגיל 25 בערך.. חושב את עצמו. ולא רק בתיכנות, בהכל. או שהוא סתם חנבץ. הסבר: רק חנבצים-תולעות-ספרים או אנשים רציניים (באמת) מדברים ככה, כל השאר סתם רוצים להראות רציניים וחושבים שזה מה יעשה אותם לכאלה.
|
ציטוט:
|
כל הזמנים הם GMT +2. הזמן כעת הוא 00:43. |
מופעל באמצעות VBulletin גרסה 3.8.6
כל הזכויות שמורות ©
כל הזכויות שמורות לסולל יבוא ורשתות (1997) בע"מ