Тема: И снова дыры (WAP/WEB мастеру/PHP/MySQL)

vitalik3005 (20 May 2014 в 09:33)
меня также интересует данный вопрос, но пока знаний не очень

Veteran (20 May 2014 в 09:39)
vitalik3005, обнаружить то не проблема я имею в виду если по $_GET $_POST. видно сразу ! как правильно и каким образом закрыть вот!

Veteran (20 May 2014 в 09:41)
htmlspecialchars перед записью
mysql_real_escape_string вывод
это наверное закрытие дир в запросах бд в коде?

Engine (20 May 2014 в 09:44)
На форуме куча тем по этому поводу. 
Фильтровать нужно только те данные, к который клиент имеет непосредственный доступ. 
Условные функции такие как if, switch фильтровать не нужно. 
Для того чтобы не допустить уязвимостей в запросах, рекомендую отказаться от mysql, и использовать либо mysqli, либо pdo. Причем выполнять подготовленные запросы. 
По поводу get post в интернете куча инфы

vitalik3005 (20 May 2014 в 09:45)
Veteran,  мне кажеться что mysql_real_escape_string перед записью а htmlspecialchars перед выводом

Veteran (20 May 2014 в 09:47)
Dark_ AKC,  вот эти две if, switch функции только не фильтруются?

Engine (20 May 2014 в 09:47)
Veteran, да

Veteran (20 May 2014 в 09:50)
vitalik3005, ой блин все перепутал(((

Veteran (20 May 2014 в 09:52)
Dark_ AKC, тоесть если 
 if($_GET[\'act\']==\'posezalka\')
к примеру то это фильтровать не обязательно?

vitalik3005 (20 May 2014 в 09:55)
Veteran, как мне объясняли, там ище нужно смотреть, нет ли перед этим, фильтров

Engine (20 May 2014 в 09:56)
Veteran, не нужно

Engine (20 May 2014 в 10:00)
еще в циклах не нужно фильnровать (foreach, while)

Veteran (20 May 2014 в 10:08)
Dark_ AKC, это в любом двиге так?

Engine (20 May 2014 в 10:11)
Veteran, это в php так

Veteran (20 May 2014 в 10:15)
Dark_ AKC, подскажешь статейки по этоиу поводу хорошие?

Engine (20 May 2014 в 10:15)
php.su

ЗЕЛЕНЫЙ ШЕРШЕНЬ (20 May 2014 в 10:39)
Dark_ AKC, в mysqli язв нет?

Engine (20 May 2014 в 10:50)
Mark, я же говорю, нужно использовать подготовленные запросы. По умолчанию все запросы пропускают язвы

Novichok (20 May 2014 в 10:56)
Dark_ AKC, Этот сайт не доступен:(

Источник: http://www.dcms-social.ru/forum/20/41/20822/