Foro de elhacker.net

Wenaz a todos,..

ando repasando mis scripts php, depurandolos, y checando la seguridad. y me dio la curiosidad de, ustedes como protegen sus aplicaciones php de atajes injection y esas cosas...

que tal usan el htmlentities, addslashes, strpislashes.. los usan asi con la funcion como tal?? o las complementan con instruccion para detectar magic-quotes en el server y esas cosas..

seria bueno que muestren sus codigos aver si nos sirve para mejorarlos..

Funcion anti Inyecciones SQL incluida en SMF, publicada por дٳŦ*

<?php
function addslashes__recursive($var){
if (!is_array($var))
return addslashes($var);
$new_var = array();
foreach ($var as $k => $v)$new_var[addslashes($k)]=addslashes__recursive($v);
return $new_var;
}
$_POST=addslashes__recursive($_POST);
$_GET=addslashes__recursive($_GET);
$_REQUEST=addslashes__recursive($_REQUEST);
$_SERVER=addslashes__recursive($_SERVER);
$_COOKIE=addslashes__recursive($_COOKIE);
?>
 

Saludos  ;)

sip, algo asi uso en los mios =) ésta funcion esta mas completa que la mia :xD

pero si tienes magic-quotes activado?? esa aplicacion t convertira un ' en ///' 

Bueno buscando por el foro veo una solucion a lo del magic quotes



mas scripts para proteger sistemas php?

Es lo mismo que postie yo mas arriba.. :huh:

Saludos  ;D

no es lo mismo facku.. ahi ya implementan un if para solucionar el problema si tienes activado magic quotes ;).. weno es lo mismo pero mejorado ::)


Ahora tengo un problema.. al usar htmlentities en una web  que tengo mod_rewrite, y tratar de agarrar el valor d una variable a travez de get, no lo agarra.. alguien sabe solucionar esto?

postea tu mod

ya vi el problema..

al parecer el codigo que ronda por ahi, es decir:


esta mal...

aki esta corregido:


asi funciona a la perfeccion

Lo cierto es que la función está bastante bien y me ha tenido pensando un par de días ya que tenía en la cabeza que php ya dispone de funciones que permiten recorrer de forma recursiva un array y se podría simplificar o mejorar en la medida que se pueda lo expuesto aquí.

Funcionálmente el uso de esto es transparente pero técnicamente puede tener bastante repercusión en el desarrollo de una aplicación y en su rendimiento.

La teoría es fácil. La función array_walk_recursive toma los datos por referencia por lo tanto en la función callback tenemos que tomar la variable que nos llege por referencia. De esta forma estamos cambiando directamente los valores del array original sin tener que duplicar la información en otra variable.

Otro de los puntos interesantes de esto es donde usar esta función y como. Para mi caso sólo me interesa aplicar esto a las consultas sql que se lancen en mi aplicación, por lo tanto, lo voy a implementar con una función que encapsule el lanzamiento de la consulta.

$params = array("13'3","O'relly",1);
$sql = "SELECT * FROM users WHERE edad = %d AND nombre = '%s' AND status = %d";

function myaddslashes(&$item) {
  $item = addslashes($item);
}

function db_my_query($sql,$params = array()) {
  if (!empty($params)) {
     array_walk_recursive($params,'myaddslashes');
    $sql = vsprintf($sql,$params);
    //return mysql_query($sql);
    return $sql;
  } else {
    return FALSE;
  }
}

print db_my_query($sql,$params);

De esta forma me aseguro, por una parte, que las cadenas de los parámetros de las sql van a tener siempre las comillas escapadas y por otra parte me aseguro que, en todos los casos, cuando la sql requiera una cadena obtenga una cadena y cuando necesite un entero obtenga un entero sin posibilidad de error ya que las cadenas preformateadas no admiten otros tipos de datos mas que los que se especifican en el formateo de la cadena.

Espero que os sirva de algo.

Un saludo,

muy bueno cloud ;)

Evitar XSS
Digamos que busqueda contiene la busqueda realizada

<? $busqueda=str_replace(”‘“,”······”,$busqueda); 
$busqueda=htmlentities($busqueda); 
echo “Resultados de $busqueda”; ?> 

Sí, sí estaba mal XD pero ahí tiene la versión que funciona  :silbar:

Si te refieres a que el código estaba mal... es cierto. Tenía la intención de probar si era más eficiente el uso de expresiones regulares que addslashes... se acabo mi tiempo de ocio en el trabajo xD.

Lo edite para quitar el callback a la función que escapaba las comillas.

Un saludo,

 Para xss y sqlinjections:

 function sana($cadena)
 {
 if (!is_numeric($cadena))
 {
 return htmlentities($cadena,ENT_QUOTES);
 } else {
 return $cadena;
 }
 }

Y tokens por todos sitios para xsrf

 function genToken()
 {
 $charset = "abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789";
 $length = mt_rand (10, 15);
 for ($i=0; $i<$length; $i++) $key .= $charset[(mt_rand(0,(strlen($charset)-1)))];
 return $key;
 }

Saludos.

Estoy aprendiendo PHP y note que esa funcion solo filtra los dos tipos de comillas unicamente en comparacion de mysql_real_escape_string que filtra: \x00, \n, \r, \, ', " y \x1a y evita una inyeccion: Lei esto (http://shiflett.org/blog/2006/jan/addslashes-versus-mysql-real-escape-string)

Yo por lo general uso esta funcion que encontre en la red (para mi la mejor :laugh:)

<?php
// Aplicar comillas sobre la variable para hacerla segura
function comillas_inteligentes($valor)
{
   // Retirar las barras
  if(get_magic_quotes_gpc()){
       $valor = stripslashes($valor);
   }
 
   // Colocar comillas si no es entero
   if (!is_numeric($valor)) {
       $valor = "'" . mysql_real_escape_string($valor) . "'";
   }
   return $valor;
}
 
// Conexion
$enlace = mysql_connect('mysql_host', 'mysql_usuario', 'mysql_contrasenya')
   OR die(mysql_error());
 
// Realizar una consulta segura
$consulta = sprintf("SELECT * FROM usuarios WHERE usuario=%s AND password=%s",
           comillas_inteligentes($_POST['username']),
           comillas_inteligentes($_POST['password']));
 
mysql_query($consulta);
?> 

pero antes filtro los datos con htmlentities  :P


PD: es curioso y/o algo raro que un espacio " " juegue un papel importante aqui porque luego de escribir:
(http://i30.tinypic.com/fc037k.jpg)

e intente previsualizar el post me muestre:
(http://i30.tinypic.com/32ziexz.jpg)

pero cuando escribo:
(http://i26.tinypic.com/10d9lyw.jpg)
recien previsualiza el post  :silbar: