Script maligno a trvés de formulario

[kvoloj]

Hola:

He leído en muchas partes que te pueden subir scripts malignos a tu BBDD a través de los formularios de registro en la página web.

Como puedo mejorar las medidas de seguridad de mis formularios para que esto no ocurra?

Bueno en general cuales puntos debo considerar para tener una web mas segura contra ataques hackers?

Un saludo,

Koldo

[Fuzzylog]

el Sr. Google te ayudará en la búsqueda. Creo que te refieres a la inyección SQL a través de formularios. Lo que tendrías que hacer es en el código impedir que se ingresen consultas SQL o ejecuten sentencias no autorizadas.

[Adler]

Hola

Una función para eliminar todo aquello con lo que se puede atacar a tu bd

Código asp:

Dim str
 
Public Function Limpiar(strlimpiar,modolimpiar)
 
    'modolimpiar = 0 Prepara strlimpiar para un login y evita sql injection 
 
    str = trim(strlimpiar)
    
    Select Case modolimpiar
 
    Case 0:
        str = lcase(str)
        str = replace(str,"  "," ")
        str = replace(str,"=","")
        str = replace(str,"'","")
        str = replace(str,"""""","")
        str = replace(str," or ","")
        str = replace(str," and ","")
        str = replace(str,"(","")
        str = replace(str,")","")
        str = replace(str,"<","[")
        str = replace(str,">","]")
str = replace(str, "%", "")
str = replace(str, "*", "")
        str = replace(str,"--","")
        str = replace(str,"having ","")
        str = replace(str,"group by","")
        str = replace(str,"union select sum","")
        str = replace(str,"union select min","")
        str = replace(str,"select ","")
        str = replace(str,"insert ","")
        str = replace(str,"update ","")
        str = replace(str,"delete ","")
        str = replace(str,"drop ","")
        str = replace(str,"-shutdown","")
        str = replace(str, "iframe", "")
    Case Else 
        str = strlimpiar
    End Select
 
    Limpiar = str
 
End Function
 

Suerte

[mc_quake]

yo ocupo algo similar

Código asp:

Function killChars(strWords)
    dim badChars
    dim newChars
    
    badChars = array("xp_", "<", ">","--", ";--", ";", "/*", "*/", "@@","@", "char", "nchar", "varchar", "nvarchar", "alter", "begin", "cast", "create", "cursor", "declare", "delete", "drop", "end", "exec", "execute", "fetch", "insert","kill", "open", "select", "sys", "sysobjects", "syscolumns", "table", "update","truncate","dim","java", "script","'","´","href","content-transfer-encoding","quoted-printable","content-type","subject:","bcc:","x-mailer")
    newChars = strWords
    
    for i = 0 to uBound(badChars)
    newChars = replace(newChars, badChars(i), "")
    next
    
    killChars = newChars
End Function
 

[kvoloj]

otra pregunta!

Estos códigos son server-side validation o client-side validation?
si son son clinet-side como puedo hacerlos server-side??

(sobra decir que es as y sql)


Muchas Gracias

Koldo

[Adler]

Hola

Este es el foro de ASP, así que ....... del lado del servidor

Suerte

[kvoloj]

Hola Adler:

si, ya me enteré.... no lo sabía!!! pero entre que pregunté y contestaste ya me había enterado.

he probado el código que me dejaste pero no he podido lograr que me funcione en el formulario, no se como ponerlo en el formulario para que éste no solo valide los campos, sino que además evite la inserción de todos los caracteres.

como debo integrar a cada campo del formulario este código?

Gracias

Koldo

[un_tio]

Útil tópic.

Koldo repite la pregunta porque no ha quedado clara. Ese código es para aplicarlo a los valores de los campos del formulario, que el servidor reciba tras un "submit".

[Adler]

Hola

Cuando validas los campos, al mismo tiempo estás evitando la inserción sql

El uso es

Limpiar(Request("campo"),0)

Iniciado por un_tio

Útil tópic.

Koldo repite la pregunta porque no ha quedado clara. Ese código es para aplicarlo a los valores de los campos del formulario, que el servidor reciba tras un "submit".

Cuando recibes los valores del form, le pasa esa función para evitar que un usuario mal intencionado pueda eliminar todos los registros de una tabla, ... por ejemplo

Suerte

[hug0]

que tal? hago una consulta con respecto a este tema, vale la pena pasar el string por server.htmlencode?
Gracias!
Saludos!

[Adler]

Hola

Iniciado por hug0

que tal? hago una consulta con respecto a este tema, vale la pena pasar el string por server.htmlencode?
Gracias!
Saludos!

..... nunca está demás