איך לשפר את האבטחה באתר?

[HOLD]

כרגע זה הקוד שמאחזר נתונים:

PHP קוד:

$Id = $_GET['id'];
if(!ctype_digit($Id)) header('Location:404.php') or die;
$Id = mysql_real_escape_string($Id);
$result=mysql_query("SELECT Name,Date,Text FROM Users WHERE Id=".$Id,$link); 


האם יש כאן חור אבטחה?

קראתי איפשהו על איזה שיטה שאתה מכניס משתנים עם סימני שאלה, כדאי לשנות לזה? מישהו מכיר?

תודה.

[~The_Sultan~]

מה זה $link?
ואתה יכול לעשות דבר כזה לדעתי:

PHP קוד:

$Id = $_GET['id']; 
if ((!is_numeric($Id)) || ($Id <= 0))
   header("Location: 404.php");

$Id = mysql_real_escape_string($Id); 
$result=mysql_query("SELECT Name,Date,Text FROM Users WHERE Id=".$Id,$link); 


זה פשוט בודק אם ID זה מספר בעזרת הפונקציה is_numeric, וכמובן שה-AUTO INCREMENT של תאי ID לא יכול להיות 0 או מינוס לכן זה בודק גם את זה.

[HOLD]

נכתב במקור על ידי ~The_Sultan~

מה זה $link?
ואתה יכול לעשות דבר כזה לדעתי:

PHP קוד:

$Id = $_GET['id']; 
if ((!is_numeric($Id)) || ($Id <= 0))
   header("Location: 404.php");

$Id = mysql_real_escape_string($Id); 
$result=mysql_query("SELECT Name,Date,Text FROM Users WHERE Id=".$Id,$link); 


זה פשוט בודק אם ID זה מספר בעזרת הפונקציה is_numeric, וכמובן שה-AUTO INCREMENT של תאי ID לא יכול להיות 0 או מינוס לכן זה בודק גם את זה.

תודה.
(אם מישהו רוצה להוסיף או משהו הוא מוזמן.)

[RS324]

$id = intval($_GET['id']

יהפוך אותו להיות מספרי ואם יכניסו שם שטויות הוא יהפוך להיות 0

[Daniel]

בקוד שהבאת יש חור אבטחה רציני.

header לא מבטל את פעולה הסקריפט. הדפדפן יכול "להתעלם" מה-Location, וכמובן - העיבוד ימשך. הדרך שבה אתה מזהה היא בסדר לחלוטין. אפשר גם להשתמש ב-intval, אבל שימוש ב-ctype_digit והפנייה לדף שגיאה נחשב עדיף - רק לא לשכוח לשים exit; / die(); אחרי ה-header

[רומן]

עדיף לך לבדוק בדרך הזו:

PHP קוד:

if((int) $id > 0) 


[Shay Ben Moshe]

אני רואה שתי אופציות חכמות, אחת להמיר את המשתנה לint (עדיף על ידי casting ולא על ידי intval, הרבה יותר מהיר) מה שחוסם לחלוטין את האופציה להכניס משתנה לא תקין. האופצייה השנייה היא לוודא תקינות בעזרת is_int וזהו.
אופציה 1:

PHP קוד:

$Id = (int)$_GET['id'];
$result=mysql_query("SELECT Name,Date,Text FROM Users WHERE Id=".$Id,$link); 


אופציה 2:

PHP קוד:

$Id = $_GET['id'];
if(!is_int($Id)) {
    header('Location:404.php');
    die;
}
$result=mysql_query("SELECT Name,Date,Text FROM Users WHERE Id=".$Id,$link); 


[HOLD]

נכתב במקור על ידי MasterT

בקוד שהבאת יש חור אבטחה רציני.

header לא מבטל את פעולה הסקריפט. הדפדפן יכול "להתעלם" מה-Location, וכמובן - העיבוד ימשך. הדרך שבה אתה מזהה היא בסדר לחלוטין. אפשר גם להשתמש ב-intval, אבל שימוש ב-ctype_digit והפנייה לדף שגיאה נחשב עדיף - רק לא לשכוח לשים exit; / die(); אחרי ה-header

אם אני עושה ככה:

PHP קוד:

header('Location:404.php') or die; 


זה מונע מהדפדפן להתעלם? או שצריך לרשום את ה-die שורה מתחת?

תודה לכל המגיבים.

[~The_Sultan~]

ההבדל בין הפעולה exit ל-die() זה ש-exit מסיימת את פעילות הצד שרת ו-die() מסיימת אותה עם אפשרות לביצוע פעולה כלשהי. אני חושב שאתה יכול לעשות פשוט ככה:

PHP קוד:

die(header("Location: 404.php")); 


גם מה שאתה כתבת אמור לעבוד.

[HOLD]

נכתב במקור על ידי MasterT

בקוד שהבאת יש חור אבטחה רציני.

header לא מבטל את פעולה הסקריפט. הדפדפן יכול "להתעלם" מה-Location, וכמובן - העיבוד ימשך. הדרך שבה אתה מזהה היא בסדר לחלוטין. אפשר גם להשתמש ב-intval, אבל שימוש ב-ctype_digit והפנייה לדף שגיאה נחשב עדיף - רק לא לשכוח לשים exit; / die(); אחרי ה-header

איך אני יכול להתעלם מה-location?
ואם אני משתמש ב-or die() זה שקול לזה שאני ארשום die() שורה מתחת? או שיש בזה חור אבטחה?