Фильтрация данных в PHP

Киев – дэнс 2008
24-25 октября в МВЦ,
если покупаешь билет до 1 октября цена
160 грн - 260 грн (фан сектор) - 360(Вип)
с 1октября до 20 октября 180 - 280 - 380
20-25 200-300-400
Биллет на 2 дня

Line up
LCD Soundsystem
Audio Bullys
Cassius
Rank 1 (Live)
Timo Maas
Kasheen
Hernan Cattaneo
Josh Gabriel
Chris Liebing
Scazi Valentino Kanzyani
Woody Van Eyden
Alex MORPH
Gorchitza Sunchase
Prolix
Optical
Cyb_ORC
Tapolskiy
Конь
Сухарь
НАГГАНО

По поводу заказов билетов обращаться:
icq 386679025
Моб.80633445552
Спросить Сашу

Время и место
Город: Киев, Украина
Адрес: Энтузиастов, 1. (М. Левобережная)
Начало: 25 сен 2008 в 23:00
Окончание: 26 сен 2008 в 7:00

Ukrainian Hardstylerz & SLS Promo представляют! 25 сентября. Лучший Андеграунд клуб страны – Cinema!
Сумасшедшая хард вечеринка – Bass Force!

Мы сделаем все, что бы в эту ночь вы получили настоящий эмоциональный экстаз! Мы сделаем все, что бы вы просто стали счастливее!
Bass Force – это 2 разрывных танцпола, это сразу 2 вечеринки, которые заставят ваши сердца биться в 3 раза сильнее!
Bass Force – это отборный Hardcore, Hardstyle, Drum & Bass, Jumpstyle и Dancecore!
И все это в одну ночь, и все это от лучших диджеев, которые приедут со всех уголков Украины для того, что бы подарить вам незабываемый праздник!

Радовать ваши уши мощнейшими звуками харда на «Hard Bass» танцполе будут – лучший Hardcore DJ страны - DJ Belkin, лучшие Hardstyle DJ’s страны - Doctor Tunez, …

[ Полное чтение ]

Тема: Фильтрация данных в PHP Сб Сен 13, 2008 11:17 pm

Каждый web-мастер должен уметь не только писать скрипты, но и грамотно организовывать защиту своих творений. Одним из важнейших навыков является умение правильно фильтровать всю информацию, поступающую от пользователя. Об этом и пойдет речь в моей статье.

Прежде всего, следует фильтровать данные, которые передает пользователь осознанно - в основном, это данные различных форм. Это может быть пара логин-пароль для входа, пункт голосования и т.п. Например, такая форма
PHP код:

После нажатия кнопки "OK" передаст скрипту index.php два значения - $login и $pass. Как их можно отфильтровать? Пример для переменной $login:

PHP код:
if($login)
{
$login = htmlspecialchars((stripslashes($login)), ENT_QUOTES);
$login = str_replace("/","",$login);
$login = str_replace(".","",$login);
$login = str_replace("`","",$login);
}
else
{
echo "Логин не введен!";
}

В первой строке мы проверяем существование переменной $login, если она существует - идем дальше, если нет - выводим сообщение об ошибке. Затем с помощью функции htmlspecialchars заменяем в этой переменной спецсимволы на их HTML мнемоники. То есть знак `<` меняется на `<`, `&` меняется на `&` и т.д. Функция stripslashes вырезает знак обратного слеша `\`. Далее с помощью str_replace вырезаем знак прямого слеша, точку (иногда бывает полезно) и обратную кавычку.

Если вы знакомы с регулярными выражениями, то предыдущий пример можно записать гораздо короче:
PHP код:
if($login)
{
if (preg_match("/[0-9a-z_]/i", $login))
{
// … действия над логином …
}
else
{
echo "Логин введен неверно!";
}
}
else
{
echo "Логин не введен!";
}

Этот фрагмент кода будет проверять введенный логин на соответствие регулярному выражению `/[0-9a-z_]/i`, которое означает: все цифры + все латинские буквы в любом регистре + знак подчеркивания. Если логин содержит другие символы, то будет показано сообщение об ошибке.

Аналогично фильтруются переменные, получаемые скриптом через URL. В движках сайтов можно встретить что-то вроде таких ссылок:

http://www.pustoty.net/indexs.php?module=news

Если не фильтровать переменную $module (или $_GET[`module`], если register_globals отключен), то над сайтом могут вытворяться не очень хорошие вещи, вроде XSS. Нужно применять первый приведенный мной скрипт-чистильщик, разумеется, убрав сообщения об ошибках.

Следующее, на чем бы я хотел остановиться - это фильтрация кукисов. Думаю, что даже если вы начинающий программист, то с "плюшками" вы сталкивались, а насчет их проверки даже не задумывались. Зря! Если вы используете SQL-базы данных, то отсутствие проверки кукисов может привести к использованию хакерами SQL-injection. Так как в кукисах, в основном, мы используем определенный тип данных, например, только числа, то проверку данных можно проводить с помощью все тех же регулярных выражений. Допустим, у нас есть кукис "id", в котором хранятся числовые данные. Его проверка:

PHP код:

if($_COOKIE[`id`])
{
if (preg_match("/[0-9]/", $_COOKIE[`id`])
{
// … действия над кукисом …
}
else
{
echo "Хм, странный кукис. Не пойдет!";
}
}

В сети есть огромное количество документации посвященной взлому сайтов, в частности, там показаны различные случаи использования XSS и приемы обхода фильтрации. Но мы то с вами уже умеем защищаться от непрошенных гостей.