PFZ.nl - PHP Community: Veiligheid van website door filteren POST / GET / REQUEST_URI - Discussie - Forum - PFZ.nl - PHP Community

Op 06-01-2012 11:28 schreef Remi R:

Ik hoop veel injecties hiermee te voorkomen.

Op 06-01-2012 12:33 schreef Remi R:

Hey Jason,

Goed punt, mogelijk een optie voor een volgend project, maar de huidige website is een bestaande site die gebruik maakt van de requliere mysql opdrachten. Het is niet mogelijk om de site nu om te zetten naar de veiligere Prepared statements.

<?php
$query = "SELECT kolom FROM tabel WHERE id = ".$id;
?>

<?php
$query = "SELECT kolom FROM tabel WHERE id = '".mysql_real_escape_string($id)."'"; // let op de enkele QUOTES !
?>

Op 06-01-2012 12:56 schreef Remi R:

Al mijn invoer wordt gefilterd, maar een fout zit in een klein hoekje.

Quote

Ik probeer enkel de risico's nóg verder te verkleinen.

Quote

Ik ben op de hoogte van methodes die worden gebruikt bij SQL injectie en hoe die queries worden opgebouwd.

Quote

list table etc.

Quote

Het is niet een kwestie van niet willen, maar als ik alle queries moet gaan aanpassen die aanwezig zijn in de diverse scripts, dan is de kans op typfouten te groot.

Quote

Ik zoek nu een alternatieve oplossing om de site enigszins te beveiligen tot herschrijven van de totale site.

Op 06-01-2012 13:22 schreef Sjaak Ringens:

Dat is het hele punt nu. Er is geen alternatief.

Op 06-01-2012 14:17 schreef Remi R:

Gezien de omvang van de huidige site (ik heb het beheer overgenomen) is het te risicovol om alle queries om te gooien naar de 'veiligere' prepared statements. Ook overal de mysql_real_escape_string toevoegen is niet te doen gezien de omvang.

Op 06-01-2012 15:45 schreef Sjaak Ringens:

Er is altijd wel wat bedenken dat het veiliger maakt, met onderstaande functie bijv. zal er geen sql injectie meer mogelijk zijn

Quote

Er bestaat geen superfunctie om SQL-injectie in één keer te voorkomen.

$_POST[ww] = "sql 'injectie";

function beveiligPost($_POST) { 
    
    foreach($_POST as $key => $value) {
        $_POST[$key] = mysql_real_escape_string($value);
    }
    return $_POST;
}

if ($_POST) {

    $_POST = beveiligPost($_POST);   
}

print $_POST[ww];

Op 13-01-2012 14:40 schreef peter muller:

Onderstaande functie roep ik aan op elke pagina.
Als er $_POST data is, dan wordt die met mysql_real_escape_string() gefilterd.
(zonodig kun je dit ook voor $_GET toepassen).

Daarmee ben ik toch in één klap van SQL-injectie af?
Of zie ik iets over het hoofd?

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16

$_POST[ww] = "sql 'injectie"; function beveiligPost($_POST) { foreach($_POST as $key => $value) { $_POST[$key] = mysql_real_escape_string($value); } return $_POST; } if ($_POST) { $_POST = beveiligPost($_POST); } print $_POST[ww];

Quote

Nu pak je alle POST variabelen die niet naar de server hoeven aan welke misschien nooit naar mysql worden gestuurd.

Quote

Daarnaast zit dan een typfout in een enorm klein hoekje, met 1 letter maak je je hele website,
elke query, gevoelig voor SQL injectie.

Op 13-01-2012 14:40 schreef peter muller:

Onderstaande functie roep ik aan op elke pagina.
Als er $_POST data is, dan wordt die met mysql_real_escape_string() gefilterd.
(zonodig kun je dit ook voor $_GET toepassen).

Daarmee ben ik toch in één klap van SQL-injectie af?
Of zie ik iets over het hoofd?

• $_GET en $_POST kunnen arrays bevatten, dus je kunt nooit op deze manier met een foreach door die variabelen heenlopen, want mysql_real_escape_string() verwacht altijd(!) een string en niet een array
  
• Waar dwing je af dat er een databaseverbinding is (die je nodig hebt voor mysql_real_escape_string())?
  
• Hoe ga je $_POST- en $_GET-variabelen valideren als je weet dat mysql_real_escape_string() bepaalde tekens toevoegt aan een string?
  
• Hoe weet je 100% zeker dat je alleen de "values" van de $_POST en $_GET in een query gebruikt en niet toevallig ook de keys?
  
• Is een ' in een string per definitie iets dat je uit wilt sluiten?
  
• Hoe kun je aan een query (zonder dat je zicht hebt op deze routine) 100% zeker weten dat SQL-injectie onmogelijk is? Het kan zomaar zijn dat iemand (om wat voor reden dan ook) even commentaar heeft gemaakt van dat regeltje en paf... lek is je website.
  
• Wat doe je als je $_POST-data voor andere doeleinden wilt gebruiken dan voor een database? Dan zit je met die extra rommel in bijvoorbeeld e-mails, XML, CSV, enz.

• We vergeten $_SESSION en $_COOKIE? Ook daarlangs kan SQL-injectie worden uitgevoerd

Op 13-01-2012 15:58 schreef peter muller:

Een typefout zit altijd in een klein hoekje. Voordeel is dat ik nu in één klein hoekje moet zoeken om te kijken of of het goed werkt. Anders moet ik in 1000 kleine hoekjes zoeken of ik ergens mysql_real_escape_string() vergeet....