Seguridad PHP

[osaka80]

Hola a todos, es sobre el tema de Seguridad en PHP, por ahí leí un articulo de Seguridad Básica http://www.forosdelweb.com/f18/aport...a-php-1011808/, he rescatado algo sencillo y mis mis dudas son:

- Mayormente donde realizamos un mayor control de seguridad, al enviar datos al servidor(es decir cualquier tipo de formulario)??
Algo que me a sido de utilidad es lo siguiente:
$cadena = $_POST['cadena'];
$cadena = mysqli_real_escape_string($cadena);

Con eso controlo evitar errores en una consulta SQL.

- Que otro tipo de seguridad debe tener una web, es decir tener un sistema básico para evitar posibles ataques.

Un Saludo

[quimfv]

Con eso controlo evitar errores en una consulta SQL.

Con eso controlas la inyección de codigo no los errores en las consultas.

[osaka80]

Iniciado por quimfv

Con eso controlas la inyección de codigo no los errores en las consultas.

Bueno eso, que me he liado al explicarlo

[leonaryoel]

Es bien interesante este tema de la seguridad, a muchos nos hace falta más información sobre esto, por favor mantengas este tema actualizado

[efedefernan]

Te recomiendo usar consultas parametrizadas. Evitarás todo tipo de inyección SQL.
Un saludo.

[maycolalvarez]

eso solo sirve contra SQLInyection, además te recomiendo usar PDO con consultas preparadas.

temas de seguridad básicos a tener en cuenta:

XSS
CSRF
SQL Inyection
RFI (remote file inclusion)
Inyección de Uploads

entre otros

[webankenovi]

aqui puedes encontrar mucha informacion sobre vulnerabilidades y demas

http://www.forosdelweb.com/f18/seguridad-web-1004102/

con el codigo que pusiste te pueden colar un xss de escandalo

[osaka80]

Iniciado por webankenovi

aqui puedes encontrar mucha informacion sobre vulnerabilidades y demas

http://www.forosdelweb.com/f18/seguridad-web-1004102/

con el codigo que pusiste te pueden colar un xss de escandalo

Como que tipo , echare un vistazo a la info que me acabas de pasar.

[webankenovi]

todo lo que provenga de un formulario tiene que estar validado y saneado

ejemplos
http://www.php.net/manual/es/filter.examples.php

digamos que si un dato solo puede ser numeros verificamos que la variable solo contenga numeros , igual con solo letras ,letras y numeros, direcciones email , passwords etc..... despues la escapamos o mejor aun usamos PDO y despues lo suyo seria encriptar los datos en la bd y desenciptarlos despues pero bueno eso ya es otro cuento

http://es1.php.net/manual/es/book.pdo.php
http://www.php.net/manual/es/book.ctype.php

y tambien puedes usar expresiones regulares

[osaka80]

Iniciado por webankenovi

todo lo que provenga de un formulario tiene que estar validado y saneado

ejemplos
http://www.php.net/manual/es/filter.examples.php

digamos que si un dato solo puede ser numeros verificamos que la variable solo contenga numeros , igual con solo letras ,letras y numeros, direcciones email , passwords etc..... despues la escapamos o mejor aun usamos PDO y despues lo suyo seria encriptar los datos en la bd y desenciptarlos despues pero bueno eso ya es otro cuento

http://es1.php.net/manual/es/book.pdo.php
http://www.php.net/manual/es/book.ctype.php

y tambien puedes usar expresiones regulares

Si eso es lo que realizo mediante un script de javascript, con ello controlo todo tipo de cosas, email sea válido, input que sea para letras o numeros,etc, el password lo encripto y despues de validar todo ello hago uso de esto:
$cadena = $_POST['cadena'];
$cadena = mysqli_real_escape_string($cadena);

para evitar que en variables que sean de texto no se cuelen caracteres, algo así como un control de inyección.

[webankenovi]

bueno pero la validacion con javascript puede ser que se la salten , esta bien que verifiques en javascript en el lado del cliente pero tambien has de hacerlo en el servidor cuando los datos lleguen ,es mas importante validar en el servidor que en el cliente ..

mas bien que un control de inyeccion sera un control de validacion

[osaka80]

Iniciado por webankenovi

bueno pero la validacion con javascript puede ser que se la salten , esta bien que verifiques en javascript en el lado del cliente pero tambien has de hacerlo en el servidor cuando los datos lleguen ,es mas importante validar en el servidor que en el cliente ..

mas bien que un control de inyeccion sera un control de validacion

Esto me a dejado un poco descolado, como que se salten la verificación javascript del lado del cliente, como sería validar del lado del server, un ejemplo minimo por favor.

Muchas Gracias

[webankenovi]

imaginemos que en un formulario un campo donde solo queramos que introduzcan letras y numero

Código PHP:

$text = 'jnth)js7d.ys78'; 
 
if(ctype_alnum (  $text )){
 
echo $text.' es alfanumerica';
 
}else{
 
echo $text.' no es alfanumerica';
 
}