¿Es segura esta forma de autentificarse?

[ferny]

Código PHP:

  <?php 
// Autentificación 
$usuario = "pepe"; 
$contrasena = "hola"; 
 
if (!isset($_SERVER['PHP_AUTH_USER']) || !(strtolower($_SERVER['PHP_AUTH_USER']) == $usuario ) || !isset($_SERVER['PHP_AUTH_PW']) || !(strtolower($_SERVER['PHP_AUTH_PW']) == $contrasena)) { 
    header("WWW-Authenticate: Basic realm=\"Se requiere de una Autorizacion para entrar a esta pagina\""); 
    header("HTTP/1.0 401 Unauthorized"); 
    echo '¡La autorización es requerida!'; 
    exit; 
} 
 
// Contenidos para los que se requiere acceso... 
echo "Tienes acceso"; 
?>   

Pues eso, me parece una forma muy simple y por eso me gusta para una aplicación que estoy haciendo pero mi duda está en cuánto de segura es esta forma...

Saludos

[.php]

yo opino que si, pero despues te daras cuenta que necesitaras hacer perfiles de usuarios. y para eso es mejor trabajarlo con una base de datos y tepos de accesos, pero si lo puedes dominar con el codigo.
tu veras, es algo que se aprendera con el tiempo

[vevni]

si, esa es una forma de seguridad muy basica.......... pero igual puede ser violada...

ahora. puedes usar php con mysql para crear tu autentificador, para ser asi mas personalizado, en la red hay muchos ya..... te comentaria sobre el autentificador de cluster, pero kreo k tiene un bug entonces fue dado de baja.....

[.php]

mmmmmmmmm

como puede ser violada??

[nicolaspar]

mmm, pregunto lo mismo vevni!, como puede ser violada sin tener acceso al php o a la tortura de ferny??

[ferny]

Obviamente también me interesa cómo puede ser violada

En realidad no necesito nada más ya que es para una aplicación muy simple (un panel de control) en que sólo dos personas vamos a tener acceso. Ahora mismo lo tengo hecho con sesiones pero me parece más simple esta otra forma.

[vevni]

orale, nunca han visto...... documentos relacionados a eso..????

me sorprende viniendo de nicolaspar......
que paso nicolaspar, me recuerdas,???

recuerdas cuando tratamos de extender el conocimiento.... por medio del chat.. y diste una tranquila platica de expresiones regulares???

saludos carnal..

[nicolaspar]

No soy ningún gurú, si se de varios aspectos de seguridad, pero de "inyectar" variables $_SERVER's no (convengamos que hacerlo es romper php en si y para mi sería nuevo)...no lo pregunte de irónico sino para aprender...podrás explicarnos al menos la teoría de como romper esto?

[.php]

yo sigo pensando, que no se puede por que el nombre de usuario esta en el php y no hay forma de hacer inyeccion sql. ni dessvordamientos de variables.
eso solo fue un carril. si me equivoco.
que vevni de un ejemplo como se vulnera ese mismo codigo.

[Falhor]

Si en el formulario se pusiera como usuario por ejemplo:

' . $usuario . '

Y lo mismo en contraseña pero con $contrasena??

Probalo, la verdad que ni idea de seguridad pero es lo que se me ocurre.

[ferny]

Lo acabo de probar pero no funciona

Se le puede meter alguna función para "limpiar" los datos introducidos, ¿cuál sería la recomendable?

[.php]

Código PHP:

  replace();  
   

[ferny]

¿Y haciendo un htmlentities() seguido de un addslashes()?

[.php]

Iniciado por ferny

Código PHP:

  <?php 
// Autentificación 
$usuario = "pepe"; 
$contrasena = "hola"; 
 
if (!isset($_SERVER['PHP_AUTH_USER']) || !(strtolower($_SERVER['PHP_AUTH_USER']) == $usuario ) || !isset($_SERVER['PHP_AUTH_PW']) || !(strtolower($_SERVER['PHP_AUTH_PW']) == $contrasena)) { 
    header("WWW-Authenticate: Basic realm=\"Se requiere de una Autorizacion para entrar a esta pagina\""); 
    header("HTTP/1.0 401 Unauthorized"); 
    echo '¡La autorización es requerida!'; 
    exit; 
} 
 
// Contenidos para los que se requiere acceso... 
echo "Tienes acceso"; 
?>   

Pues eso, me parece una forma muy simple y por eso me gusta para una aplicación que estoy haciendo pero mi duda está en cuánto de segura es esta forma...

