[SOLUCIONADO] seguridad web

[webankenovi]

CAPITULO 11

ANTI-SPAM

Definicion spam

Se llama spam, correo basura o mensaje basura a los mensajes no solicitados, no deseados o de remitente no conocido (correo anónimo), habitualmente de tipo publicitario, generalmente enviados en grandes cantidades (incluso masivas) que perjudican de alguna o varias maneras al receptor. La acción de enviar dichos mensajes se denomina spamming.

Aunque se puede hacer spam por distintas vías, la más utilizada entre el público en general es la basada en el correo electrónico. Otras tecnologías de Internet que han sido objeto de correo basura incluyen grupos de noticias, usenet, motores de búsqueda, redes sociales, páginas web wiki, foros, web logs (blogs), a través de ventanas emergentes y todo tipo de imágenes y textos en la web.

Ademas de enviar spam de tipo publicitario existen otros tipos como el malicioso , intentar introducir mensajes con codigo malicios para infectar a los usuarios que accedan a ver dicho mensaje , por lo cual es una parcela que deberemos proteger, existen varias medidas voy a enseñar 4 de ellas , que se pueden usar en combinacion


1 Creamos un nuevo campo en el formulario y lo ocultamos con hidden

Código HTML:

<input type="hidden" value=""  name="comment">
 

1.1. Verificamos en la pagina de verificacion de los datos del formulario ( donde envio los datos el formulario ) que el campo no se relleno

Código PHP:

if( $_POST['comment'] !== '' )
{
 
exit(' Comentario calificado como spam ');
 
}
 

eso es todo sobre este proceso , que simplemente dice que: si alguien rellena un campo oculto le bloqueo el acceso , por ende un usuario no deberia de ver ese campo ,mientras que un bot si lo vera y lo rellenara, esa es la trampa , aunque a dia de hoy pienso que este sistema ya no es muy efectivo.


2 Creamos un campo de texto y lo ocultamos como anteriormente pero lo ocultamos esta vez con css

Código HTML:

<input type="text" value=""  id="comment" name="comment" />
 

css:

Código CSS:

input#comment { display:none; }
 

o esta otra opcion que encontre en un blog hace poco.

Código CSS:

input#comment {
 
    overflow:hidden;
    height:1px !important;
    float:left !important;
    margin:0 !important;
    padding:0 !important;
}
 

Para verificar usamos la misma verificacion que en el ejemplo 1


3 Usar captcha , el mas conocido es re-captcha , aqui os dejo el link para que lo probeis , tambien podeis realizar vuestros captchas os animo a que programeis vuestros propios catchas , eso si usa una buena logica.

4 Usaremos un buscador de palabras prohibidas en los comentarios

Código PHP:

function antispam($var){
 
 
        $palabras = array(
     
        '1' => 'Gratis',
        '2' => 'Gane' ,
        '3' => 'dinero',
        '4' => 'Ahorre',
        '5' => 'ventas',
        '6' => 'Sexo',
        '7' => 'Promocion',
        '8' => 'cobro',
        '9' => 'Compre',
        '10' => 'llame',
        '11' => 'Viagra'
     
    );
     
    foreach ($palabras as $val )
    {
 
    if(stristr(strtolower($var), $val) !== false)
    {
        return true;
    }
     
    }
     
    return false;
     
    }
     
 
// buscaremos en cualquier variable que queramos si existe alguna palabra de la lista
 
// verificamos usando la funcion
 
    if( antispam($_POST['mensaje']) === true )
    {
     
    exit('comentario calificado como spam');
     
    }
 

Estas opciones y la funcion son tan solo ejemplos para entender el funcionamiento y comportamiento , puedes usar muchas otras funciones , cambiar las formas de hacer las cosas , lo importante no es copiar y pegar , si no que entiendas como funciona y creen sus propios sistemas.

Eso es todo sobre el capitulo 11 , te recomiendo hacer una combinacion de la opciones para conseguir detectar mas spam, si sabes otras maneras o mejorar lo expuesto o solo deseas mostrar tu opinion por favor exponlo.


Saludos nos vemos nuevamente con el capitulo 12.

