[מדריך] PHP - הגנה נגד הזרקות כתובת

[omaniusd]

נכתב במקור על ידי Ikki

רבותי שלום רב!,
החלטתי לכתוב במדריך זה על שיטות למניעת הזרקות והסבר כללי על הזרקות.
את המדריך אחלק לשלושה נושאי אם: מהם הזרקות?, כיצד פועלות ההזרקות? וכיצד נמנע הזרקות?.

מהם הזרקות?

הזרקות הינם זריקת תוכן מסויים לתוך משתנה.
היעד שלהם הוא לשטול מידע שיגרום לבאג/תוכן שגוי במערכת.

כיצד פועלות ההזרקות?

ההזרקות פועלות ע"י שליחת תוכן אחר לתוך שורת הכתובת.

למשל נתונה הכתובת:

ובמידה והקובץ אינו מוגן מהזרקות נוכל לשנות ערכים שיגרמו לבעיות.
ותוזרק הכתובת הבאה:

דבר אשר יגרום לבעיות.

כיצד נמנע ההזרקות?

מניעת ההזרקות אינה פעולה קשה במיוחד, לפעמים חשוב לחשוב על שיטת הצפנה אשר תעזור לנו למנוע הזרקה.

- הצפנת נתונים.
במידה ונרצה ליצור משחק, שיהיה כמעיין חפש את המטמון. וניצור לחצן שיוסיף נקודות למשתמש כפרס ע"י לחיצה במקום מסוים בפורום, ושכל מקום יביא מספר שונה של נקודות; אך לא נרצה לתת מספר קטלוגי לכל מקום, כך שיביא נקודות שונות.
מה נעשה?, נצפין בשיטת הצפנה מסוימת הידועה רק לנו את מספר הנקודות, או נצפין בכמה הצפנות !.

- מניעת הזריקות למשתנה.
כפי שידוע לנו במידה ולא נמנע את הזריקות הנתונים מהכתובת ייובאו לתוך משתנים.
כדוגמא זו:

בעצם שורת כתובת זו תבצע את השורות הבאות.

PHP קוד:

<?php
$act = "addpoint";
$add = 500;
?>

כלומר, הנתונים יוזנו לתוך המשתנה(addpoint יוזן למשתנה act, ו 500 יוזן למשתנה add).

כיצד נמנע זואת?
נוכל למנוע זואת ע"י הזנה שזוהיא שליחת GET.
ונבנה את הקוד הבא:

PHP קוד:

<?php
$action = $_GET[act];
$nadd = $_GET[add];
?>

* אפשר לכתוב בתוך ה [] עם גרשיים קטנים או בלעדיים, זה עניין של נוחות.

- ניפוי באגים והקצבת מספר ערכים אפשריים.

במידה ואנו מעוניינים ליצור את כל הפעולות בקובץ אחד, כלומר ליצור action.
כיצד ניצור זואת?, ניצור זואת ע"י פונקציית ה Switch.

לדוגמא:

PHP קוד:

<?php
switch($_GET[act]) {
case "addpoint":
    include("include/addpoint.php");
    break;
case "points":
    include("include/points.php");
    break;
case "main":
    include("include/main");
    break;
default:
    include("include/main.php");
}
?>

כאן אנו מזינים שיש אפשרות לact להיות שלושה ערכים(addpoint, points, main), ואם לא הוגדר ערך תגדיר תעשה כך וכך.
כמובן שנוכל להיות מתוחכמים יותר ע"י לולאה שיוצר את ה case ע"פ הקבצים הקיימים במחיצת "include".

למידע נוסף אודות פונקצייה זואת בקרו ביחידה המסבירה על פונקציית Switch במדריך הרישמי של Php:
http://www.Php.Net/Switch


בהצלחה!,
Ikki

זה חלק מאד מצומצם מנוזא ההזרקות.

[WebProject]

זה שהגיב מעליי צודק, די מצומצם, אבל כל הכבוד על ההשקעה.

אבל - מה עם הזרקה דרך תיבות טקסט? יש עוד הרבה, ישנם כמה אפשרויות.

בדיקת המחרוזת, אם היא תקינה [מבחינת תווים].

או, להכין פונקצייה שתתרגם את התווים לתווי HTML כלומר למשל & = &

[Ikki]

אכן, הזרקות הינו נושא נרחב.
במדריך זה הסברתי על סוג הזרקות מסוים.

הסברתי על הזרקות כתובת.
בהזדמנות אסביר על שאר הסוגים.

*שחכתי בכותרת לרשום "הזרקות כתובת" ...

[satan]

נכתב במקור על ידי 1ndex

זה שהגיב מעליי צודק, די מצומצם, אבל כל הכבוד על ההשקעה.

אבל - מה עם הזרקה דרך תיבות טקסט? יש עוד הרבה, ישנם כמה אפשרויות.

בדיקת המחרוזת, אם היא תקינה [מבחינת תווים].

או, להכין פונקצייה שתתרגם את התווים לתווי HTML כלומר למשל & = &

כן אבל לפחות הוא רשם על זה מדריך..
זאת אומרת לפחות אני - לא ראיתי מדריכים כאלה בעיברית.

תמשיך..!D:

[eLad]

1. הצפנה על הצפנה על הצפנה לא תורמת בכלום, היא רק מאיטה את פעולת הדף. אם אתה רוצה הצפנה מקסימלית קח אלגוריתם 512 ביט ולא MD5 או SHA-1

2. שיטת ה include שלך לכל פעולה ופעולה לא יעילה, במקום לאנקלד את הדף, ב switch היית יכול לשים את הפעולות שזה אמור לעשות (למשל - עדכון עמודה ב DB).