Saludos

ferny, entonces ya sabes que este metodo al parecer si es algo pequeño lo que haces es seguro.
no hay forma de hackearla a menos que sepan la clave y el usuario
igual seria bueno que valides los datos que son ingresados en el campo user y password aunque no pasa nada ya que no se conecta a niuna base de datos, solo es validada con un strin fijo que son:
$usuario = "pepe";
$contrasena = "hola";

[ferny]

Bueno de todas formas si vevni o alguien mas conoce fallos de seguridad aplicables a este método me gustaría que los pasara por aquí, pero parece que la falta de comentarios es buena señal

Al hilo de esto mismo... ¿que sería lo recomendable para filtrar consultas mysql y evitar ataques sql injection o xss? He buscado un poco y me construí esta función para validar cualquier dato que pasa por mysql:

Código PHP:

  # Función para evitar ataques SQL injection y XSS
function limpiar_sql($value){
    $value = trim(htmlentities($value)); // Evita introducción código HTML
    if (get_magic_quotes_gpc()) $value = stripslashes($value);
    $value = mysql_real_escape_string($value);
    return $value;
}  
   

Saludos

[nicolaspar]

Con esa función estarás bien, de hecho, estas trabajando con una función propia de mysql (mysql_real_escape_string) y que no hay mejor manera.

Con la bomba que tiro vevni, por mi parte sigo esperando que aparezca a dar fundamentos a su respuesta (siempre para aprender obvio esta)...

[.php]

jajajjajaja.
a lo mejor estaba aburrido y quiso decir algo

[foo]

Iniciado por nicolaspar

Con esa función estarás bien, de hecho, estas trabajando con una función propia de mysql (mysql_real_escape_string) y que no hay mejor manera.

esa funcion solo deja una falsa sensacion de seguridad si los contextos en los que se utiliza no son los adecuados.

[nicolaspar]

La verdad no te comprendo...que quisiste decir? y si podes poner un ejemplo mejor aún.

[foo]

que esa funcion solo sirve para determinados casos, pero no protege completamente de "ataques" xss, por ejm:

$url = limpiar_valor("javascript:alert('XSS')")
//...
echo '<a href="' . $url . '">Enlace</a>';

[.php]

esta bien, pero se sabe que los simbolos extraños se pueden reemplazar
tales como ' " : _ - y el que uno crea necesario.
es decir, antes de esar evaluada la cadena se puede aplicar un replace()

[foo]

de eso no hay duda, yo solo demuestro que el -solo- uso de esa funcion produce una falsa sensacion de seguridad

[nicolaspar]

foo, no esta mal lo que decís, pero estamos confundiendo, y a mi se me paso por alto.
Yo cuando exprese opinión sobre mysql_real_escape_string me refería explícitamente a sql inyection, si no quedo claro lo aclaro ahora :P. En la función que presenta ferny tenes el htmlentities para los casos de xss (cosa que que no alcanza a mi parecer y quedo mas que obvio con tu ejemplo), pero no había visto el comentario de la función que dice: "Función para evitar ataques SQL injection y XSS".
, de haberlo visto habría hecho un comentario a esto, sorry.