1 - proteger directorios :link http://www.forosdelweb.com/f18/segur...ml#post4410846
2 - mensajes de error : link http://www.forosdelweb.com/f18/segur...ml#post4412140
3 - archivo de configuracion : link http://www.forosdelweb.com/f18/segur...ml#post4412159
4 - permisos y roles : link http://www.forosdelweb.com/f18/segur...ml#post4412275
5 - verificacion de archivos : link http://www.forosdelweb.com/f18/segur...ml#post4412596
6 - configuracion de sessiones : link http://www.forosdelweb.com/f18/segur...ml#post4416219
7 - session hijacking : link http://www.forosdelweb.com/f18/segur...ml#post4419281
8 - hash de contraseñas : link http://www.forosdelweb.com/f18/segur...ml#post4421471
9 - inyeccion sql : link http://www.forosdelweb.com/f18/segur...ml#post4451398
10 - cross site request forgery : link http://www.forosdelweb.com/f18/segur...ml#post4464062

[guardarmicorreo]

muchísimas gracias por tu talento, tiempo y energía para recopilar todo esto webankenovi.

saludos :D

[webankenovi]

UPsss se me olvido poner el link de re-captcha

Re-captcha LINK : http://www.google.com/recaptcha

@guardarmicorreo, gracias a ti , seguire intentando recopilar todo lo que pueda , ganas me sobran

[webankenovi]

CAPITULO 12

FORMULARIOS

Mi intencion con lo detallado a continuacion es orientar , no copies , explora por ti mismo , los codigos podrian tener algun error y no son un aporte , falta parte de verificaciones que en este capitulo no se detallan , tan solo es un ejemplo .

A continuacion explicare el siguiente formulario y las medidas de seguridad que lleva.

Ejemplo formulario de login:

Código HTML:

<form action="validar.php?FDW=<? echo $_SESSION['TOKEN']; ?>" method="post">
 
<div id="login"><input type="text" value="k_username" name="k_username" required></div>
<input type="hidden" value="" name="usuario" >
<input type="text" value="Introduce tu comentario"  id="comentario" name="comentario" required>
 
<p>Usuario:<br>
<input type="text" name="<? echo $_SESSION['FORMULARIO'][$_SESSION['TOKEN']]['USUARIO']; ?> " pattern="^[a-zA-Z0-9-_]{3,15}$" maxlength="15" size="15" required></p>
 
<p>Password:<br>
<input type="password" name="<? echo $_SESSION['FORMULARIO'][$_SESSION['TOKEN']]['PASSWORD']; ?>" pattern="(?=^.{10,30}$)((?=.*\d)(?=.*\W+))(?![.\n])(?=.*[A-Z])(?=.*[a-z]).*$" size="30" maxlength="30" required></p>
 
<input type="submit" value="Iniciar sesion" name="login" formenctype="application/x-www-form-urlencoded" >
 
</form>
 

Codigo fuente:

Código HTML:

<form action="validar.php?FDW=8ce3eaa2695cb5d2e7edab515dd9e8b7cd7d4278cf2681cb16b6443d105ba361/1378930760" method="post">
 
<div id="login"><input type="text" value="k_username" name="k_username" required></div>
<input type="hidden" value="" name="usuario" required>
<input type="text" value="Introduce tu comentario"  id="comentario" name="comentario" required>
 
<p>Usuario:<br>
<input type="text" name="165414168" pattern="^[a-zA-Z0-9-_]{3,20}$" maxlength="20" size="20" required></p>
 
<p>Password:<br>
<input type="password" name="847424868" pattern="(?=^.{10,20}$)((?=.*\d)(?=.*\W+))(?![.\n])(?=.*[A-Z])(?=.*[a-z]).*$" size="20" maxlength="20" required></p>
 
<input type="submit" value="Iniciar sesion" name="login" formenctype="application/x-www-form-urlencoded" >
 
</form>
 

Se puede apreciar varias cosas , entremos en detalle.


PROCEDENCIA

Vamos a usar lo visto en el capitulo 10 cross site request forgery.

