טוב , הרבה אנשים אומרים אם תתכנת נכון לא יהיו לך פריצות במערכת ועוד.
החלטתי לעשות דיון שכל אחד יוסיף בו דרכים להגיע 'לתכנות נכון'.

אני אתחיל , כאשר אתם מקבלים נתונים מGET לשאילתה השתמשו בתו ' (גרששים) שמונע הכנסת תווים לשאילתה.

עוד טיפ זה נגיד שיש לנו שאילתה כזאת:

קוד PHP:

 $get = $_GET['get'];
$sql = mysql_query("select * from X where id={$get}); 


כאן אנו חשופים ל SQL INJECTION , כיצד ניתן לפתור זאת?כך:

קוד PHP:

 $get =mysql_escape_string( $_GET['get']);
$sql = mysql_query("select * from X where id='{$get}'"); 


- שימו לב לפונקציה mysql_escape_string וגם לגרשיים בשאילתה.

אלו הטיפים שלי , מי שיש לו עוד טיפים מוזמן להוסיף...

היי,
שמי דן , ואשמח לעזור לכם בכל פנייה שהיא
ניתן ליצור איתי קשר באיימיל (DanDan@walla.com) במסנג'ר (DanDan@walla.com) ובאיסיקיו (12348188)

גלישה נעימה...

בקוד הראשון, שכחת להכניס את הקוד עצמו..שמת רק תגית. חחח


בקוד השלישי, שכחת לסגור מרכאות

הקוד הראשון זה הקוד הפגיע , הקוד השני זה הקוד המתוקן.
בנוגע למרכאות כן , שחכתי (זה מה שקורה שאני רושם את זה בהודעה בלי עורך )

היי,
שמי דן , ואשמח לעזור לכם בכל פנייה שהיא
ניתן ליצור איתי קשר באיימיל (DanDan@walla.com) במסנג'ר (DanDan@walla.com) ובאיסיקיו (12348188)

גלישה נעימה...

איזה יבשים...

היי,
שמי דן , ואשמח לעזור לכם בכל פנייה שהיא
ניתן ליצור איתי קשר באיימיל (DanDan@walla.com) במסנג'ר (DanDan@walla.com) ובאיסיקיו (12348188)

גלישה נעימה...

להשתמש בעורך זה חובה, אני אישית ממליץ על ++Notepad

לפי דעתי עדיף להשתמש ב mysql_real_escape_string

אכן זו הדרך לסינון המידע שנכנס לשאילתות, רק ברשותך אתקן דברים קטנים:

זה לא מומלץ להשתמש בפונקציה mysql_escape_string עבור סינון המידע, אלא נהוג יותר להשתמש בפונקציה mysql_real_escape_string, וההסבר לכך מובא בדוקומטנציה של PHP על הפונקציות.

דבר נוסף - כאשר תוחמים ערך\מידע עם גרשיים ( " או ' ), זה אמור להיות מידע מסוג מחרוזת, למרות שאפשר לתחום בגרשיים מידע שהוא (למשל) מספר, לפחות אצל mysql.

יש מקרים מסוימים ו\או מסדי נתונים אחרים שמבריחים בצורה שונה את התוים.

אני חושב שכדאי ליצור מחלקה שמטפלת בנושא של מסד הנתונים כמו התחברות וכד', ובין היתר גם בסינון של המידע, כדי שתהיה שליטה טובה על אופן הסינון.

בנוגע ל-mysql, כדאי ליצור מחלקה היורשת את מחלקת mysqli שהיא הרחבה של מחלקת mysql. זה מאפשר שימוש ב-OOP של PHP5.

בכלל לדעתי הנושא הזה של סינון מידע דורש קצת יותר פירוט והסבר. אני חושב שאנשים לא מבינים היטב את הנושא של פורמט שליחת מידע (מכל סוג שהוא), זה פשוט עדיין לא יושב כ"כ טוב בראש אצל מתחילים שכל נושא ה-web נופל עליהם בבת אחת.

אם לא אכפת לכם שאני מתערב אבל אני משתמש בעורך phpDesigner
הוא ממש מעולה.

כולם משתמשים , איך זה קשור?
ודור אני עשיתי פונקציה שבה סיננתי תווים וביטויים מסוכנים + השתמשתי אחר כך בפונקציות מובנות וככה אבטחתי את הקלט מהמשתמש...
אם אנשים ירצו אפרסם אותה כאן

היי,
שמי דן , ואשמח לעזור לכם בכל פנייה שהיא
ניתן ליצור איתי קשר באיימיל (DanDan@walla.com) במסנג'ר (DanDan@walla.com) ובאיסיקיו (12348188)

גלישה נעימה...

אני לא משתמש...

הי,
רציתי לשאול אם האבטחה שלי טובה?

בעצם מה שהיא עושה היא מחליפה תווים שיכולים לגרום לבעיות, וגם אפשר אחר כך להציג את התווים האלה והם בעצם לא יעשו כלום..

קוד PHP:

 function Sec($post)
{
$char[0] = "&";
$char[1] = "<";
$char[2] = ">";
$char[3] = "'";
$char[4] = '"';

$char_e[0] = "&amp;";
$char_e[1] = "&lt;";
$char_e[2] = "&gt;";
$char_e[3] = "&quot;";
$char_e[4] = "&apos;";

    $post = trim(stripslashes($post));
    for ($i=0;$i < count($char); $i++)
        $post = str_replace($char[$i],$char_e[$i],$post);

    return $post;
}
function POST($post)
{
    $post = Sec($_POST[$post]);
    return $post;
}
function GET($get)
{
    $get = Sec($_GET[$get]);
    return $get;
} 


[התמונה הבאה מגיעה מקישור שלא מתחיל ב https ולכן לא הוטמעה בדף כדי לשמור על https תקין: http://up4u.us/GD/info.jpg]

זה לא מספיק.
כשיש שפונקציה של php לעשות דבר מסוים, תמיד עדיף להשתמש בפונקציה הזאת, במקרה הזה, htmlspecialchars

כדאי מאוד שתקרא את כל הדף, ולא סתם תשתמש בפונקציה.

בנוסף אתה משתמש בפונקציה הזאת על כל המערך GET ו- POST, זה יכול לעשות בעיות כי אתה רוצה להשתמש בפונקציה הזה רק שאתה מוציא משהו לפלט, וגם אז, לא כל פלט.

אי-אפשר להגיד שברגע שעשית את זה, כל האתר מאובטח, גם אם הקוד הזה ספציפית היה מושלם מבחינת אבטחה, חוץ מ-XSS יש עוד הרבה שיטות לפרוץ לאתרים.

גרשיים ממש לא מגנים על SQL Injection

לדעתי, תכנות נכון זה לא בהכרח אתר שהאבטחה שלו היא הכי טובה שיש.

תכנות נכון זה בכל דבר שאתה עושה, לשקול את כל הדרכים לעשות את הדבר שאתה רוצה, ולעשות את מה שהכי נכון למקרה הזה ספציפית.
ברוב המוחלט של המקרים, הדרך הזאת גורמת לקוד להיראות טוב, להיות קריא ומובן והמערכת תהיה קלה לתחזוקה.