3. השיטה של יצירת משתנה פיקטיבי לא עוזרת לך בכלום

4. במוקדם או במאוחר ימצאו דרך לעקוף את השיטה שלך (סעיף 3) ומה לעשות, אין מנוס מבדיקת הקלט המתקבל - סטרינג, מספר, תאריך וכו'.

5. אם הייתי כותב מדריך כזה, הייתי מראה למה השמת גרשיים ונקודה פסיק תוקעת את השאילתא

6. במסדים מסויימים, כמו למשל SQL SERV אפשר להריץ פקודות אחרות למשל:

PHP קוד:

;drop table tblMessages-- 


והלכה לו הטבלה, במקרה כזה אפשר להקצות הרשאות (חלק מהחוכמה של SQL SERV).

7. אחרי קריאת המדריך פעמיים לא הבנתי איך השיטה שלך עוזרת למנוע sql injection

8. בהצלחה

9. לזה שמעלי - חפש פרוייקט בשם underwarrior או משהו כזה, יש להם מדריכים מצויינים בנושא ובעברית..

[Ikki]

נכתב במקור על ידי eLad

1. הצפנה על הצפנה על הצפנה לא תורמת בכלום, היא רק מאיטה את פעולת הדף. אם אתה רוצה הצפנה מקסימלית קח אלגוריתם 512 ביט ולא MD5 או SHA-1

2. שיטת ה include שלך לכל פעולה ופעולה לא יעילה, במקום לאנקלד את הדף, ב switch היית יכול לשים את הפעולות שזה אמור לעשות (למשל - עדכון עמודה ב DB).

3. השיטה של יצירת משתנה פיקטיבי לא עוזרת לך בכלום

4. במוקדם או במאוחר ימצאו דרך לעקוף את השיטה שלך (סעיף 3) ומה לעשות, אין מנוס מבדיקת הקלט המתקבל - סטרינג, מספר, תאריך וכו'.

5. אם הייתי כותב מדריך כזה, הייתי מראה למה השמת גרשיים ונקודה פסיק תוקעת את השאילתא

6. במסדים מסויימים, כמו למשל SQL SERV אפשר להריץ פקודות אחרות למשל:

PHP קוד:

;drop table tblMessages-- 


והלכה לו הטבלה, במקרה כזה אפשר להקצות הרשאות (חלק מהחוכמה של SQL SERV).

7. אחרי קריאת המדריך פעמיים לא הבנתי איך השיטה שלך עוזרת למנוע sql injection

8. בהצלחה

9. לזה שמעלי - חפש פרוייקט בשם underwarrior או משהו כזה, יש להם מדריכים מצויינים בנושא ובעברית..

א. לא דיברתי על הזרקת SQL כלל וכלל, "הבנת הנקרא".
ב. האינקלוד ב Switch לצורך הדגמה, ושלא לדבר על הטעות האיומה שזה מאט!.

להבא תקרא טוב את הכתוב("הזרקות כתובת") ואל תמהר להגיב בצורה כה שלילית, כי הטועה פה הוא אתה בלבד.

סליחה על התגובה הכועסת אבל ממש מרגיז לקבל תגובה שלילית כאשר מדלגים על הכותרת וקוראים מה שרוצים!, כנראה אצתרך לפתוך מדריך "כיצד לחזור לכיתה א'?".

[eLad]

נכתב במקור על ידי Ikki

א. לא דיברתי על הזרקת SQL כלל וכלל, "הבנת הנקרא".
ב. האינקלוד ב Switch לצורך הדגמה, ושלא לדבר על הטעות האיומה שזה מאט!.

להבא תקרא טוב את הכתוב("הזרקות כתובת") ואל תמהר להגיב בצורה כה שלילית, כי הטועה פה הוא אתה בלבד.

סליחה על התגובה הכועסת אבל ממש מרגיז לקבל תגובה שלילית כאשר מדלגים על הכותרת וקוראים מה שרוצים!, כנראה אצתרך לפתוך מדריך "כיצד לחזור לכיתה א'?".

א. בסדר, תוריד לעצמך את סעיפים 5,6,7 משם, כל השאר עדיין תקף
ב. תוכיח. אני טוען שזה מאט מאשר לבצע פעולות בדף עצמו במבנה switch

ולפני שאתה אומר למישהו טועה, תעשה טוב טוב בדק בית, וקח לך כלל בנושא המדריכים - לא כמות אלא איכות.

תכתוב מדריך איך לחזור לכיתה א' אם זה מה שעושה לך את זה, אני לא צריך את זה.

[Ikki]

נכתב במקור על ידי eLad

א. בסדר, תוריד לעצמך את סעיפים 5,6,7 משם, כל השאר עדיין תקף
ב. תוכיח. אני טוען שזה מאט מאשר לבצע פעולות בדף עצמו במבנה switch

ולפני שאתה אומר למישהו טועה, תעשה טוב טוב בדק בית, וקח לך כלל בנושא המדריכים - לא כמות אלא איכות.

תכתוב מדריך איך לחזור לכיתה א' אם זה מה שעושה לך את זה, אני לא צריך את זה.

שוב אתה תוקף.
1. תוכיח אתה .
2. אני לא רואה פה שום כמות, אלה רק איכות.
3. כל שאר הסעיפים שלך סתמיים.
4. אני לא אמשיך בדיון הזה איתך, כאן.