Creamos una session con un hash y tambien enviamos en el action por get el token y despues lo comparamos.

Código PHP:

<? $_SESSION['TOKEN'] = hash('haval256,5',rand(),false); ?>
 
<form action="validar.php?FDW=<? echo $_SESSION['TOKEN']; ?>" method="post">
 
<input type="submit" value="Iniciar sesion" name="login" formenctype="application/x-www-form-urlencoded" >
 

lado del servidor:

Verificamos de donde vino el usuario , donde la url deberia de ser la url de la pagina del formulario en este caso 'http://localhost/login/' .

Código PHP:

if( empty($_SERVER['HTTP_REFERER']) || $_SERVER['HTTP_REFERER'] === 'http://localhost/login/')
{
    header('location:index.php');
    exit();
 
    // esta  verificacion no es segura el referer se puede modificar 
}
 

Verificamos el token y comprobamos si existen datos del formulario login

Código PHP:

if(!empty($_SESSION['TOKEN']) and !empty($_GET['FDW']) and $_GET['FDW'] === $_SESSION['TOKEN'])
{
    if(isset($_POST['login']) and $_POST['login'] === 'Iniciar sesion')
    {
        // CONTINUAMOS
 

PROTEGIENDO LOS CAMPOS CLAVE

Creamos una session con los campos clave del formulario , en el formulario no mostraremos ni user ni passwor mas bien numeros aleatorios que identifican al campo y lo relacionan con la session.

Código PHP:

$_SESSION['FORMULARIO'][$_SESSION['TOKEN']] = array(
 
    'USUARIO' => rand(1,9999999999),
    'PASSWORD' => rand(1,9999999999)
 
    );
 

$_SESSION['FORMULARIO'][$_SESSION['TOKEN']] el token es el identificador de la session del formulario , para despues acceder a los datos no servira con un simple $_POST['user'] debera de ser $_SESSION['FORMULARIO'][$_SESSION['TOKEN']][$_POST['user']]

Código PHP:

<form action="validar.php?FDW=<? echo $_SESSION['TOKEN']; ?>" method="post">
 
    <p>Usuario:<br>
    <input type="text" name="<? echo $_SESSION['FORMULARIO'][$_SESSION['TOKEN']]['USUARIO']; ?>" pattern="^[a-zA-Z0-9-_]{3,15}$" maxlength="15" size="15" required></p>
 
    <p>Password:<br>
    <input type="password" name="<? echo $_SESSION['FORMULARIO'][$_SESSION['TOKEN']]['PASSWORD']; ?>" pattern="(?=^.{10,30}$)((?=.*\d)(?=.*\W+))(?![.\n])(?=.*[A-Z])(?=.*[a-z]).*$" size="30" maxlength="30" required></p>
 
    <input type="submit" value="Iniciar sesion" name="login" formenctype="application/x-www-form-urlencoded" >
 
    </form>
 

lado del servidor:

Código PHP:

$user        = $_SESSION['FORMULARIO'][$_GET['FDW']]['USUARIO'];
$password = $_SESSION['FORMULARIO'][$_GET['FDW']]['PASSWORD'];
 
if(!empty($_POST[$user]) and !empty($_POST[$password]))
{
    // CONTINUAMOS
    // para acceder a los datos $_POST[$user] $_POST[$password] , $user y $password identifican el campo del formulario 
}
else
{
// existe algun campo vacio o no es valido como null , 0 , false etc.......
}
 

EXPRESIONES REGULARES

Solo se aceptaran usuarios con letras mayusculas/minusculas numeros y guion bajo _ y guion - minimo 3 caracteres y maximo 15 caracteres , este input es requerido.

pattern="^[a-zA-Z0-9-_]{3,15}$"

Código HTML:

<p>Usuario:<br>
<input type="text" name="<? echo $_SESSION['FORMULARIO'][$_SESSION['TOKEN']]['USUARIO']; ?>" pattern="^[a-zA-Z0-9-_]{3,15}$" maxlength="15" size="15" required></p>
 

El password debe de contener al menos una mayucula una minuscula un numero un caracter especial y minimo 10 caracteres maximo 30 caracteres , este input es requerido.

