Sicherheit in PHP-Skripts

[Seggl-hoch-drei]

Sersde,

ich würde gerne mal wissen, was man alles für die Sicherheit von PHP-Skripts tun kann.

Bisher
- prüfe ich alle Variablen, die Zahlen sein sollen mit is_numeric()
- escape ich alle GET-vars mit mysql_real_escape_string()
- entferne ich alle Tags mit strip_tags()
- habe ich register_globals abgeschaltet

Meint ihr, das reicht schon? Was kann man noch machen?

Simon

[TobiaZ]

Wie viel Threads willst du noch öffnen? das ist nummer drei!

Das Thema ist mit sicherheit älter als du Programmierst, also muss nicht alles von neuem platt getratscht werden...

entferne ich alle Tags mit strip_tags()

Wozu? Du veränderst den eigegebenen Inhalt nicht unwesentlich!

[Seggl-hoch-drei]

Original geschrieben von TobiaZ
Wie viel Threads willst du noch öffnen? das ist nummer drei!

Das Thema ist mit sicherheit älter als du Programmierst, also muss nicht alles von neuem platt getratscht werden...

Wozu? Du veränderst den eigegebenen Inhalt nicht unwesentlich!

ja, aber es ist nicht gerade toll, wenn man auf dem client alerts öffnen kann

[TobiaZ]

ja, aber es ist nicht gerade toll, wenn man auf dem client alerts öffnen kann

Kannst du das nach htmlspecialchars() noch?

[Seggl-hoch-drei]

Original geschrieben von TobiaZ
Kannst du das nach htmlspecialchars() noch?

nein. aber was spricht gegen strip-tags?

[PHP-Desaster]

htmlspecialchars escapt die HTML-Zeichen lediglich, so dass diese vom Browser nicht interpretiert werden. Striptags hingegen entfernt die Tags komplett, wie du dem Beispiel sehr schön entnehmen kannst!

[Seggl-hoch-drei]

Original geschrieben von PHP-Desaster
htmlspecialchars escapt die HTML-Zeichen lediglich, so dass diese vom Browser nicht interpretiert werden. Striptags hingegen entfernt die Tags komplett, wie du dem Beispiel sehr schön entnehmen kannst!

das will ich ja. wenn einr meint, er müsste QT posten, soll er den in [QT][/QT] schreiben (die funktion mach ich demnächst.)

[ArSeN]

OffTopic:

---

Wat issn QT?

---

[Gavyn]

OffTopic:

---

Ne Bibliothek von Trolltech? *blickt ebenso ratlos drein*

---

[Seggl-hoch-drei]

QT = Quelltext

[ministry]

Bei der Ausgabe zu filtern (htmlspecialchars) ist sinnvoller. Lass doch einen <script>alert('huhu');</script> posten. Geht hier im Forum ja auch.

[Seggl-hoch-drei]

kann schon sein, dass das sinnvoller ist. aber ich finde es einfach besser, wenn da nicht mittendrin HTML ist

[TobiaZ]

Die armen Zockerkinder, die sonst was in Ihrem Namen drin stehen haben...

BTW: Ich finde hier im Forum sollte man auch die wörter "ist", "ein", etc strippen. Sind ohehin nichtssagend.

[ghostgambler]

Man ey, lösch doch jemand den User, bevor meine Kopfschmerzen noch schlimmer werden...

[jahlives]

Man ey, lösch doch jemand den User, bevor meine Kopfschmerzen noch schlimmer werden...

OffTopic:

---

Dann solltest du am Vorabend eben weniger Saufen

---

**ganzSchnellWegMuss**

Gruss

tobi