Seguridad en PHP

[AngelRoyo]

Hola.
Me gustaria incluir un nuevo topico que creo necesario:
"Seguridad en PHP".

El cual involucrara temas sobre la seguridad en PHP así como pequeños ejemplos en script. Y de errores frecuentes cometidos.

Ejemplo de esquemas:

Esquema LINK:

Titulo: Tútulo del posteo.
Link: Si lo tuviera
Resumen: Resumen del link
Idioma: Idioma del material

Esquema Codigo:

Titulo: Título del posteo.
Se hace: $clave="ret";
Deveria ser: $_SESSION['clave']='ret';
Resumen: Explicación más detallada junto con el código pertinente.

Por una generación de codigo PHP más segura.

Saludos.

[AngelRoyo]

Alguien que responda.
O voten, así es más rápido.

Saludos.

[chalito]

cual la pregunbta a la que se respinde si o no?
preguntas si php es seguro?? si deberia ser mas seguro?? si deberian quitarle seguridad??, hacia donde va la micro??

Saludos

[Cluster]

Chalito .. parece q no leistes bien el mensaje original ..

Se trata de crear un "topic" (un mensaje nuevo) tipo los FAQ's de PHP .. pero orientado a Seguridad en tus scripts PHP ..

Cosas como usar los arrays asociados y no asumir nada global .. y otras técnicas/pequeños scripts que puedan ayudar a tener unas aplicaciones PHP mas seguras. Incluido configuración del propio PHP para hacerlo seguro (cosas como el safe-mode .. y por el estilo).

Un saludo,

[chalito]

lo de los topics esta mas que claro, lo que no entiendo es el si o no, que preguntas es?

Saludos

[AngelRoyo]

Jajajaja
LEE BIEN LA PREGUNTA. Te acelerase en contestar.

Crear Topico Seguridad en PHP

SI
o
NO

Creo que es necesario.
Así que a algún moderador que incluya este topico.
Ya existe algo similar en devshed.com
Nosotros tengamos el nuestro en castellano.

Saludos.
PD: Los lenguajes no son seguros ni inseguros, es de quien los maneja el grado de seguridad que le imprime.

[chalito]

Muchas gracias por tu aclaracion Angel

lamento ser algo lento, pero creo que es bueno uqe no ayan dudas verdad?

Saludos

[AngelRoyo]

Creo que los votos lo demuestran.

66 entran a leer de los cuales asumo que serian 20 distintos.
Porque no hay 20 votos como minimo?.

Se supone que el foro es para compartir y crecer, no solo pedir codigo, sino participar e invertir en él.

Saludos.

[Cluster]

Creo q el fin de los foros no va por ese camino .. Es decir .. en tener un buen monton de mensajes "importantes" al estilo "articulos" y similares ... Como mucho .. eso "articulos" deberian estar en maestrosdelweb.com (por no salir de la .org xD) ..

Las mismas FAQ's empezaron con el fin de ayudar a www.faqsdelweb.com a "recolectar" FAQ's .. No se como andará la cosa por allá pero, varias de las FAQ's q hay ves están o deberian estar en faqsdelweb.com

En las mismas FAQ's se confunde "FAQ" .. Hay de todo un pco .. codigo funcional propiamente (incluso yo he puesto varios así) .. Consejos .. y hasta algo de seguridad (yo mismo explique diferencias entre asumir variable globales y usar los arrays asociados ..).

Así .. q de momento te invito a poner tus "tips" sobre Seguridad en las FAQ's ...

Y .. bueno ya ves q hay un mensaje marcado como "importante" sobre el proyecto de una web en PHP .. Unete al el que es donde deberian estar estos "articulos" mejor clasificados.

Un saludo,

[josemi]

Hola,

He votado que no, pero no porque no crea que esa informacio es necesaria. Es mas por lo que decia Cluster. Si empezamos ha hacer temas importantes con cada tema interesante de PHP, las preguntas normales empezarian en la segunda pagina.

Pero como me parece un tema interesante, propongo unas altenativas. Un aseria la que ya te han comentado, meter esa info dentro del mensaje de FAQs del foro. Otra opcion seria hacer un subforo sobre seguridad, tambien con su FAQ.

Saludos.

