[php]Form: vulnerabilità?

[$te]

Originariamente inviato da BlackAuron

pretendi troppo. C'è gente che come lavoro perfeziona la sicurezza di siti web e determina la soluzioni a potenziali falle, se esistesse una guida di quel tipo sarebbe troppo facile tra l'altro, la guida che ti ho postato è praticamente la più breve a riguardo che puoi trovare.

eheh...immaginavo...xo io ci speravo:P

Ma allora, in pratica dovrei fare cosi: in un qualsiasi form, dove l'utente puo inserire propri dati:
- telefono: accertarsi che sia un numero, e limitare il numero di numeri
- Nome: accertarsi che contenga solo lettera e limitare anche qui il numero (non piu di 20 ad es)
- commento libero: accertarsi non siano caratteri strani, e limitare anche qui il numero

E poi cercare di limitare i form, dando gia io molte opzioni di scelta.

Oltre ai form, devo sistemare le pag che hanno un indirizzo che si "crea" a differenza della scelta dell'utente: qui devo prevedere tutte le possibilità, e accertarmi che sia una di queste.

Oltre a questo, devo stare attento a tutte le pag con GET e POST e "pulirli", giusto?

grazie

[BlackAuron]

Non devi controllare solo i form, ma TUTTTe le variabili che in un modo o nell'altro l'utente può modificare: quindi, in linea di massima, tutte quelle il cui valore lo peschi da $_GET, $_POST e $_COOKIE.

[$te]

Originariamente inviato da BlackAuron

Non devi controllare solo i form, ma TUTTTe le variabili che in un modo o nell'altro l'utente può modificare: quindi, in linea di massima, tutte quelle il cui valore lo peschi da $_GET, $_POST e $_COOKIE.

quindi, qnd uso una di quelle funzioni, devo controllare che la variabile che prendo é quella che mi aspetto.
Ma limitando i caratteri in un testo (a 20 pensavo)..limito abb codice maligno??

[$te]

Ecco, cosa ho fatto: ho un get da cui mi aspetto un numero da 0 a 41, ecco che accorgimento ho attuato:

Codice PHP:

if($_GET['numero'])

            {

                if( is_numeric( $_GET['numero']) ) $numero = $_GET['numero'];
                else die();
                if($numero > 41) die();
            } 


Pensate vada bene?

[kurts]

is_numeric accetta anche numeri in formato esadecimale ed in notazione esponenziale.
inoltre prevedi il caso in cui il numero è maggiore di 41 ma non quwello in cui è minore di zero.
invece di usare i die() non ti conviene mettere degli echo per mostrare dei messaggi e continuare con l'esecuzione?

P.S.: dai un'occhiata al cast di tipo in php, in questo caso (int)

[$te]

Originariamente inviato da kurts

is_numeric accetta anche numeri in formato esadecimale ed in notazione esponenziale.
inoltre prevedi il caso in cui il numero è maggiore di 41 ma non quwello in cui è minore di zero.
invece di usare i die() non ti conviene mettere degli echo per mostrare dei messaggi e continuare con l'esecuzione?

P.S.: dai un'occhiata al cast di tipo in php, in questo caso (int)

allora, ricapitolando:
1. controllare i numeri minori di 0
2. controllare se e' un numero int, quindi naturale
3. invece che die, mettere un echo.

Avevo messo die, perche mi semplifica la vita, pero meglio essere puliti e precisi. Grazie per i consigli.

Ora, come passo successivo, volevo mettere a posto il form login.
Come prima cosa limito il numero a 15, pero poi nn so che fare.....

[kurts]

cos'è 15?? quale login??

[$te]

Originariamente inviato da kurts

cos'è 15?? quale login??

mi sono spiegato male:P

Ho un form login nel mio sito, e ho limitato la lunghezza degli input a 15 (maxlength).

[$te]

da quanto ho capito, la cosa piu grave (in teoria) e' l'xp cmdshell. Come posso evitarla?
grazie

[$te]

in piu, con la funzione trim, limito i caratteri a le lettere dell'alfabeto.