De scripttaal PHP is over het algemeen een zeer veilige programmeertaal , vooral omdat het geen last heeft van buffer overflow -aanvallen , omdat de taal niet is gevestigd in het geheugen . Er zijn echter beveiligingsfouten en verborgen gevaren met de taal . Vanwege de eenvoud van de taal , kunnen sommige coders ongeluk verlaat kwetsbaarheden binnen de code . Bij gebruik van invoervelden in PHP , zijn er bepaalde dingen die je op moet letten . Cross Site Scripting
Cross Site Scripting of XSS is waar je inbreng inhoud aan uw PHP-script , zoals een Javascript . XSS is erg handig , bijvoorbeeld als je het verzamelen van nieuwsitems in een webpagina . Toch als je een script dat gebruikers in staat stelt om een paginanummer te kiezen , en ze in plaats daarvan plaatst een script om een externe code , dan zal de XSS leiden tot gaten in de beveiliging . Voeg een " strip_tags ( ) ' in uw PHP naar HTML ingang te verwijderen .
SQL Injection
SQL-injectie mogelijk maakt voor beveiligingsgaten in uw database . In een user login formulier , bijvoorbeeld als u een basis " password = ' $ wachtwoord' " script , dan is de hacker kan invoeren " 'OR 1 = 1 " in het veld wachtwoord en log in op de database te gebruiken . Dit betekent dat de hacker kan geen rekening hij de gebruikersnaam voor weet te voeren . Plaats de " mysql_real_escape_string ( ) " om dit te voorkomen .
Spoofed Vorm Input
Zoals met SQL Injection , als u een type vormen zoals een "input " of " textarea , " dan is een hacker kan deze alleen-lezen- elementen gebruiken om SQL-commando's en verklaringen af te geven in uw script . Fix dit als u zou doen met SQL- injectie als het gebruik maakt van SQL-query's naar de belangrijkste database.
Bestand uploaden
Als u wilt bieden een bestand te uploaden invoervak op uw website , dit vormt een potentieel grote ingang gevaar . Er zijn twee dingen te doen om dit probleem op te lossen . Ten eerste geeft het mime type voor de bestanden die u wilt uploaden , bijvoorbeeld , voeg " image /png " en " image /gif " om de $ validMimes tag om bestandstypen te beperken tot die mimespelers . Naar aanleiding van de mime-type , voor extra beveiliging toe te voegen " = > " . Png ' " na de png -tag , om ervoor te zorgen dat de mime-type overeenkomt met de bestandsextensie .
< Br > |