[AngelRoyo]

Pues vaya.
Pense que no hiva a ver malos entendidos y que muchos apoyarian el asunto.

Lo peor que siempre escribiendo los mismos.
Esto confirma la poca participación del foro en mejorar y opinar del foro.
Sólo ahi participación en pedir y no dar.

Yo pensaba en hacerlo más profesional cada ves esto del foro. Pero si quieren que siempre sea el foro de como agregar un campo en mysql o de como instalar php nuke. Esta bien.

Sólo queria compartir con los demás el tema de la seguridad en un tópico especial para ello, de mucha importancia.
Foros en idioma ingles ya lo incluyen.
http://forums.devshed.com/f5/sc14449...892add4f2391d7
Da la casualidad que tiene más movimiento que la misma FAQ del sitio. Deve ser que la seguridad no es un tema importantante, sino EL TEMA IMPORTANTE.

Pero como gusten, Yo no pago el host :) . Cuando lo pague ahi pondre lo que quiera a punta y pala xD.

Lo peor no ahi votos en este foro, nadie participa, sigue siendo un :
Regalenme Código y ojala funcione.

Sobre: Y .. bueno ya ves q hay un mensaje marcado como "importante" sobre el proyecto de una web en PHP .. Unete al el que es donde deberian estar estos "articulos" mejor clasificados.
Ese es un proyecto cerrado, no existe una URL que tenga las bases del tema ni las lineas a seguir. Es entre los involucrados, Yo ya lo converce en ese mismo tópico, sólo les deseo suerte en su realización. Y si ahi espacio para un articulo mio, pues con gusto.

Un saludete, en todo caso esta era mi ultima intervención en el foro , queria dejar ese tópico para frecuentarlo, antes de bajar mi frecuencia de posteos a ~ 0. Pero no se concreto, ni modo. Me queda sólo frecuentar el de devshed lo peor que es ingles y no por la lectura, que algo de ingles leo, sino que pudiendo los de habla hispana tener el propio no lo tenemos.

Les deseo buenas nuevas a todos en este 2003.
Saludos.

[Herminio Heredia San]

Sobre: Y .. bueno ya ves q hay un mensaje marcado como "importante" sobre el proyecto de una web en PHP .. Unete al el que es donde deberian estar estos "articulos" mejor clasificados.
Ese es un proyecto cerrado, no existe una URL que tenga las bases del tema ni las lineas a seguir. Es entre los involucrados, Yo ya lo converce en ese mismo tópico, sólo les deseo suerte en su realización. Y si ahi espacio para un articulo mio, pues con gusto.

No AngelRoyo a un que el proyecto no es publico todavia, no es solo para los involucrados, lo unico que estamos haciendo es organizar las cosas si no despues cada quien estara haciendo las cosas como mejor le parece y sin organizacion y no es la idea, si no sentra bases detalladas para seguir por un mismo camino y cuando esto se haga estara abierto a la colaboracion.

Y ahora sobre este tema entiendo que es importante pero tambien creo que hay mecanismos para tratarlos si no como comento josemi y cluster al rato vamos a tener un buen de ligas que la verdad muchas veces nadie las usa, por que no se tal vez por que solo quieren que les funcionen las cosas y ya, sin pensar que tal vez no era la solucione adecuada etc. Pero bueno ya eso depende de cada quien, la seguridad y la actitud de investigacion es resposabilidad de cada individuo y que el decida si quiere siempre ser mediocre o poco a poco estar considerado entre las personas que pueden hacer algo bien y ser confiables..

Tengo en el foro desde que se inicio y huvo un tiempo en el que participe activamente pero, actualmente lo hago muy poco. y la verdad es por cosas como las que comentas Angel, pero bueno tempordas van y vienen, y seguiremos pasando de vez en cuando por aqui y contestando uno que otro mensaje que me dejen por que actualmente ya hay mucha gente particpando con respuestas y eso es bueno tambien.... Y ya mejor dejo de escribir por que ya no se ni en que hiba jejejje...

[Cluster]

AngelRoyo ...

Yo solo decia lo que observo .. si el tema este de "seguridad" o cualquier otro les pareciese interesante a los usuarios que visitan los foros no haría falta poner (forzar) mensaje como "importantes" .. siempre estarian nutriendose de nuevas participaciones y por ende estarian en los primeros lugares de mensajes del foro que corresponda .. Eso, no es así como estas viendo.

