[Text Tutorial] Webseite gegen XSS, SQLi's, RFI und LFI schützen

[litlein]

Sehr schickes Tutorial. Das einzige was ich vll noch ändern wäre ist das unschöne switch. Das ganze kannst du per array und Abfrage via in_array wesentlich kürzer lösen. Aber so wie du es hast geht es natürlich auch. Achso und für die Ersetzung der "../" gibt es eine Funktion namens basename().

[VeN0m]

@L!x:

Ein Beispiel für die Verwendung von addslashes() ist das Schreiben von Daten in eine Datenbank. Möchte man zum Beispiel einen Namen wie O'reilly in ein Datenbankfeld schreiben, muss er maskiert sein. Es wird dringend empfohlen, die datenbankspezifische Escapefunktion zu verwenden (z.B. mysql_real_escape_string() für MySQL oder pg_escape_string() für PostgreSQL).

steht auf PHP.net zum Thema Addslashes. Aber ja, das ginge grundsätzlich auch. Mysql_real_escape_string() ist aber effektiver .

@litlein: Klar, ginge auch mit in_array. Was ich an switch() schön finde ist, dass man hier ein "default:" hat. Damit nicht garkeine Seite dargestellt wird, bei einer falschen Eingabe .

[litlein]

Wenn du das ganze in ne If packst und in_array() false zurückgibt, kannst du mit else genauso ein default anlegen. Das kann dann die home Seite sein.

[VeN0m]

Klar, könnte man. Das mit switch() war auch nur ein Beispiel, wie es gehen _könnte_. Natürlich hat jeder seine eigenen Methoden und Vorzüge und das finde ich auch gut so. Denn wenn jemand mitdenkt ist er theoretisch schon ein Stück sicherer.
Aber danke für Deine Idee. Ich bevorzuge wie gesagt das switch()-Statement, aber jedem das seine .
Man könnte auch mit preg_match() arbeiten oder etwas ganz anderes versuchen. Aber alle Methoden zu nennen wäre wohl zu heftig ^^.

[fred777]

Jop Powersven, schöne Sammlung an Möglichkeiten, zwar nichts neues, aber alles auf einem Fleck. Bei SQL Injection gibts natürlich noch einige andere Vorkehrungen, aber das wichtigste ist drin!

[int_main();]

Sehr schickes Tutorial. Das einzige was ich vll noch ändern wäre ist das unschöne switch. Das ganze kannst du per array und Abfrage via in_array wesentlich kürzer lösen. Aber so wie du es hast geht es natürlich auch. Achso und für die Ersetzung der "../" gibt es eine Funktion namens basename().

word, finde ich auch um einniges effektiver .

Ansonsten finde ich, es ist eine sehr nette Sammlung geworden!

Grüße.

[cTPu1bjo]

addslashes() lässt sich bei bestimmten Zeichensätzen auch bypassen...

[busted_rebel]

gibt es denn noch eine möglichkeit, eine so geschützte seite zu hacken?
also ich meine
so dürfte sie doch für die meisten user hier sehr gut geschützt sein
mfg

[fred777]

Klar ist sie gut geschützt, aber es kommen noch andere Punkte hinzu, schließlich gibt es nicht nur Websecurity.
Andere Möglihckeiten wären:
älterer Apache
verbuggte FTP-Server Software
Schwache PWs..