Personalmente tengo ambas cosas separadas, y si sirve de algo, una de las funciones que uso para xss es la siguiente (es la que tengo a mano)

Código PHP:

  function sacarXss($val) {
   $val = preg_replace('/([\x00-\x08][\x0b-\x0c][\x0e-\x20])/', '', $val);
   $search = 'abcdefghijklmnopqrstuvwxyz';
   $search .= 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';
   $search .= '1234567890!@#$%^&*()';
   $search .= '~`";:?+/={}[]-_|\'\\';
   for ($i = 0; $i < strlen($search); $i++) {
      $val = preg_replace('/(&#[x|X]0{0,8}'.dechex(ord($search[$i])).';?)/i', $search[$i], $val); // with a ;
      $val = preg_replace('/(&#0{0,8}'.ord($search[$i]).';?)/', $search[$i], $val); // with a ;
   }
   $ra1 = Array('javascript', 'vbscript', 'expression', 'applet', 'meta', 'xml', 'blink', 'link', 'style', 'script', 'embed', 'object', 'iframe', 'frame', 'frameset', 'ilayer', 'layer', 'bgsound', 'title', 'base');
   $ra2 = Array('onabort', 'onactivate', 'onafterprint', 'onafterupdate', 'onbeforeactivate', 'onbeforecopy', 'onbeforecut', 'onbeforedeactivate', 'onbeforeeditfocus', 'onbeforepaste', 'onbeforeprint', 'onbeforeunload', 'onbeforeupdate', 'onblur', 'onbounce', 'oncellchange', 'onchange', 'onclick', 'oncontextmenu', 'oncontrolselect', 'oncopy', 'oncut', 'ondataavailable', 'ondatasetchanged', 'ondatasetcomplete', 'ondblclick', 'ondeactivate', 'ondrag', 'ondragend', 'ondragenter', 'ondragleave', 'ondragover', 'ondragstart', 'ondrop', 'onerror', 'onerrorupdate', 'onfilterchange', 'onfinish', 'onfocus', 'onfocusin', 'onfocusout', 'onhelp', 'onkeydown', 'onkeypress', 'onkeyup', 'onlayoutcomplete', 'onload', 'onlosecapture', 'onmousedown', 'onmouseenter', 'onmouseleave', 'onmousemove', 'onmouseout', 'onmouseover', 'onmouseup', 'onmousewheel', 'onmove', 'onmoveend', 'onmovestart', 'onpaste', 'onpropertychange', 'onreadystatechange', 'onreset', 'onresize', 'onresizeend', 'onresizestart', 'onrowenter', 'onrowexit', 'onrowsdelete', 'onrowsinserted', 'onscroll', 'onselect', 'onselectionchange', 'onselectstart', 'onstart', 'onstop', 'onsubmit', 'onunload');
   $ra = array_merge($ra1, $ra2);
   $found = true; 
   while ($found == true) {
      $val_before = $val;
      for ($i = 0; $i < sizeof($ra); $i++) {
         $pattern = '/';
         for ($j = 0; $j < strlen($ra[$i]); $j++) {
            if ($j > 0) {
               $pattern .= '(';
               $pattern .= '(&#[x|X]0{0,8}([9][a][b]);?)?';
               $pattern .= '|(&#0{0,8}([9][10][13]);?)?';
               $pattern .= ')?';
            }
            $pattern .= $ra[$i][$j];
         }
         $pattern .= '/i';
         $replacement = substr($ra[$i], 0, 2).'<x>'.substr($ra[$i], 2);
         $val = preg_replace($pattern, $replacement, $val);
         if ($val_before == $val) {
            $found = false;
         }
      }
   }
}  
   

[foo]

La función que comentas fallaría para este caso (puedes encontrar mas casos en http://ha.ckers.org/xss.html):

$url = sacarXss("javas&#x0A;cript:alert('XSS');")
//...
echo '<a href="' . $url . '">Enlace</a>';

nota: el mensaje xss solo se muestra en IE

[nicolaspar]

Interesante foo!!! tenes alguna función que recomiendes para esto?

[foo]

en realidad la funcion que comentas hace bien las cosas, solo que para aplicarla hay que tener en cuenta el contexto

los ejemplos que puse, hubieran sido fácilmente evitados si se hubiera hecho uso de urlencode sobre el valor de $url.

[ferny]

Una pregunta nicolaspar, ¿podrías poner un ejemplo de código de cómo usar esa función?