Solo en defensa de estos foros ... Yo he visitado los foros de devshed .. de phpbuilder .. los de zend .. y varios mas (en idioma ingles) y he visto preguntas de todo tipo desde mas simples y obvias (bajo tu punto de vista) hasta mas ricas e interesantes. ¿Te ves todas las preguntas que entran en esos foros todos los dias? .. o ¿solo usas el buscador de esos foros en busca de tu tema?.

Lo mismo sudece aquí. Tal vez no en la medida que tu quieres . .OK. Pero es lo que hay en estos foros.

Tambien evalua esos foros en ingles y a gente como tú que se deja llevar por "es ingles es mejor" .. Si tu consideras que tienes algo q aportar solo tienes q iniciar un tema .. el que le interese ya participará. En un principio veras a los 3/4 usuarios de siempre que te contestan al instante .. Pero, si llega otro usuario a conocer los foros y no ve esos "topics" de interes: ¿que hará? .. dirá: "ahh .. otro foro de *nuke"?¿ .. Empieza dando el ejemplo tu mismo. Responde preguntas obvias pero no diciendoles que lean el manual y retandoles .. o poniendole el código "a la carta" .. enseñales "el buen camino" .. Haz sugerencias sobre alguna forma de plantear una solucion a un problema o un código que veas .. (yo lo hago habitualmente).

De eso se trata de compartir lo que sepas si quieres .. Yo por ejemplo, cuando respondo una pregunta no doy codigo (normalmente) y si lo pongo me esmero en comentarlo y explicar a modo de introduccion la "teoria" de lo q he puesto. Hay muchos usuarios que solo leen . otros preguntan obtienen respuesta y no aparencen mas hasta la proxima pregunta q tengan ... Otros como tu a lo mejor no leen las preguntas porque te parencen "obvias" .. y .. a veces si alguien entra resolviendo la duda puede dar una respuesta q tal vez tu la tomabas como "obvia" y no era tan obvio o te han dado una nueva alternativa ...

Sin ir mas lejos .. en estos dias alguien preguntó diferencias entre IF .. y switch ... a nivel optimización .. El tema se puso interesante y se hicieron test de rendimiento (tambien se evaluó for/foreach .. echo y print .. etc). Si, es cierto q mensajes así salen pocos .. pero quedan aquí en el foro para el que guste los busque .. y si se anima alguien que los coloque como una FAQ por ejemplo (yo suelo alentar a la gente que veo q colocar algun tip o código genérico de interes para q lo suba a las FAQ). Para esas cosas estamos tambien los moderadores .. No solo para cerrar mensajes o moverlos de foro. Tambien estamos para fomentar iniciativas como las de las mismas FAQ's .. orientar sobre iniciativas .. etc.

Un saludo,

[josemi]

AngelRoyo, debes comprender por que la gente solo pide un trozo de codigo que solucione su problema. Sin animo de ofender, yo creo que una gran mayoria de los usuarios de este foro solo usan PHP porque quieren tener esas cosas tan bonitas en su web. No les interesa aprender PHP. Es mas, serian los mas felices del mundo si Dreamweaver haria todo el codigo por ellos, aunque resultase ser peor codigo que el que pueden escribir ellos. Tampoco suelen tener una formacion basica sobre programacion, ni tienen costumbre de pelearse con el manual ni con internet para buscar soluciones a sus problemas. A veces ni siquiera son capaces de utilizar el buscador del foro. Suelen querer la solucion ya, ahora mismo, mejor para ayer. Solo visitan el foro cuando tienen un problema.

Estos foros son una comunidad. Y para que la comunidad mejore hace falta la colaboracion de los miembros. Ya sea planteando cambios, sugiriendo nuevos foros, ayudando con nuevas iniciativas o simplemente contestando a las preguntas y guiando a los demas. Pero hay que recordar que existe una jerarquia que respetar. Y hay que saber con quien hablar. Realmente no se el poder que se les da a los moderadores. Pero yo creo que son los que deben conducir este tipo de iniciativas dentro de sus respectivos foros y comunicarlas a sus jefes. No es lo mismo una idea sugeriada a cvdhs por un usuario que por un moderador. Como bien ha dicho Cluster, un moderador no solo sirve para cerrar mensajes.

