_POST metodu ve güvenlik ? Önemli...

yagmayok · 15 Aralık 2007

post metodu ile ziyaretçiden veri alıyor ve kayıt ettiriyoruz. Eğer bu verileri bir süzgeçten geçirmez isek kötü kişiler tarafından sitemiz saldırı alır...

Bu konuda çok yazı okudum. Ancak tam bir cevap bulamadım. Çünkü farklı farklı yöntemler sergilenmiş. Hangisinin nasıl uygulancağı konusunda kararsız kaldım.

Bu konuda da forumda çok iyi arkadaşlar var. Acaba bu konuda yardımcı olabilir misiniz ?

Bu süzegeçten geçirme işlemi nasıl olmalı... Hangi kodlar kullanılmalı ve bu kullandığımız kodlar ne işe yarar ?

Teşekkürler...

Mywedding · 15 Aralık 2007

Php'ye yeni başlayanların en büyük hatalarından birisinin bunları(GET ve POST) hiç bir filtreden geçirmeyerek sayfaya include/query/echo v.b şeyler yapmasıdır.

Önceden ben sadece mysql_real_escape_string den geçirip sayfaya yüklüyordum ve güvenli oldugunu düşündüm ama yanılmışdım Geçen günlerde bir heykır sayfama java-script yedirtmeyi başardı ve bende hemen bu açığa karşın bir önlem almak için bir araştırma yapdım.

Aşağıdaki fonksiyon bu tür güvenlik açıklarını kapatmaya yeterlidir.

örnek kodlar

function temizledegel($string)
{
if(get_magic_quotes_gpc())
{
$string = stripslashes($string);
}
elseif(!get_magic_quotes_gpc())
{
$string = addslashes($string);
}
$string = @mysql_real_escape_string($string);
return $string;
}

kullanımı

temizledegel($_GET[name]);

alıntı: http://www.eygun.com/php/post-ve-get-guvenligini-saglamak/

makaleler
http://forum.iyinet.com/php/61449-get-guvenligi.html
http://forum.iyinet.com/web-hosting...m/28088-get-ve-post-duzenleme-php-ini-de.html
http://www.turk-php.com/smf/index.php?PHPSESSID=06538df2ab5841c8120bf82a98b1dd21&topic=3146.msg16202
http://www.ceviz.net/guvenlik-tavsiyeleri_a1019.html

yagmayok · 16 Aralık 2007

Bu konu hakkında görüş belirtecek başka arkadaş yokmu ..?

Mywedding verdiği uygulamayı yapmak yeterlimidir ? yoksa başka süzgeç işlemlerinden geçirmemiz gerekli midir ? ...

PHP:

function temizledegel($string)
{
if(get_magic_quotes_gpc())
{
$string = stripslashes($string);
}
elseif(!get_magic_quotes_gpc())
{
$string = addslashes($string);
}
$string = @mysql_real_escape_string($string);
return $string;
}

sonsuzhost · 16 Aralık 2007

Fonksiyonun adı bana kahkaha attırdı gerçekten çok hoş bir adı var fonksiyonun

Mywedding buna birde htmlspecialchars fonksiyonuda eklemek sence gerekli bişimi gereksiz bişimi?

phpKF · 16 Aralık 2007

html etiketleri de temizlemek isterseniz şunları ekleyin:

PHP:

$string = @str_replace('>','>',$string);
$string = @str_replace('<','<',$string);

_POST metodu ve güvenlik ? Önemli...

yagmayok

1

Mywedding

1

yagmayok

1

sonsuzhost

0

phpKF

0

Backlink ve Tanıtım Yazısı için iletişime geçmek için Skype Adresimiz: .cid.1580508955483fe5