GET güvenliği

ploop · 20 Mayıs 2007

GET ile çekilen verilerin güvenilirliğini nasıl test ederiz? Örneğin bas harfe göre listelemede

$harf = $_GET["harf"];

ile çekiyorum. fakat adam her türlü değiskeni atayabilir. bunu nasıl engellerim? arastırdım herkes öğüt vermis süzgeçten geçirin diye ama nasıl geçireceğimizi yazmamıslar

harf yoksa denetim yapılabilir (sanıyorum isset idi) belki, baska ne gibi güvenlik sakıncaları doğabilir?

ejder · 20 Mayıs 2007

$harf = $_GET["harf"][0];

denemedim ama sadece ilk harfi vereceğini düşünüyorum

ploop · 20 Mayıs 2007

vov bu harika oldu valla

not: mysql_escape_string gibi seyler eklememe gerek var mı acep. (veri çektiğim için gerek olmadığını düsünüyorum, eğer gerek varsa nedenini de açıklarsanız çok güzel olur.)

Angelo · 20 Mayıs 2007

PHP:

function sanitize() {

  foreach ($_POST as $key => $value) {
  $_POST[$key] = htmlspecialchars(addslashes($value));
  }

  foreach ($_GET as $key => $value) {
  $_GET[$key] = htmlspecialchars(addslashes($value));
  }

}

Böyle bir fonksiyonu config'e koyup, her sayfa başına sanitize(); diye çağırabilirisin. HTML kodu ve tirnaklara karşı.

addslashes yerine mysql_real_escape_string iyi olur hatta evet.

ploop · 20 Mayıs 2007

ejder'in önerisinden sonra gerek var mı Angelo? Bir de ben POST komutunda dediğin süzme islemini yapıyorum, ama GET yaparken bunu yapmanın manasını hala anlamıs değilim. Nasıl olsa Mysql'den veri çekiyoruz, sitemize ne gibi bir zarar verebilirler?

ploop · 20 Mayıs 2007

r10'da beyaz liste olayını da tavsiye ettiler, çok güvenli gözüktü gözüme?

<?
$olasi_basliklar = array("a","b","c"); // bu böyle gider tüm harfleri yazarım
if(in_array($_GET["baslik"],$olasi_basliklar)) {
echo("<title>$_GET[baslik]</title>");
}
else {
die("Olasi saldiri");
}
?>

http://www.bilisim-kulubu.com/makal...g+sald%FDr%FDlar%FDn%FDn+%F6nlenmesi&mid=6458 adresinden baktım.

Angelo · 20 Mayıs 2007

O 1. harf mantığı doğru tabi. Ama mesela index.php?id='A böyle birşey yapacak adam var mıdır veya yapsa ne işe yarar? Yaramaz tabi, ama o filtrelemeler daha genel ve herşey için geçerli.

URL=
index.php?id=1

SORGU=
$q = mysql_query("SELECT * FROM kullanicilar WHERE id='$_GET[id]'");

magic_quotes konfigurasyonuna göre de değişir ama mesela
index.php?id=' OR id='1
dediğimizde ne olacak bunu düşünmek lazım

ploop · 20 Mayıs 2007

benim sorgum su sekilde:

$sorgu = mysql_query("select x,y from sanatcilar where kategori=1 and baslik LIKE '$harf%'");

henüz 1 haftalık php öğrencisiyim, bu yüzden inciğini cinciğini bilmiyorum fakat, bu sorguda adam o $harf yerine tek karakterlik ne koyarsa koysun sorun olmaz gibi geliyor sanki bana. senin verdiğin örnekte de mesela birden fazla karakter var, ejderin eklemesi sanıyorum bu sorunu çözüyor. zaten sanıyorum ki bana bilgi vermek için yazdın

ama mantığını anladım çok sağolasın. bu sekilde bırakıyorum o zaman

Angelo · 20 Mayıs 2007

Evet bu uygulama için yeterli.

H@run · 20 Mayıs 2007

ploop php yi kitabdanmı öğreniyorsun kursmu alıyorsun ?

ploop · 20 Mayıs 2007

php.net, ceviz forum ve iyinet'in php forumunu okuyorum vs. kendi isimi görecek kadar yapabiliyorum zaten kolay geldi

H@run · 20 Mayıs 2007

ploop' Alıntı:
php.net, ceviz forum ve iyinet'in php forumunu okuyorum vs. kendi isimi görecek kadar yapabiliyorum zaten kolay geldi

Hrerseyden anlarsın sen