Por ultimo, espero que no dejes de visitar estos foros.

Saludos.

[Mickel]

Yo he votado que No, precisamente por el tema sensible tocado aqui. Y quisiera agregar algunos comentarios al canto.

Emho, desde su ultimo reboot FDW parece estarse orientando unicamente hacia un lugar de busqueda de soluciones especificas. Antes, MDW proveia los tutorials y las noticias, y FDW era el lugar donde se discutia la casuistica. Ahora, sin MDW, muchos entran a FDW solo en busca de la solucion puntual y precisa... y a veces ni siquiera usan el buscador... Asi, muchos en la actual "generacion" de posters no parecen preocuparse por la calidad del codigo o la optimizacion del mismo, si no por "salir del paso"(mucho me temo que esto refleja la conducta actual de los profesionales IT en latinoamerica... al menos si refleja la de mi pais luego de la debacle de las DOT-COM).

Por otro lado algunos de nosotros no necesitamos este tipo de informacion porque las encontramos, como menciona Cluster, en el site de PHP, en ZEND, en PLANET-SOURCE o en otros lugares.
Entonces, por ambos lados, para que generar un thread y ponerle importancia si no va a ser visitado? Y la prueba esta en la poca votacion que hubo

AngelRoyo, si el tema te interesa, sugiero que escribas tus anotaciones y las pases a cvdhs para que las publique en MDW. Mejor aun, podrias irlo haciendo por entregas, como para ir capacitando a quienes quieran leerlo. Si por otra parte lo que tienes es una pregunta puntual, pues, adelante.

Lo que si quisiera señalar es que tu indicas "yo pensaba en hacerlo más profesional cada ves esto del foro" como si de ti unicamente dependiera el tema. Corrigeme si me equivoco pero entendia yo que el foro, nos guste o no, no lo haces tu ni yo, ni cvdhs(aunque a veces el no lo perciba de ese modo)... el foro surge de la interaccion entre todos, mal que bien, tanto de Cluster poniendo su Authenticator con documentacion OpenGL a disposicion como del newbie que pregunta en el foro de PHP como sacar la clave de su Hotmail que perdio(sin alusiones a nadie). Es decir, si quieres hacer mas profesional los temas en el foro, pues a empezar con tus propias preguntas y respuestas para dar el ejemplo. Y, entre nos, "esto del foro" no me suena del todo como una frase aceptable para un profesional IT.

Espero que reflexiones en relacion a esto y sigas presente.

[MSDark]

No es mucho (creo) lo que pueda decir aqui o mucho la importancia que se le de a mi opinion ya que so relativamente nuevo en FDW.


Leyendo este tema, te tomo la palabra Mickel


Cuando existia MDW se buscaba la respuesta ahi, e incluso se decia en MDW que el FDW era para "discutir la casuistica".

Ahora con MDW fuera FDW se a transformado en "otro foro mas", pero
eso es responsabilidad de todos quienes "participamos" del foro.

Cada uno hace este foro, cada uno lo puede convertir en algo "mas profesional" o algo comun y corriente.


Todo depende de los temas y respuesta que uno de, si uno cree tener un tema interesante, ya ahi esta! postearlo, aunque no sea para pedir ayuda y aunque creas que nadie le intersara( sorry pero hasta ahora creo que solo e pedido ayuda )
igual postealo, mas de alguno lo leera y puedes hacer algo de interes, que pronto pueda pasar a las FAQ´s, o a MDW o a alguna parte como articulo.

Es cierto existen bastantes foros, y comunidades en ingles que "son mejores" pero.......... son mejores por que uno lee solo lo que quiere leer o no?
ya que esta en ingles no creo que (sin animos de ofender ni molestar) tu Angel te leas todos los post que ahi existen.
SIendo que como toda comunidad ahi post "no profesionales", es verdad la idea de hacer algo en español como los foros de devshed, phpbuilder, Zend es genial pero para eso todos debemos trabajar y no solo proponiendo nuevos "sub-foros" ni poniendo temas como importantes si no respondiendo y planteando temas de forma "profesional".

Bueno creo que no escribo mas por que si no terminare enredandome y ademas mis animos no están como para seguir escribiendo.

