Seguridad en PHP

[neb642]

Sé que hay muchas páginas que hablan de la seguridad en PHP. Pero como ninguna enlaza todos los aspectos que hay que tener en cuenta para que una vez que suba una página no me haya encontrado al día siguiente con que han hecho una Inyección SQL... En fin, estoy trabajando con AJAX (jQuery) y PHP, y me sería de gran ayuda si alguien que ya haya pasado por mi camino me diga si con estas medidas es suficiente:

PHP:

* htmlentities()

*utf8_decode()

Javascript:

* encodeURIComponent()


------------------------------------------------------------------------

No tendré problemas si envío datos con javascript con esa función y luego con PHP utilizo aquellas dos para decodificar los datos? (De seguridad y de conversión de datos también) Aclaro que en los archivos html utilizo utf8

Bueno gracias de antemano, suerte.

[Sourcegeek]

Te recomiendo comenzar investigando sobre los tipos de ataques posibles a nivel general, es decir, CSRF, XSS, SQLi. Descubrirás que no se limita a escapar caracteres.
Por otro lado, en los SQLi, por ejemplo, descubriras que caracteres si se deben escapar.

Saludos!

PD: Ahí te falta escapar SQLi, se logra normalmente con mysql_real_escape_string

[neb642]

Gracias por tu ayuda, sourcegeek. Ahora mi página ya no es vulnerable a inyecciones sql. Pero tengo una pregunta, he usado estas funciones:

htmlentities, utf8decode, y mysql_real_escape_string en una variable recibida por POST, y al ingresar una comilla doble, luego cuando la muestro veo \" , entonces como quería verla otra vez como comilla doble usé html_entity_decode y no funciona. Por qué?

En definitiva me pregunto, cuándo debo codificar y cuándo codificar. Saludos

[Sourcegeek]

No te funciona porque el que añade barras invertidas a las comillas es mysql_real_escape_string. La 'contraparte' de ésta es stripslashes.

http://www.php.net/manual/es/function.stripslashes.php
Saludos!

[MaxDgy]

Yo utilizo para protegerme de ataques XSS la clase InputFilter.


PHP Input Filter (xss, inputfilter, daniel, security code) - PHP Classes
Class: PHP Input Filter - Enlace para descargarla

Post en español para aprender a utilizarla
Prevenir ataques XSS con PHP

Nota: Es del 2005 quizás algo se le escape a la fecha (habría que averiguar)

Saludos

[Chico3001]

Aqui te dejo una muy buena guia de seguridad en ingles

http://phpsec.org/projects/guide/1.html

[neb642]

Gracias a los tres. Voy a leer lo que me pasaron, mientras les cuento que solucioné mi problema alternando el orden de las funciones:

El envío mediante JS lo hago con encodeURIComponent, y con PHP primero recibo los datos y aplico utf8_decode, luego htmlentities, y a lo ultimo mysql_real_escape_string.

Saludos