0

Estava dando uma olhada em alguns projetos na internet que envolvem segurança e me deparei com o seguinte código.

Todas as requisições ao site eram redirecionadas ao index.php pelo mod_rewrite, a conexão com o banco de dados era feita com PDO, utilizando prepared statements, tudo estava no padrão, porém fui dar uma olhada no index e me deparo com esse código

    /** O projeto permite somente slugs com 250 caracteres **/
    if (isset($_GET['params']) && (strlen($_GET['params'])  > 250)) 
    {
        header('HTTP/1.0 403 Forbidden');
        die('<b>O endereço atual excede os limites de segurança</b>');
    }

Achei bem estranho e resolvi baixar pra conferir.

Utilizei o sqlmap pra fazer alguns testes e o mesmo não obteve resultado. Tirei essa linha que postei acima e fiz os testes novamente, basicamente não mudou em nada, exceto nos logs do Apache que pude ver que as strings do sqlmap estavam "passando", ao invés de serem "barradas" pelo script e gerando erros 403.

Para assegurar o aplicativo e poupar recursos do servidor, o código acima é uma medida preventiva ou desnecessária?

3
  • 2
    Eu acho que a palavra "segurança" nesse caso está sendo usada num sentido figurativo (i.e. um slug muito grande poderia causar bugs em outras partes da aplicação por razões quaisquer)., e não no sentido literal. Mas é só um palpite...
    – mgibsonbr
    Commented 11/12/2015 às 21:09
  • Não há nada no que postou que reforce a segurança no que se refere a SQL injection. O script apenas impede que a aplicação prossiga caso o slug tenha mais que 250 caracteres e ainda dispara um aviso de segurança caso ocorra. Conforme já comentado, é um exagero pois não tem a ver com segurança, mas sim, com regras de negócio e também pelo fato de que o método GET é limitado a 255 caracteres. Resumindo, é uma gambiarra muito grosseira. Aplicada de forma confusa por disparar um 403 forbidden com mensagem sobre segurança. Commented 12/12/2015 às 10:02
  • é confuso dar uma resposta. Se puder modificar a questão para algo mais relevante, pelo menos relevante ao título ou modificar o título conforme o conrtexto, acho que pode tornar-se viável Commented 12/12/2015 às 10:03

1 Resposta 1

3

Não entendi bem a questão, me parece que você dizer que $_GET['params'] é passado para o mysql, ele não parece pra evitar sqlinjection, acredito que podem ser dois motivos:

URL amigáveis (slug)

Lendo sobre o termo "slug" ele significa que as urls devem ser mais fáceis para leitura humana, ou seja estamos falando de urls reescritas (mod_rewrite), um exemplo seria:

  • Titulo da página/artigo: Como criar urls amigáveis!
  • slug do titulo para url: como-criar-urls-amigaveis

    No código usado este slug tem um limite de 250 caracteres, pois a ideia é que se for maior ele provavelmente será difícil de ser "lembrado" pelo usuário. Não que a solução proposta vá resolver, mas é um caminho para tentar evitar o problema.

Evitar conexões ao mysql sem necessidade

Pense assim, se os parâmetros são inválidos não existe necessidade de conectar no mysql, isto pouparia um pouco o servidor, pois aparentemente não existe urls com mais de 250 caracteres, por que todas vez que você faz uma requisição valida ele conecta no servidor mysql, sei que seria difícil haver múltiplas conexões com querys invalidas.

Sobre o código que você citou eu notei uma coisa estranha pois ele parece tentar evitar strings maiores que 250 (strlen($_GET['params']) > 250), mas como o @rray disse, strlen retorna bytes e não caracteres, então talvez o código não funcione bem como o esperado.

6
  • 1
    Acho que o código da pergunta está preocupado em tratar o undefined index, lembre que o strlen() retorna o número de bytes e não de caracteres.
    – rray
    Commented 12/12/2015 às 0:37
  • Pelo que eu entendi desse código ele conta o número de caracteres que eu coloco na URL, pois se eu coloco mais que 250 ele dá aquela mensagem que está dentro do die(); Achei bem estranho esse código, a ideia parece ser boa de poupar o servidor, mas não compreendi o código em sí.
    – user35937
    Commented 12/12/2015 às 1:09
  • A menos que se queira enviar uma hash como parâmetro, ou que os parâmetros sejam "desconhecidos", essa verificação é um desperdício de linha, e nada tem haver com protecção. Eu pessoalmente não entendi a razão, existem formas bem melhores de lidar com problemas como este como já mencionaram.
    – Edilson
    Commented 12/12/2015 às 1:42
  • Fazendo uns testes parece que a única coisa que ele fez foi poupar o BD de consultas inválidas, nada mais, acho que realmente a palavra segurança foi empregada de forma errada ali.
    – user35937
    Commented 14/12/2015 às 13:21
  • 1
    @RenanCavalieri não diria errada, mas sim da interpretação dele, ele talvez acredite que seja a segurança do usuário lembrar :) - Mas realmente é melhor evitar o uso da palavra neste contexto.
    – Syzoth
    Commented 14/12/2015 às 13:22

Você deve fazer log-in para responder a esta pergunta.