Saludos a todos

[Webstudio]

Bueno, un par de aclararciones en este post, que me parecen necesarias.
MDW no desapareció, tan solo estuvo un tiempo offline mientras Christian lo reprogramaba todo en PHP. La verdad que estuvo haciendo un buen trabajo y ya se puede visitar una versión "light" de MDW nuevamente, con todas sus editoriales.

Y un pequeño comentario sobre lo que dijo Mickel, que me causó mucha gracia, por el error involuntario que cometió, pero que no dejó de hacerme lanzar una risa :

con documentacion OpenGL

OpenGL ? jajajaajaja ya imagino la documentación de Cluster moviendose como un salvapantallas de Windows!!!

Obviamente a lo que Mickel se quiso referir es a GPL, que suenan bastante parecido.

Saludos.

[epplestun]

jeje k sepas k se puede trabjar con php y opengl jeje asi que se podria hacer una manual en opengl para eso esta gtkglarea es experimental jej pero se podria hacer :P

[Mickel]

OpenGL ? jajajaajaja ya imagino la documentación de Cluster moviendose como un salvapantallas de Windows!!!

Tienes razon, Webstudio! Que verguenza! La moraleja es escribir DESPUES de tomar el cafe, no antes

Y, a todo esto, ya esta de nuevo MDW en linea? A ver si es verdad tanta belleza...

[chubu]

AngelRoyo,

definitivamente estoy de acuerdo con lo comentado por Cluster y y veo en el post de josemi el punto adecuado para enfocar el asnto.

El tema aqui pasa porque la comunidad que comprende forosdelweb actualmente esta formada por varios sectores, algunos interesados en el php (principiantes, intermedios, avanzados) y otros interesados en solucionar sus problemas, o en cumplir con lo que su patrón pide.

Toda esta gente forma el foro de php, y nosotros, como parte de alguno de estos sectores interesados en el php, debemos tratar de "llevar por la buena senda" al resto. Esto lo hacemos con actitudes como las que comenta Cluster, dando respuestas más teóricas que prácticas, dando pie al debate, comentando el código que posteamos, tratando de inculcar buenas prácticas, pero de ninguna manera tratando de imponer, es el peor error que podemos cometer.

Esta comunidad seguirá creciendo, y de como nos manejemos los que respondemos / formulamos preguntas va a depender si los usuarios van nutriendo el grupo de interesados en php, o siguen queriendo zafar de sus problemas sin sudar. Esto es como evangelizar, y al hacerlo la gente a quien vamos a "evangelizar" quiere escuchar cosas que suenen lindo a sus oidos. Ejemplo: si un tipo viene y pregunta "como mando un mail con attachment?" y yo le salgo con teoria de MIME y con cómo hacer una clase para ello el tipo se va a ir asustadisimo a hotscripts a buscar su paquetito que resuelva su problema sin complicarle la vida. En cambio si le digo "mirá, lo podés hacer con la función mail haciendo esto y esto otro" ese usuario va a ser feliz y va a seguir viniendo a buscar sus respuestas, y con el tiempo se va a interesar por el asunto. Es eso o nada, no se puede pretender cortar de raiz a la gente que solo quiere código, hay que tratar de interesarlos en esto.

O sea, no nos engañemos, yo cuando entro a un foro también quiero ver enseguida la respuesta a mi inquietud, no entro a un foro a buscar un tutorial de iptables, ento a buscar el maldito parámetro no documentado que me esta destruyendo el cerébro. Creo que ese error de apreciación es el causante de este malentendido. No podemos pretender que el foro de php de FDW sea un sitio completo sobre php, es un foro, solamente eso, en un foro un usuario busca o bien cosas básicas (el novato / intermedio), o bien puntualidades (los mas avanzados).

Sigamos buscando el crecimiento de esta comunidad,

saludos,

chubu

[Cluster]

Al hilo de lo q comenta Chubu ..

Cabe destacar que yo he aprendido con el foro y .. por supuesto siguiendo las recomendaciones que me han ido diciendo gente como Webstudio, Hermino y otros tantos .. ademas q siempre apredo algo nuevo aquí. Solo hay q ver mis primeros mensajes.

Ahora me toca a mi seguir la "senda" que dejaron otros y poner sobre el foro lo q sé ..

Un saludo,