Да обсъдим малко PHP&MYSQL security

Не съм преглеждал абсолютно всички постинги в този клуб, но мисля, че никъде не видях да се дискутира по-подробно темата за ЗАЩИТА ОТ ВРЕДИТЕЛИ

Нека всеки който има опит, мнение, или просто е прочел някъде нещо да го изкаже тук !
Как защитавате формите за въвеждане на данни от некоректна информация ?
Какво представлява тази некоректна информация най-вече ,и как действа тя !
Зашита на базата данни, на апач сървъра и т.н.

Идеята ми е да се обсъдят не само начините за защита а също така и начините на атака, с цел да ни станат ясни повечето неща !
Тук искам да отбележа, че ни най-малко си мисля и искам да обсъждаме как можем да прекараме някого, всичко е с цел ЗАЩИТА !!!

Мисля, че ако обсъдим подробно наблюденията си и опита, ще е от полза за всички, защото ако се замислим "защитата" на една страница е едно от най-важните изисквания в съвременното УЕБ пространство !!!

Аз лично нямам наблюдения, все още се ровя из интернет търсейки информация за тези неща, но никъде за съжаление не намирам подробно обяснение на това - "ОТ КАКВО ВСЪЩНОСТ СЕ ПАЗИМ И КАК ДЕЙСТВА ТО"
ползвам разни примери, прилагам ги, но реално незнам какво точно избягвам, в повечето случаи е така !!! Интересува ме каква всъщност е реалната заплаха, при какви случаи и каква поразия може да стори на сайта ми !(примерно)

Надявам се да отделите внимание на въпросите които повдигнах !!!

Благодаря на всички предварително !

Искам да попитам също какво мислите за начина на инсталиране на РНР - по конкретно, каква е разликата между двата метод (CGI-Script, Apache Modul), има ли по-добър, кой начин в кой случай е удачно да бъде използван и т.н.

Такова нещо като защита, много малко се среща в българското интернет пространство.

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

де да беше само в българското

-----------------------
гърбавия - ковчег ще го изправи

това ли е всичко което можете да кажете :(

Идеята ми е да се обсъдят не само начините за защита а също така и начините на атака, с цел да ни станат ясни повечето неща !
Тук искам да отбележа, че ни най-малко си мисля и искам да обсъждаме как можем да прекараме някого, всичко е с цел ЗАЩИТА !!!


е те тука не можа да ме убедиш... и затова ще се въздържа...

В отговор на:

---

Какво представлява тази некоректна информация най-вече ,и как действа тя !
Зашита на базата данни, на апач сървъра и т.н.

---

мамицата си ....ло

В отговор на:

---

но никъде за съжаление не намирам подробно обяснение на това - "ОТ КАКВО ВСЪЩНОСТ СЕ ПАЗИМ И КАК ДЕЙСТВА ТО"

---

има някъде един ПДФ - "writing security safe web applications using php and mysql" или нещо от рода

В отговор на:

---

Интересува ме каква всъщност е реалната заплаха, при какви случаи и каква поразия може да стори на сайта ми !

---

не дей, че ще станеш параноик като мен

-----------------------
гърбавия - ковчег ще го изправи

Това е повечето от това което искаме да кажем.

И то не е никак малко.

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

Може да се резюмира в едно изречение :
Никога не вярвай на подадена от потребителя информация.

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

Информацията може да се поднесе по много начина ! - не е нужно да се уточнява до най-малкият детайл как се прави атака на Уеб сървъра или базата данни !
Причината, че никой не написа нищо смислено тук е проста ! - никой не е запознат !

Е ти ако си запознат що не ни светнеш ? Нали си dObyr, научи ни

root@ro6avia#echo rm -rf * > /bin/seek_and_destroy
root@ro6avia#/bin/seek_and_destroy

когато говорим за сигурност не е нужно да стесняваме кръга само на PHP and MySQL защтото това е проблем за много програмни езици, похвати, бази данни сървъри и т.н.
На тема сигурност мога да пиша часове наред който аз за съжаление нямам и за това ти давам url към събрани материали.

[линк] - Association for Information Security
[линк]
[линк] - материали към курс в ФМИ
[линк]
[линк] - мися че тук ще намериш най-много информация.

Най-минималното, което според мен трябва да присъства при проверка за коректност на данните са единичните кавички при работа с бази данни и обработката на html тагове - например класическия случай с текст
"<script>window.open('playboy.com')</script>".
Поне в PHP за тези неща си има готови функции.
Другото, което също може да е необходимо е подбирането на подходяща структура на файловете, до които не е желателен достъп. Имам предвид например в password.php да се съдържа паролата за достъп до бази данни и съотвено с лекота някой да го използва наготово и да омаже нещата.
При по-сериозни и важни от гледна точка на сигурност сайтове работата става и по-напечена