PHP Security

[whistler81]

Hallo

kann mir jemand ein gutes Buch zu Security bei dynam. Sites empfehlen?


LG
Clemens

[TobiaZ]

OT: *VERSCHIEB*

[whistler81]

und? Empfehlung gibts keine vom Admin?

[MoRtAlAn]

tobiaz is mod, kein Admin

Für Security mit PHP brauchst du kein Buch! du muß nur ein paar dinge beachten:
- Herkunft von Variablen (nimm superglobals: $_POST['var'], etc...)
- beim dynamischen include (include("$var") pass auf, dass keine Konstrukte dieser Art ausgeführt werden /etc/hosts und ähnliche
- filter php-befehle aus den Usereingaben

und noch ein paar andere Sachen, darauf kommst du aber beim programmieren...

Prinzipiell gilt: traue keinen Variablen, die nicht innerhalb deines Skriptes die Werte zugewiesen bekommen haben!

gruss

[Troublegum]

Das Thema sollte vielleicht eher ins Forum Websecurity und nicht ins Off-Topic.

[TobiaZ]

*VERSCHIEB*

[whistler81]

- filter php-befehle aus den Usereingaben

was heisst das?


eine andere Frage:

was ist mit der Datei config.php oder .inc.

ist die nicht ein Sicherheitsrisiko? Da stehen ja alle Zugangsdaten zu den Servern drinnen.

[TobiaZ]

1.) Usereingaben immer durch addslashes() laufen lassen
2.) config.php ist kein Problem. Bei Anfängern wird oft config.inc verwendet. *.inc wird aber nicht geparst, daher können diese Dateien im Browser angezeigt werden.

[whistler81]

ad 1.) und wie mache ich dass dann?:


insert into test (test,test2,test3) values(addslashes("test)....

und durch diese Maßnahme verhindere bzw mindere ich die Chancen auf Mißbrauch?

[TobiaZ]

RTFM!

[whistler81]

hä?

ok ok ich such mal

[TobiaZ]

[whistler81]

ok es geht schon

habs so gelöst:

$email0 = addslashes($email); 

aber zu meiner Frage: was bringt sich da genau?

[kapitaeniglo]

das sorgt dafuer, dasss dir keiner fiesen code unterschieben kann ...
bei addslashes werdebn vor
einfachen anführungszeichen
doppelten anführungszeichen
backslah
und NUL

ein baclkslash vorgestellt ....

man koennte sonst eventuell dafuer sorgen das variablen oder code im browser ausgegeben werden (und das kann unter umstaenden ganz unangenehm sein )