PHP | אבטחה.

[ASTeam]

** אני יודע שכבר נתתי אשכול לפני כמה חודשים בנושא, אבל עכשיו שאני יודע יותר מאז הייתי רוצה לפתוח שנית. **
ככה אני בונה מערכת CMS והיא לא מאובטחת בכלל....
אז החלטתי לאבטח אותה... עברתי על מדריכים באינטרנט ומה שאמרתם לי אז(שלא הבנתי מילה וחצי..)
והגעתי לכך -
יש לאבטח GET - (במקרה שלי הוא רק מס') ע"י שימוש בintval
במקרה והוא טקסט אז לעשות עם באס במידה וגט = X אז אינקלוד X(לא היה לי כח לרשום..חח)
הגנה מפני זריקות SQL ו- JS - לגבי SQL זה mysql_escape_string() . השאלה היא איפה אני שם אותה?בהתחברות?בהצגה??
לגבי JS לא מצאתי כלום לגבי זה...ממש כלום...יש פונקציה או משהו כזה?
הגנה מפני קוד HTML(לא היה לי שם אחר..) - htmlspecialchars זהו?
הגנה מפני זריקות XSS - לא מצאתי כלום לגבי זה....רק עם העלאת תמונות..(במערכת העלאת תמונות יש לבדוק שזה באמת תמונה ולא טקסט..)
חסימת בוטים זדוניים, מנגנון נגד הצפנות ופינגים - כלום, כלום, כלום..(תאמתלא ידעתי מה לחפש ניסתי כל מיני אפשרויות ולא הוציא לי כלום...)

יש מצב שאתם עוזרים לי?
(לסיכום השאלות - לגבי ה-SQL|HTML|GET - מספיקה האבטחה שעשיתי?
לגבי JS|XSS|בוטים|פינגים|הצפנות - איך אני מאבטח?יש פונקציה?)

תודה רבה..
(אין צורך להביא קוד...רק פונקציה או תיאור כללי..)
אביחי

[4ior]

תראה לגבי האבטחה הראשונית, לא הבנתי מה אמרת שאם זה דף..
במקרה שזה דף אז אמורה להיות לך רשימה של דפים ואז אתה מחפש את הדף שם ואם הוא לא קיים אז תעשה משהו..

בקשר לדברים האחרים. איך לא מצאת?
XSS: http://sandsprite.com/Sleuth/papers/...rld_XSS_2.html
Brute Force: http://www.webhostgear.com/240.html
בקשר לבוטים אתה יכול לעשות תמונת אבטחה-שצריך להקליד את המספרים שבתמונה..
ובקשר לjavascript. תחשוב בהיגיון-מה javascript יכול לעשות?
נגיד יש לך input type="hidden" והvalue שם זה נגיד id של משהו או סיסמה או לא יודע מה.
מישהו רואה את זה בקוד מקור ופשוט משנה עם פונקציית Javascript פשוטה. תחסום דברים כאלה.

[mlnn]

אבטחה זה דבר פשוט.
כל קלט שאתה מקבל, תוודא שזה בדיוק מה שצריך.

[Daniel]

"הגנה מפני זריקות SQL ו- JS - לגבי SQL זה mysql_escape_string()"

$_POST['string'] = mysql_real_escape_string($_POST['string']));

[ASTeam]

דניאל - אני יודע את זה..שאלתי אם יש עוד משהו..
mlnn - חח אבל איך עושים את זה?
ליאור תודה... לגבי הXSS איפה שותלים את זה...אפשר גם בושרת הכתובות?
מה זה - Brute Force ? באנגלית brute זה חייה, פרא..מה הקשר?כאילו מה הביטוי
לגבי JS ואיך אני חוסם את זה?אין פונקציה שתעזור לי?

תודה רבה..
לשאר הדברים?

[Reality]

נכתב במקור על ידי ASTeam

דניאל - אני יודע את זה..שאלתי אם יש עוד משהו..
mlnn - חח אבל איך עושים את זה?
ליאור תודה... לגבי הXSS איפה שותלים את זה...אפשר גם בושרת הכתובות?
מה זה - Brute Force ? באנגלית brute זה חייה, פרא..מה הקשר?כאילו מה הביטוי
לגבי JS ואיך אני חוסם את זה?אין פונקציה שתעזור לי?

תודה רבה..
לשאר הדברים?

קח דוגמא למשל יש למישהו סיסמא 1234
כוח ברוטולי יבדוק את כל הסיסמאות מ 0000 עד 9999 למשל (אתה בוחר את הסיסמאות)
שיטת פריצה "טיפשה".

[ASTeam]

אוקי, תודה הבנתי..
אני לא רוצה לסטות מהנושא אבל במדריך שהובא נכתב שהוא מתאר פריצות נגד FTP וכמעט ולא נוגע במערכות ווב...
אז זה לא הכי רלוונטי..נכון?

[Daniel]

פשוט תבדוק, אם מישהו מתחבר יותר מ-5 פעמים וטועה, אז זה חוסם את ה-IP לרבע שעה.

[ASTeam]

דניאל תודה..כן חשבתי על זה אבל-
איך אני עושה את זה?(לגבי ההתחברויות)מלבד שימוש במסד..(או קוקיז..)..
מה לגבי שאר הדברים?
תודה מראש.

[mlnn]

אוקי אז ככה.
XSS:
זה בדרך כלל בתיבות חיפוש, שלאחר מכן אתה מציג: "תוצאות עבור X" כשX זאת המילה שחיפשת. עכשיו אם לא תוודא שהכניסו רק טקסט יוכלו להכניס גם תגי HTML ובסופו של דבר יכולו לעבוד על משתמש אחר ולגנוב לו את העוגיה.

הזרקות SQL:
כל מידע שאתה מקבל ומבצע שאילתה, לדוגמא בחיפוש או כשאתה בודק אם העוגיה נכונה. אז תבדוק שכל הנתונים האלו הם רק מספרים או רק אותיות ומספרים, ובלי כל שאר הדברים. ככה לא יכולו לדפוק לך את השאילתה.

ספאם:
הכי טוב תיצור את התמונה הזאת עם האותיות, שצריך להכניס ביד מה שכתוב. וזהו.
מישהו פה אמר משהו ברוט פורס, התמונה מגנה גם מזה.. [הרי צריך לראות את התמונה..].

פריצות FTP:
תשתמש בסיסמה קשה, כל השאר זה כבר אחריות של בעל השרת לשכור מתחזקים ומאבטחים שישמרו על מערכת עדכנית.

**העלאת קבצים:
אם אתה מעלה רק תמונות, יש לך פוקנציה לא רעה exif_imagetype.
אם זה שאר הקבצים, תבדוק קודם לפי סיומת.
בכל מקרה, תיצור תקייה שאליה כל הקבצים יועלו, ובתקייה בעזרת htaccess תחסום קבצי PHP, כך שגם אם יצליחו לעלות קובץ PHP לא יצליחו להפעיל אותו.