Foros del Web » Programando para Internet » PHP »

Mejorar seguridad en Web.

Estas en el tema de Mejorar seguridad en Web. en el foro de PHP en Foros del Web. Buenas a todos y saludos otra vez... Tengo una Web diseñada originalmente con phpnuke la cual estoy cambiando cada dos pr tres para dejarla sin ...
  #1 (permalink)  
Antiguo 14/06/2004, 02:30
Inf
 
Fecha de Ingreso: mayo-2004
Mensajes: 8
Antigüedad: 13 años, 6 meses
Puntos: 0
Mejorar seguridad en Web.

Buenas a todos y saludos otra vez...

Tengo una Web diseñada originalmente con phpnuke la cual estoy cambiando cada dos pr tres para dejarla sin ese código y poniendo en su lugar el mío propio, ya que me han dicho y además he podido comprobar que phpnuke deja mucho que desear en cuanto a seguridad de los datos y demás...

El tema es que me gustaría proteger mejor el tema de los cookies y las sesiones, de tal manera que no fuera tan sencillo el que otro usuario se colara o se hiciera con la sesion de otro y sobre todo con alguna sesión de algún moderador que sería bastante peligroso, pues estos tienen más privilegios que los usuarios normales y en muchos sitios de la web tienen acceso a crear, modificar y borrar datos.

Ya de phpnuke queda lo justo, sólo lo del tema del registro y el reconocimiento de usuarios con los cookies y demás, quiero cambiar todo ese sistema para que no sea código estandar por aquello de ponerselo más dificil a la gente con gana de invadir la privacidad de otros.

He leido que mucha gente es capaz de utilizar inyección de sql y así dejar al aire bases de datos con datos vitales, e incluso que se apoderan de los cookies de otros usuarios y le cambian algo y se hacen pasar por él y demás, además de hacerse con las sesiones de estos, para mí sería un caos que alguien se apoderara de mi sesión de usuario pues muchas de las funciones están asociadas a mi nick y sería bastante peligroso.

Por ello ruego que alguien con conocimientos en el tema me de al menos una idea de que procedimiento séría el más correcto y de que forma podría hacerlo, o sea que método sería el más apropiado en estos casos, y si es aconsejable o no el uso de autentificación por cookies los cuales podrian abrir un serio agujero de seguridad.

Si necesitais algún dato más no dudeis en pedirlo.

Muchas gracias a todos y enhorabuena por la web.
  #2 (permalink)  
Antiguo 14/06/2004, 11:27
O_O
 
Fecha de Ingreso: enero-2002
Ubicación: Santiago - Chile
Mensajes: 34.417
Antigüedad: 15 años, 11 meses
Puntos: 126
mm .. El procedimiento sería el de leer sobre el tema .. SI hay problemas de seguridad en una aplicación normalmente es por qué no se ha previsto (por desconocimiento) algún posible problema como el que mencionas de inyección SQL ... Para Mysql en principio se puede solventar gran parte del problema usando mysql_escape_string() antes de dar un dato para tu consulta SQL (para formar tu cadena SQL a ejecutar) .. Eso añade un slash (/) a los caracteres tipo ' (comilla) y similares que son los usados para "componer" ese SQL "malicioso" ...

Los problemas con las sesiones o cookies .. depende mucho como hagas tu programación y parte también sobre la configuración de PHP. Un ejemplo de mala combinación sería NO usar los arrays superglobales ($_SESSION, $_COOKIES .. $_POST .. etc) en conjunto con (php.ini) register_globals a ON .. y usar cosas como $autentificado="SI" como variable "global" de cookie/sesión .. (se vé mucho aunque no lo creas).

En fin .. todo depende de lo que profundices en los temas expuestos. No te olvides de la configuración de PHP .. interviene mucho en la mayoría de problemas de seguridad.

Un saludo,
  #3 (permalink)  
Antiguo 14/06/2004, 12:15
Inf
 
Fecha de Ingreso: mayo-2004
Mensajes: 8
Antigüedad: 13 años, 6 meses
Puntos: 0
re:

Muchas gracias por contestar..

Me interesa bastante eso de evitar lo de la inyeccion de sql evitando las '', por favor podrias hacerme un ejmplo o que codigo deberia de implementar para evitar eso.

Muchisimas gracias y muy amable.

Saludos.
  #4 (permalink)  
Antiguo 14/06/2004, 13:31
O_O
 
Fecha de Ingreso: enero-2002
Ubicación: Santiago - Chile
Mensajes: 34.417
Antigüedad: 15 años, 11 meses
Puntos: 126
Hechale un vistazo a este artículo (y el link de "Documentation" que tienes un PDF completo sobre el tema).

http://www.sklar.com/page/article/owasp-top-ten

Un saludo,
  #5 (permalink)  
Antiguo 15/06/2004, 11:39
Inf
 
Fecha de Ingreso: mayo-2004
Mensajes: 8
Antigüedad: 13 años, 6 meses
Puntos: 0
re:

Muchas gracias por contestar, voy a echarle un vistazo y a ver si consigo hacerlo.

Saludos.
Atención: Estás leyendo un tema que no tiene actividad desde hace más de 6 MESES, te recomendamos abrir un Nuevo tema en lugar de responder al actual.
Respuesta




La zona horaria es GMT -6. Ahora son las 09:33.