הרשם

התחבר

התחבר בעזרת פייסבוק:

שם משתמש סיסמא
זכור אותי

אוריגמי - קטגורית האוריגמי הגדולה בישראל

יצירה לילדים ולמבוגרים - באתר מדריכי יצירה שידהימו אתכם מחדש כל פעם

אוהבים מתוקים? לחצו בשביל עשרות מדריכי עוגות ועוגיות

‹ ›

דף הבית >> מדריכים >> מחשבים >> אינטרנט >> בניית אתרים >> איך לשמור על אבטחת מידע בכתיבת אתר PHP

מחשבים

איך לשמור על אבטחת מידע בכתיבת אתר PHP

עקוב

08/04/2010 13:25:15
מאת: גיא חלפון
כתב מתחיל

דירוג:

(1מדרגים)

זה כואב לראות אתר שלך או של לקוח מוחרב ע"י האקרים
מדריך זה יתאר איך לשמור על רמת אבטחה נאותה בכתיבה של אתרים ב- PHP

רמת קושי: מומחים

הוראות:

מודעות בזמן הכתיבה - נסה לחשוב על איך מישהו יוכל לנצל את מה שכתבת לרעה

חנך עצמך - האינטרנט מלא באתרים מעולים עם מדריכי אבטחה (למשל "בקלות")

הכי חשוב - סנן קלט חיצוני !!! בכל מקום שאתה יכול בדוק מה מוזן - פרמטרים ב- URL, שדות בטפסים, קבצים שמועלים וכו'

חשוב לפתח ללא register_globals. שימוש במשתנה הזה יאפשר גישה קלה לכל משתנה ביישום ע"י כל גורם

דאג לגרסאות מאובטחות ומעודכנות של כל קוד שמגיע מצד ג' - במיוחד עורכי תוכן כמו SPAW

סינון של הקלט באמצעות קובץ שב- INCLUDE של כל דף או קובץ ראשון באתר שקורא לשאר הקבצים ובקובץ זה מבוצעים סינונים כללים לכל האתר כמו זיהוי, קיצור URL.
אפשר גם להשתמש ב- auto_prepend_file כדי לוודא שימוש בכל הקבצים

יש להניח כהנחת בסיס שהמשתנים - POST_$ ו- GET_$ הם "נגועים" (כוון שהגישה אליהם חיצונית) ועלולים להכיל מידע שגוי. מומלץ להעביר את המשתנים האלה סינון לפני השימוש בהם בשאר הדפים.

שימוש בדווח שגיאות - error_reporting במצב E_ALL.
ניתן לקבע באמצעות ()ini_set או עריכת ה- php.ini אם יש גישה (אפשר גם לשים php.ini יחודיי בכל תיקיה)

סינון שדות קלט בטופס צריך תמיד להעשות בצד השרת ! אפשר גם בצד הלקוח לטובת נוחות השימוש, אך אין לוותר על הסינון בצד השרת.

בסינון קלט, השתמש בפונקציות הבנויות:
()htmlentities
strip_tags
utf8_decode
כדי למנוע XSS (מצב שבו האתר משמש מתווך לתקיפת הגולשים אליו ע"י שתילת קוד - לדוגמא js פולשני שמוצג בפוסט של פורום)

תמיד לשים את הקובץ שמכיל את ההרשאת לבסיס הנתונים במקום שאין אליו גישה מדפדפן, וניתן להגן עליו גם באמצעות ה- httpd.conf , לדוגמא סיומות inc:

Order allow,deny
Deny from all

כדי להגן מפני sql injections מומלץ לעבוד עם stored procedures אם זה נתמך ע"י בסיס הנתונים שלכם (mysql 5 למשל). כמו כן, סינון קפדני של השדות ימנע אפשרות של הזנת פקודות SQL ושרשורם לפקודות בקוד.

השתמש ב-
if (!isset($_SESSION['initiated']))
{
session_regenerate_id();
$_SESSION['initiated'] = true;
}

כדי למנוע התקפה של קיבוע session

השתמש ב-

if (isset($_SESSION['HTTP_USER_AGENT']))
{
if ($_SESSION['HTTP_USER_AGENT'] != md5($_SERVER['HTTP_USER_AGENT']))
{
/* Prompt for password */
exit;
}
}
else
{
$_SESSION['HTTP_USER_AGENT'] = md5($_SERVER['HTTP_USER_AGENT']);
}

כדי להקשות על התקפת השתלטות על session

בשרת שיתופי, כדאי להשתמש ב-
session_set_save_handler()
כדי לשמור את המידע session ב- DB ולא בתיקיית TMP שנגישה לכל מי שחולק איתך את השרת.
הדבר נכון גם לגבי קבצים רגישים, תמיד עדיף לשמור אותם בבסיס הנתונים !

אם יש לך אפשרות (שרת ייעודי, או ספק אחסון שמשתף פעולה) השתמש ב- mod_security,
מערכת זו תאפשר לך סינון של מספר רב של התקפות מוכרות, כבר ברמת השרת.

סיסמאות צריכות להיות ארוכות ומסובכות, עם מספרים וסימנים מיוחדים.