[nicolaspar]

Le esta faltando el return sería con él mas un ejemplo así:

Código PHP:

  function sacarXss($val) {
   $val = preg_replace('/([\x00-\x08][\x0b-\x0c][\x0e-\x20])/', '', $val);
   $search = 'abcdefghijklmnopqrstuvwxyz';
   $search .= 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';
   $search .= '1234567890!@#$%^&*()';
   $search .= '~`";:?+/={}[]-_|\'\\';
   for ($i = 0; $i < strlen($search); $i++) {
      $val = preg_replace('/(&#[x|X]0{0,8}'.dechex(ord($search[$i])).';?)/i', $search[$i], $val); // with a ;
      $val = preg_replace('/(&#0{0,8}'.ord($search[$i]).';?)/', $search[$i], $val); // with a ;
   }
   $ra1 = Array('javascript', 'vbscript', 'expression', 'applet', 'meta', 'xml', 'blink', 'link', 'style', 'script', 'embed', 'object', 'iframe', 'frame', 'frameset', 'ilayer', 'layer', 'bgsound', 'title', 'base');
   $ra2 = Array('onabort', 'onactivate', 'onafterprint', 'onafterupdate', 'onbeforeactivate', 'onbeforecopy', 'onbeforecut', 'onbeforedeactivate', 'onbeforeeditfocus', 'onbeforepaste', 'onbeforeprint', 'onbeforeunload', 'onbeforeupdate', 'onblur', 'onbounce', 'oncellchange', 'onchange', 'onclick', 'oncontextmenu', 'oncontrolselect', 'oncopy', 'oncut', 'ondataavailable', 'ondatasetchanged', 'ondatasetcomplete', 'ondblclick', 'ondeactivate', 'ondrag', 'ondragend', 'ondragenter', 'ondragleave', 'ondragover', 'ondragstart', 'ondrop', 'onerror', 'onerrorupdate', 'onfilterchange', 'onfinish', 'onfocus', 'onfocusin', 'onfocusout', 'onhelp', 'onkeydown', 'onkeypress', 'onkeyup', 'onlayoutcomplete', 'onload', 'onlosecapture', 'onmousedown', 'onmouseenter', 'onmouseleave', 'onmousemove', 'onmouseout', 'onmouseover', 'onmouseup', 'onmousewheel', 'onmove', 'onmoveend', 'onmovestart', 'onpaste', 'onpropertychange', 'onreadystatechange', 'onreset', 'onresize', 'onresizeend', 'onresizestart', 'onrowenter', 'onrowexit', 'onrowsdelete', 'onrowsinserted', 'onscroll', 'onselect', 'onselectionchange', 'onselectstart', 'onstart', 'onstop', 'onsubmit', 'onunload');
   $ra = array_merge($ra1, $ra2);
   $found = true; 
   while ($found == true) {
      $val_before = $val;
      for ($i = 0; $i < sizeof($ra); $i++) {
         $pattern = '/';
         for ($j = 0; $j < strlen($ra[$i]); $j++) {
            if ($j > 0) {
               $pattern .= '(';
               $pattern .= '(&#[x|X]0{0,8}([9][a][b]);?)?';
               $pattern .= '|(&#0{0,8}([9][10][13]);?)?';
               $pattern .= ')?';
            }
            $pattern .= $ra[$i][$j];
         }
         $pattern .= '/i';
         $replacement = substr($ra[$i], 0, 2).'<x>'.substr($ra[$i], 2);
         $val = preg_replace($pattern, $replacement, $val);
         if ($val_before == $val) {
            $found = false;
         }
      }
   }
  return $val;
} 

echo sacarXss("testeando javascript:alert('hola');");  
   

[ferny]

Eso es lo que me faltaba pues no veía que retornara nada la función

[AbdelioR]

Que tal estaria esta funcion? es la que puso ferny pero con sustitución de caracteres extraños:

Código PHP:

  # Función para evitar ataques SQL injection y XSS 
function limpiar_sql($value){ 
    $value = trim(htmlentities($value)); // Evita introducción código HTML 
    if (get_magic_quotes_gpc()) $value = stripslashes($value); 
    $value = mysql_real_escape_string($value); 
 
$carac= array(":", "/", "\", "  ", ";", "%", "$", "=", "|"); 
$value = str_replace($carac, "", $value); 
 
return $value; 
}  
   

Seria segura?