login  Naam:   Wachtwoord: 
Registreer je!
 Forum

beveiligen??

Offline ottorocket - 14/08/2006 18:03
Avatar van ottorocketOnbekend Hoe kan ik mijn scripts beveiligen tegen injecties?
Dus als er iets wordt opgeslagen in de database van een input veld??
met addslashes()?
Zijn er nog meer mogenlijkheden?

9 antwoorden

Gesponsorde links
Offline Ch0coschijt - 14/08/2006 18:08 (laatste wijziging 14/08/2006 18:11)
Avatar van Ch0coschijt HTML interesse op phpfreakz stond d8 ik een tut erover

edit:
Link: http://www.phpfreakz.nl/artikelen.php?aid=106
Offline Gerard - 14/08/2006 18:09
Avatar van Gerard Ouwe rakker Hier zijn al meerdere threads over geweest en de beste oplossing is nogsteeds PHP.net: mysql_real_escape_string.
Offline ottorocket - 14/08/2006 18:16 (laatste wijziging 14/08/2006 18:17)
Avatar van ottorocket Onbekend dit is een stukje van mijn registratie die ik had
php code - Bekijk de code zonder highlighting - Klap code in 
  1. <?php
  2. 		$wachtwoord = (sha1(md5($_POST['wachtwoord'])));
  3. 		$datum = time();
  4. 		$ip = getip();
  5. 		$land = $_POST['land'];
  6. 		mysql_query("INSERT INTO leden (naam, wachtwoord, email, datum, ip, land) VALUES ('".$_POST['naam']."', '".$wachtwoord."', '".$_POST['email']."', '".$datum."', '".$ip."', '".$land."')") or die(mysql_error());
  7. 		echo "<tr><td>U bent met succes geregistreerd.</td></tr>";
  8. 		echo "<tr><td><a href='home.php'>Ga verder</a></td></tr>";
  9. ?>


na beveiligen kwam ik dit uit

php code - Bekijk de code zonder highlighting - Klap code in 
  1. <?php
  2. $naam = mysql_real_escape_string($_POST['naam']);
  3. 		$wachtwoord_input = mysql_real_escape_string($_POST['wachtwoord']);
  4. 		$wachtwoord = (sha1(md5($wachtwoord_input)));
  5. 		$email = mysql_real_escape_string($_POST['email']);
  6. 		$datum = time();
  7. 		$ip = getip();
  8. 		$land = $_POST['land'];		
  9. 		mysql_query("INSERT INTO leden (naam, wachtwoord, email, datum, ip, land) VALUES ('".$naam."', '".$wachtwoord."', '".$email."', '".$datum."', '".$ip."', '".$land."')") or die(mysql_error());
  10. 		echo "<tr><td>U bent met succes geregistreerd.</td></tr>";
  11. 		echo "<tr><td><a href='home.php'>Ga verder</a></td></tr>";
  12. ?>


is dit onderste stukje script veiligen tegen injecties en andere hackers toestanden?
Offline Simon - 14/08/2006 18:34
Avatar van Simon PHP expert een wachtwoord moet je volgens mij niet beveiligen tegen mysql injection, want er wordt een hash gevormd waarin geen schadelijke zaken zitten 
bij land heb ik mijn twijfels, gebruik je een select?
Offline ottorocket - 14/08/2006 18:39
Avatar van ottorocket Onbekend ja, land is een selectie blokje

