fallas y errores de php y mysql

[zubintro]

Amigos, entre muchas otras cosas, a todos nos gusta tratar de hacer nuestras aplicaciones mas seguras y lo mejor protegida ante los ataques por lo que les hago las siguientes preguntas:
Cuales consideran ustedes los elementos que pueden hacer a php y/o a mysql vulnerable a los ataque?? cuales creen que pueden ser las principales fallas de las cuales protegerse??

[hector2c]

pues, la inyección de código malicioso al momento de enviar variables... creo que es la principal, o bueno, una de las muchas... puedes leer mas en el siguiene enlace, con un ejemplo básico, demostrando lo facil que es...

[Ronruby]

Pues eso. Siempre tienes que ser extracuidadoso con la informacion que viene de un usuario.
Para evitar inyecciones SQL y otro tipo de cosas que podrian hacerle daño a tu web.

Tambien colocar archivos sensibles un directorio por encima de tu webroot para que los usuarios no tengan acceso a este directamente.

Pero sobretodo, planeacion. Si planeas bien lo que vas a hacer, y te organizas, puedes lograr un excelente proyecto.

Siempre buscale la 5ta pata al gato cuando programes :P

[zubintro]

Alguna persona tendra recopilacion de metodos para evitar la inyeccion de codigo??

[Ronruby]

mysql_real_escape_string
http://www.php.net/manual/es/functio...ape-string.php

Esa funcion evita las inyecciones SQL.
Tambien Dreamweaver tiene una funcion llamada GetSQLValueString.

Código PHP:

  function GetSQLValueString($theValue, $theType, $theDefinedValue = "", $theNotDefinedValue = "")  
{ 
  $theValue = get_magic_quotes_gpc() ? stripslashes($theValue) : $theValue; 

  $theValue = function_exists("mysql_real_escape_string") ? mysql_real_escape_string($theValue) : mysql_escape_string($theValue); 

  switch ($theType) { 
    case "text": 
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL"; 
      break;     
    case "long": 
    case "int": 
      $theValue = ($theValue != "") ? intval($theValue) : "NULL"; 
      break; 
    case "double": 
      $theValue = ($theValue != "") ? "'" . doubleval($theValue) . "'" : "NULL"; 
      break; 
    case "date": 
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL"; 
      break; 
    case "defined": 
      $theValue = ($theValue != "") ? $theDefinedValue : $theNotDefinedValue; 
      break; 
  } 
  return $theValue; 
}