bugs in php scripts zien

Door Roland Baas op 09-03-2006 20:33

32 views

ik doe me best om zo veilig mogelijk te programmeren, helaas kan ik niet zeggen dat ik op het gebied van php een guru ben!

dus ik vroeg me af, hoe kan ik me het beste in een 'php hacker' verplaatsen.. uitkomst: door zelf een hacker te worden.

ik moet er wel bij zeggen dat ik geen kwade bedoelingen bij heb.

Ik neem aan dat er geen website is waar je zo 1..2..3 php hacken leert.

Zijn er bijvoorbeeld websites waar veel gebruikte fouten staan of hebben jullie tips om je scripts zo veilig mogelijk te maken?

Winston Smith

09-03-2006 20:36

Op phpfreakz vind je een tutorial waarin allerlei kwesties aan de orde worden gesteld.

Alfred -

09-03-2006 20:37

Nooit zomaar een $_POST/$_GET in een query rammen, geen wachtwoorden in cookies of andere 'gevaarlijke' info, controle op IPs; anti-session-hack, e.d... Zo kom je al ver (;

Roland Baas

09-03-2006 20:42

@ kasper, deze ga ik zeker doorlezen dankjewel.

@ rafel, kan je iets meer vertellen over anti-session hack?

Mitch X

09-03-2006 20:47

Elke sessie heeft een eigen ID.
Als Mr Evil van een van je gebruikers het sessieID steelt zou hij de sessie over kunnen nemen, met alle gevolgen van dien.

Om dit op te lossen koppel je een sessie aan het ip van de gebruiker, dat hoort namelijk niet te veranderen tijdens een sessie.

Vb.:
<?php
if( $_SESSION['ip'] != $_SERVER['remote_addr'] )
{
# Unset sessie ed. ip adres verandert :+
}
?>

Roland Baas

09-03-2006 20:52

nog meer van zulke geniale weetjes? jullie helpen me zeker weten

Alfred -

09-03-2006 20:55

Roland schreef op 09.03.2006 20:42
@ rafel, kan je iets meer vertellen over anti-session hack?

Zie post van Mitch (;

Roland Baas

10-03-2006 22:59

<?php
// session.inc.php
session_start();

if (!isset($_SESSION['ip']))
$_SESSION['ip'] = $_SERVER['REMOTE_ADDR'];
if ($_SESSION['ip'] != $_SERVER['REMOTE_ADDR'];
trigger_error("Session Hijacking detected!", E_USER_WARNING);
?>

Ik include nu bovenstaand script. klopt het dat ik nu geen header locations meer kan doen? hoe is dit te verhelpen.

Ik heb het phpfreakz artikel uitgeprint en bij de plaatselijke copyshop meteen laten inbinden, zeker een mooi artikel bedankt!

Bo az

10-03-2006 23:19

Het wordt in het PHPfreakz stuk ook genoemd, maar je moet $_SERVER variabelen ook nooit vertrouwen.

Bijvoorbeeld de USER_AGENT is erg gemakkelijk aan te passen.

Reageren

Inloggen om te reageren