Sicherheit bzgl. POST/Get-Variablen

[MaxP0W3R]

Hi,

ich bin gerade dabei, die Schwachstellen meiner Skripte bezüglich SQL und POST/GET Injections zu überprüfen.

Bei SQL hab ich schon einiges an Material gefunden und denke es ist ganz ok.

Nun wollte ich mal Fragen, was die leute hier aus der Praxis sagen können worauf ma achten soll.

Bei File-Uploads z.B. habe ich sowohl Clientseitig im Formular als auch Serverseiti über das $FILES-Array sehr gute Möglichkeiten zu überprüfen, ob der File-Upload innheralb bestimmter Parameter abläuft ( Dateityp, Grösse usw) und kann sogar die fehlersuche gut einschränken.

Jetz wollte ich mal von den erfahrenen hören, was man so beachten muss bei z.B. der Übergabe von Passwörtern und Benutzernamen.
Die Artikel in denen Injections mit # usw erklärt werden, habe ich gelesen, wollte aber mal hören, wie die Leute damit in der Praxis umgehen, also worauf ihr achtet...

thx & cya max

[rythms]

- Alle Eingaben prüfen.
Wenn du Zahlen willst prüf mit ctype_digit oder regexp.
Wenn du buchstaben willst ebensfalls mit ctype_alpha(?) oder regexp.

- Alle Eingaben escapen bevor du sie in eine Datenbank schreibst.
addslashes() und mysql_(real_)escape_string() kommen in Frage.