pattern="(?=^.{10,30}$)((?=.*\d)(?=.*\W+))(?![.\n])(?=.*[A-Z])(?=.*[a-z]).*$"

Código HTML:

<p>Password:<br>
<input type="password" name="<? echo $_SESSION['FORMULARIO'][$_SESSION['TOKEN']]['USUARIO']; ?>" pattern="(?=^.{10,30}$)((?=.*\d)(?=.*\W+))(?![.\n])(?=.*[A-Z])(?=.*[a-z]).*$" size="30" maxlength="30" required></p>
 

Esta medida de seguridad es altamente saltable ya que se puede modificar el codigo html y saltarse la verificacion, por ello debemos verificar en el lado del servidor.

lado del servidor:

Código PHP:

if(!empty($_POST[$user]))
{
    if(strlen($_POST[$user]) >= 3 and strlen($_POST[$user]) <= 15)
    {
        if( preg_match('|^[a-zA-Z0-9-_]{3,15}$|', $_POST[$user], $coincidencias) !== 1 )
        {
            exit('usuario no valido'); 
        }
    }
    else
    {
        exit('longitud no valida');    
    }
}
else
{
    exit('debe de rellenar todos los datos');
}
 
 
if(!empty($_POST[$password]))
{
    if(strlen($_POST[$password]) >= 10 and strlen($_POST[$password]) <= 30)
    {
        if( preg_match('|(?=^.{10,30}$)((?=.*\d)(?=.*\W+))(?![.\n])(?=.*[A-Z])(?=.*[a-z]).*$|', $_POST[$password], $coincidencias) !== 1 )
        {
            exit('password no valido'); 
        }
    }
    else
    {
        exit('longitud no valida');    
    }
}
else
{
    exit('debe de rellenar todos los datos');
}
 

ANTIBOTS

Ocultaremos campos como se hablo en el capitulo 11 , añadiendo un campo escondido en un div oculto.

Código CSS:

<style>
 
input#comentario,#login { display:none; }
 
</style>
 

Código HTML:

<div id="login"><input type="text" value="k_username" name="k_username" required></div>
 
    <input type="hidden" value="" name="usuario" >
 
    <input type="text" value="Introduce tu comentario"  id="comentario" name="comentario" required>
 

lado del servidor:

Código PHP:

if(empty($_POST['usuario']) and isset($_POST['comentario']) and $_POST['comentario'] === 'Introduce tu comentario' and !empty($_POST['k_username']) and $_POST['k_username'] === 'k_username' )
{
    // continuamos
}
else
{
    // bot
}
 

Parte 2 A continuacion

[webankenovi]

NUMERO DE INTENTOS

Bloquearemos al usuario si falla en 3 intentos

Código PHP:

if (empty($_SESSION['count']))
{
   $_SESSION['count'] = 1;
}
else
{
   $_SESSION['count']++;
}
 
if($_SESSION['count'] > 3)
{
    // se deberia de crear un sistema que permita denegar el acceso durante un dia , horas , etc ...... a dicha ip 
    // para ello debemos guardar la ip y un campo por ejemplo acceso con valor concedido  o denegado y otro con la marca de tiempo
    // despues al verificar los datos comprobamos si existe la ip en la tabla si existe y es denegado 
    // denegamos la verificacion , si no existe procedeemos a verificar los datos
    // si se supera el numero de maximo de intentos guardamos la ip y  el campo acceso a denegado y una marca de tiempo 
    // ahora bien al verificar los datos comprobamos si existe la ip en la tabla si existe y es denegado tendremos que verificar si la marca de tiempo es menor 
    // por ejemplo denegamos 12 horas , pues verificaremos si la marca de tiempo es mayor a 12 horas de ser asi , borramos de la tabla los datos de dicha ip 
    // y volvemos a empezar otra vez todo el proceso , si la marca de tiempo es menor de 12 horas seguiremos bloqueandole el acceso.
 
    exit('Has superado el maximo numero de intentos');
}
 

Espero que os sirva como he dicho anteriormete a orientaros estas opciones tan solo son ejemplos para entender el funcionamiento y comportamiento , puedes usar muchas otras funciones , cambiar las formas de hacer las cosas , lo importante no es copiar y pegar , si no que entiendas como funciona y creen sus propios sistemas.

