Duda de seguridad en select's

[Carxl]

Hola a todos!!!

Pues bien, resulta que si quiero que me introduzcan una fecha de nacimiento, la manejo con selects option(dia - mes - año), tres selects. En el momento que recibo los datos por POST, pues lo ùnico que valido es que al concatenar dichos datos, sea una fecha vàlida, osea con checkdate().

Ahora leyendo sobre vulnerabilidades en php, me pregunto esto, es necesario que sabiendo que los datos que componen la fecha vienen de tres select's, valide aùn asì si son nùmeros?. Es que no creo que me puedan "atacar" por medio de select.... o sì????????

Saludos y gracias de antemano...

[pzin]

Hombre, se supone que cuando validas con checkdate() si no son números dará un error. De todas formas, puedes comprobar si son números en formato fecha con ereg() y alguna expresión regular.
Aparte de eso, para evitar el SQL Injection, puedes usar addslashes() para evitar añadir algo a la consulta a la base de datos.

[Carxl]

Ok!!! vale............

Simplemente creo que andaba paranoico no?

Gracias por tu aclaraciòn,

Saludos!

[Carxl]

Ahhh que pena!! otra cosa mas...

Còmo encripto en php5 con sha256?? habrà algùn link de ayuda pora ahì?? Encontrè para php4, pero no sè si me sirva pa' php5...

Alguien me puede dar una mano?. Gracias de nuevo!

[jpinedo]

Iniciado por Carxl

Ahora leyendo sobre vulnerabilidades en php, me pregunto esto, es necesario que sabiendo que los datos que componen la fecha vienen de tres select's, valide aùn asì si son nùmeros?. Es que no creo que me puedan "atacar" por medio de select.... o sì????????

Con checkdate() no validas del todo que sean números. Te pongo un ejemplo:

Código PHP:

  $mes = "12' inyecto comillas y codigo"; 
$dia = 31; 
$anyo = 2007; 
 
if( checkdate($mes, $dia, $anyo) ){ 
    echo "CORRECTO"; 
 
}else{ 
    echo "INCORRECTO"; 
}  
   

Como verás, en $mes he puesto una cadena que, al iniciar con un valor numérico, pasa la validación del checkdate() cuando, en teoría, no debería.

Ahora, tú pensarás que es imposible que $mes llegue a tener ese valor, debido a que controlas la entrada con un select. Pero no te confíes tanto. Si alguien quisiera atacarte aprovechando esa vulnerabilidad, enviaría directamente las variables que quiera a través del método POST sin utilizar tu formulario.

Conclusión:
Cuando manejemos datos de formulario (sobretodo si son sensibles):

1.- Controlar entradas vía formulario (como lo haces con el select).
2.- Validar entrada vía JavaScript.
3.- Validar en el servidor vía PHP.

Las dos primeras no garantizan seguridad. Simplemente te ayudan a minimizar los errores que pueda cometer el usuario. La tercera sí te da una capa de seguridad.

Saludos,