posible xss o injection??

[deepBLUEonline]

hola gente

normalmente mis sitios php incluyen en el index (el cual incluye las secciones) el siguiente codigo:

Código PHP:

  foreach($_REQUEST as $nombre_campo => $valor){  
   $asignacion = "\$" . $nombre_campo . "='" . $valor . "';";  
   eval($asignacion);  
}  
   

no hace mas que capturar todo el $_REQUEST y transformarlo en variables comunes..




intentando evitar ataques via XSS o SQL injection es el unico codigo que me resta por analizar, pero no logro llegar a la conclusion de si es o no peligroso o deberia escribir todas y cada una de las variables.



ustedes que opinan?

[foo]

con el codigo que muestras no es posible determinar si es vulnerable a ataques xss o sql injection, pero es vulnerable a otro tipo de ataque aun peor, porque se puede ejecutar codigo php arbitrario (gracias a eval)

una alternativa a lo que muestras, podria ser extract($_REQUEST);, pero ignoro las consecuencias que esto pueda acarrear en la aplicacion que tienes

[Cluster]

No usaría en general la técnica que muestras .. por lo menos aplicada a $_REQUEST, .. fijate que contiene dicho array superglobal: todo lo que llega en GET, POST o sea una COOKIE, así que estás en los mismos problemas (no de XSS o inyección SQL en sí) que cuando PHP "sacó" o definió los arrays superglobales por separado: $_GET, $_POST .. etc para solventar esos problemas.

Si quieres convertir en variables simples lo que venga en cierto método .. hazlo, pero sólo de que NECESITES .. es decir .. aplica extract() a $_POST .. o a $_GET pero no también a $_COOKIE.

Realmente deberías acceder directametne a los arrays por separado y no en forma global ..´

Por lo demás los ataques "XSS" o de inyección SQL van en función del filtrado que hagas al dato que te llega.

Para eso caso de XSS .. aplicar striptags() o función equivalente para elminiar todo lo que esté entre <.... y ...> que es código HTML/Javacript/etc a ejecutar con fines "maliciosos". Para el caso de "inyección SQL" una de las primeras técnicas a usar es la de "escapar" todo caracter potencialmente peligroso para ejecutar tu consulta SQL a tu BBDD con ayuda de mysql_real_escape_string() o función equivalente (addslashes() ..)

Un saludo,

[deepBLUEonline]

uffff

muchisimas gracias a los dos por las respuestas, tendre que reveer el codigo de casi la mayoria de mis sitios :)


gracias nuevamente!