Eso es todo sobre el capitulo 12 , si sabes otras maneras o mejorar lo expuesto o solo deseas mostrar tu opinion por favor exponlo.

1 - proteger directorios :link http://www.forosdelweb.com/f18/segur...ml#post4410846
2 - mensajes de error : link http://www.forosdelweb.com/f18/segur...ml#post4412140
3 - archivo de configuracion : link http://www.forosdelweb.com/f18/segur...ml#post4412159
4 - permisos y roles : link http://www.forosdelweb.com/f18/segur...ml#post4412275
5 - verificacion de archivos : link http://www.forosdelweb.com/f18/segur...ml#post4412596
6 - configuracion de sessiones : link http://www.forosdelweb.com/f18/segur...ml#post4416219
7 - session hijacking : link http://www.forosdelweb.com/f18/segur...ml#post4419281
8 - hash de contraseñas : link http://www.forosdelweb.com/f18/segur...ml#post4421471
9 - inyeccion sql : link http://www.forosdelweb.com/f18/segur...ml#post4451398
10 - cross site request forgery : link http://www.forosdelweb.com/f18/segur...ml#post4464062
11 - antispam : link http://www.forosdelweb.com/f18/segur...ml#post4493070

Este es mi ultimo capitulo , solo creare mas a peticion de no haber peticiones nos vemos nuevamente en una serie de aportes que realizare proximamente

saludos y gracias a todos los que han contribuido , gracias a todos los que lo han seguido .

[macmaikel]

Todos los años se actualiza la lista oficial de los 25 errores de programación mas peligrosos, podéis verla aquí:

http://cwe.mitre.org/top25/

[webankenovi]

ULTIMO CAPITULO 13

CROSS SITE SCRIPTING ( XSS )

Creo este ultimo tema debido a que se me paso crear un tema sobre xss, pero bueno en este capitulo no aportare ningun codigo, añadire links que os serviran de utilidad ademas de funciones para solucionar el problema espero que os ayuden.

1 - Aporte de @GatorV

http://www.forosdelweb.com/f18/aport...ar-xss-948577/

2 - Aporte de seguridad @Triby

http://www.forosdelweb.com/f18/aport...a-php-1011808/

3 - Owasp

https://www.owasp.org/index.php/Cros...Scripting_(XSS)

4 - Wikipedia

http://es.wikipedia.org/wiki/Cross-site_scripting

5 - Google antixss

http://code.google.com/p/php-antixss/

6 - buscador foros del web

http://www.forosdelweb.com/search.ph...208859-1&q=xss


Eso es todo sobre el capitulo 13 , si sabes otras maneras o mejorar lo expuesto o solo deseas mostrar tu opinion por favor exponlo.


1 - proteger directorios :link http://www.forosdelweb.com/f18/segur...ml#post4410846
2 - mensajes de error : link http://www.forosdelweb.com/f18/segur...ml#post4412140
3 - archivo de configuracion : link http://www.forosdelweb.com/f18/segur...ml#post4412159
4 - permisos y roles : link http://www.forosdelweb.com/f18/segur...ml#post4412275
5 - verificacion de archivos : link http://www.forosdelweb.com/f18/segur...ml#post4412596
6 - configuracion de sessiones : link http://www.forosdelweb.com/f18/segur...ml#post4416219
7 - session hijacking : link http://www.forosdelweb.com/f18/segur...ml#post4419281
8 - hash de contraseñas : link http://www.forosdelweb.com/f18/segur...ml#post4421471
9 - inyeccion sql : link http://www.forosdelweb.com/f18/segur...ml#post4451398
10 - cross site request forgery : link http://www.forosdelweb.com/f18/segur...ml#post4464062
11 - antispam : link http://www.forosdelweb.com/f18/segur...ml#post4493070
12 - formularios : link http://www.forosdelweb.com/f18/segur...ml#post4499542