Veiligheid website
op wat moet ik vooral letten als ik een website bouw om deze veilig te maken ? heb ook een volledig CMS systeem, waarmee moet ik rekening houden ? en wat kan een gebruiker zo al verkeerd invoeren en dergelijke ?
Mail Injection
HTML Etc
Je moet ook letten op ' daarmee kan hij je site beinvloeden
Door mysql bijv.
SELECT * FROM lalal WHERE login=$_GET['login']
als je van login maakt
?login=1 OR login < 100000
Dan kan het zijn dat je zomaar inlogt.
En zo kan je natuurlijk veel verder denken.
Han
@han, bestaat hier dan een handige functie voor of moet je telkens een controle doen per invuldveld, naar het behoeven van het veld ? of bestaat er een functie zoals tege een mysql injection. dat heb wel al voorzien.
er is inderdaad geen makkelijke standaard functie voor, maar er zijn wel standaardfuncties die voor veel gevallen opgaan. Dingen als stripslashes en addslashes().
http://www.phpfreakz.nl/artikelen.php?aid=106
Wat ook aan te raden is om eens op hack-sites's en hack-forums te gaan kijken, vragen gaan stellen hoe ze dat nou doen. Zo kun je er zelf beveiligingen tegen verzinnen, je eigen website erop testen. Ook kun je zo'n hacker vragen jou site eens te testen, maar kies er wel één uit die je volledig vertrouwt...
Meestal zijn er ook wel hackers die veel over beveiligingen weten (bijna wel logisch) en die je heel goed kunnen helpen.
-- edit --
Wat betreft die functies, maak er zelf 1! Je controleert bijvoorbeel met strip_tags, htmlentities, strlen en meer van zulk soort functies. Die doe je in een functie, of een class beveiliging.
Gewijzigd op 17/01/2006 18:45:00 door Eric Cartman
sebas: wat bedoel je met de mail injection?
Dat artikkel is idd zeer intressant! heb het al eens rap doorgenomen en ziet er goed uit! ga ik ook aan enkele maten geven.
Dit script heb ik idd gebruikt tegen een Mysql injection! waarvoor dank aan de schrijver ervan en phphulp!, nog tips waarop ik moet letten ?
Zo is het ook met wachtwoorden, e-mailadressen, urls (wel of niet http, automatisch www.*.* omzetten naar geldige url, enz)
En maak duidelijk wat de beveiligingsrisico's zijn aan de gebruiker. Waneer deze bijvoorbeeld in admin-modus is ingelogd (gebruiker en admin scheiden, dus vor admin opnieuw moeten inloggen, is ook al een hele verbetering) duidelijk aangeven dat de gebruiker alles kan aanpassen. En dat het aangeraden wordt om bij normaal gebruik in gebruikers-modus rond te dwalen.
En dan heb je nog de technische dingen zoals session-kaping, koekjes, javascript (bijvoorbeeld in berichten in een gastenboek of reacties), lekken in de ubb-code (zag phphulp) enz.