dat van wachtwoord wist ik niet, maar naam zou normaal ook niet kunnen omdat hij daarvoor al controleert of er enkel nummers en letters inzitten, maar voor de zekerheid
Offline jensen - 14/08/2006 22:06 (laatste wijziging 14/08/2006 22:08)
Avatar van jensen Nieuw lid
php code - Bekijk de code zonder highlighting - Klap code in 
  1. <?php/**
  2.      * Prepare a variable for use in a query.
  3.      * @param mixed $value The value that needs to be prepared.
  4.      * @access public
  5.      * @return mixed
  6.      */
  7.     public function prepareForQuery($value) {
  8.         // Strip slashes
  10.     		$value = stripslashes($value);
  11.     	}
  12.  
  13.         // Only add quotes if it's not a numeric string.
  14.         if (!is_numeric($value)) {
  15.         	$value = "'".mysql_real_escape_string($value)."'";
  16.         }
  17.         return $value;
  18.     }
  19.  
  20.     /**
  21.      * Clean the input from a form so that hacks don't work.
  22.      * @param pointer $var The variable to clean.
  23.      * @return mixed cleaned (array of) variable(s). 
  24.      */     
  25.     public function cleanFromInput($var) {
  26.     	$search = array(
  27.             "'<script[^>]*?>.*?</script>'si",
  28.             "'<frame[^>]*?>.*?</frame>'si",
  29.             "'<object[^>]*?>.*?</object>'si",
  30.             "'<meta[^>]*?>.*?</meta>'si",
  31.             "'<applet[^>]*?>.*?</applet>'si",
  32.             "'<link[^>]*?>.*?</link>'si",
  33.             "'<iframe[^>]*?>.*?</iframe>'si",
  34.             "'<style[^>]*?>.*?</style>'si"
  35.         );
  36.  
  37.         $replace = array('');
  38.         $resarray = array();
  39.         $tel = 0;
  40.         foreach (func_get_args() as $var) {
  41.             // Get var
  42.            // if (empty($var)) {
  43.                // continue;
  44.             //}
  45.             $ourvar = &$var;
  46.             $tel++;
  47.  
  48.             if (!isset($ourvar)) {
  49.                 $ourvar = NULL;
  50.                 array_push($resarray, $ourvar);
  51.                 continue;
  52.             }
  53.             if (empty($ourvar)) {
  54.                 array_push($resarray, $ourvar);
  55.                 continue;
  56.             }
  57.  
  58.             // Clean var
  60.                 if (is_array($ourvar)) {
  61.                     foreach ($var as $k=>$v) {
  62.                         $ourvar[$k] = stripslashes($v);
  63.                     }
  64.                 } else {
  65.                     $ourvar = stripslashes($ourvar);
  66.                 }
  67.             }
  68.             $ourvar = preg_replace($search, $replace, $ourvar);
  69.             array_push($resarray, $ourvar);
  70.  
  71.  
  72.         }
  73.  
  74.         // Return vars
  75.         if ($tel == 1) {
  76.             return $resarray[0];
  77.         } else {
  78.             return $resarray;
  79.         }        
  80.     }
  81. ?>

Om de input van een form te cleanen:
php code - Bekijk de code zonder highlighting - Klap code in 
  1. $var = cleanFromInput($_POST['var'] [, $_POST['var2'], ...]);


Om iets te cleanen alvorens in de databank te stoppen:
php code - Bekijk de code zonder highlighting - Klap code in 
  1. $var = prepareForQuery($var);
Het gebruik is vrij eenvoudig, en vrij secure.
Offline Maarten - 14/08/2006 22:13 (laatste wijziging 14/08/2006 22:14)
Avatar van Maarten Erelid Ooit van strip_tags gehoord? En die cleanforoutput is nutteloos, htmlentities() doet het allemaal.

Gewoon mysql_real_escape_string bij insert, en htmlentities bij uitlezen, en klaar.
Offline jensen - 16/08/2006 09:31
Avatar van jensen Nieuw lid Ik wil niet altijd alle HTML weg, soms vereist een inputveld wel HTML input, daarom clean ik alleen de voor mij gevaarlijke input.
Offline xSc - 16/08/2006 13:41
Avatar van xSc Onbekend Ik gebruik eigenlijk altijd addslashes, intval en floatval.

Wat houdt dit in? $ip = getip();
Je kunt toch $_SERVER['REMOTE_ADDR'] gebruiken?
Gesponsorde links
Dit onderwerp is gesloten.
Actieve forumberichten
© 2002-2025 Sitemasters.be - Regels - Laadtijd: 0.294s