Filtrar HTML, PHP, Java, etc...

[dezagus]

Buenas foreros de la web!

Estoy buscando un script, osea una función... o algo... que me filtre los dátos entrantes de los formularios.

¿Que quiero decir con eso?

Si alguien quiere inyectar php, java o algo por un form, que quite los elementos de html, java, php, etc, que estén intentando inyectar y deje el texto límpio.

Gracias desde ya!

[Gurrutello]

Hola
$datos = strip_tags($_POST['tus_datos']);

http://php.net/manual/en/function.strip-tags.php

saludos

[Danielfuzz]

Hola dezagus, lo que Gurrutelo te indica es bastante útil, también deberias tomar en cuenta algunas cosas como la inyección sql, para ello lo siguiente extraído de wikipedia:

PHP
En el lenguaje PHP, hay diferentes funciones que pueden servir de ayuda para usar con distintos sistemas de gestión de bases de datos. Para MySQL, la función a usar es mysql_real_escape_string:

Código PHP:

  $query_result = mysql_query("SELECT * FROM usuarios WHERE nombre = \"" . mysql_real_escape_string($nombre_usuario) . "\"");  
   

Ahora si usas un framework, podrias usar su clase de seguridad o su clase para BD que te brindan mayor seguridad a la hora de realizar consultas a la BD. Por ejemplo yo uso CodeIgniter que tiene su active record que te proporciona escape automático en sus consultas.

Si deseas podrías darle un leída a http://es.wikipedia.org/wiki/Inyecci%C3%B3n_SQL aunque sé que hay articulos más completos en cuanto a seguridad e inyección sql.

Saludos

[dezagus]

Mil Gracias a los dos!
Maté dos pajaros de un tiro!

[dezagus]

Ah, una duda.
En los form para cargar archivos, hay que poner strips tags? o solo en los forms de carga de texto?

Gracias desde ya!

[Danielfuzz]

strip_tags() sirve para eliminar todas las etiquetas html del string que le pases como parámetro, es decir si haces esto:

Código PHP:

  $texto = strip_tags('<script>alert("hola")</script><b>titulo</b>');  
   

la variable texto quedaría así:

alert("hola")"titulo

osea te quita las etiquetas.

Este strip_tags deberias usar en todos tus campos text, textarea, checkbox (ya que el atacante puede ingeniarselas para enviarte un texto con el nombre del checkbox), radio buttons, etc. No creo q sea necesario que uses para campos file ya que es el nombre de un archivo que lo procesa el servidor y no a nivel de codigo si no a nivel binario, aunq si vas a imprimir el nombre del archivo que subiste tendr;as que usar el striptags.


Aunq también los nombres de archvio no admiten carcteres "<' ni ">" (al menos en Windows), pero no te confies de eso ya que como te dije el atacante puede mandarte una cadena malicionsa en lugar que un archivo.

[duskrow]

mira es facil , solamente has una expresion regular donde tu digas que caracteres quieres y ya , saludos

[dezagus]

Gracias :)!