0

Estou criando um sistema que criptografa alguns dados e os salva no banco de dados. Suponhamos que essa criptografia seja md5 e aconteça no diretório meusite.com.br/controller.php. Como impedir que alguém mal intencionado tenha acesso aos meus arquivos e descubra o tipo de criptografia usada e outras informações do meu código? E quais devem ser as medidas de segurança para evitar que o código e o banco sejam acessados por quem não deve, seja através de sql injection ou qualquer outro meio. (Sou leigo no assunto). Desde já agradeço.

2
  • 1
    Comece pelo manual: us2.php.net/manual/en/security.php 6/02/2016 às 14:11
  • 1
    Se a criptografia for feita corretamente, não tem problema nenhum olharem seu código. Mas se as pessoas tem acesso ao servidor, podem trocar o seu código por qualquer coisa. Se o seu problema é esse, PHP não é a linguagem adequada pro trabalho.
    – Largato
    6/02/2016 às 17:19

2 Respostas 2

1

Bem eu tentei comentar sobre seu comentário mas não tenho pontos o suficientes, mas pois bem como disse você quer esconder seu código de terceiros...

Atualmente existe 2 métodos para se fazer isso:

Ofuscamento de código: Que consiste em embaralhar as variáveis, nomes e etc. dentro do seu código de forma que a leitura não seja simples, existe vários softwares e serviços pela web só procurar no Google, coloquei 2 links de serviços assim a titulo de exemplo:

Bem vale ressaltar que esse método de ofuscamento não é 100% seguro nem indecifrável, ele só irá tornar mais difícil a leitura e irá TALVEZ afugentar curiosos em potencial.

Compilação: Que é a grosso modo é a transformação de uma linguagem em outra semanticamente igual mas aplicada e executada no OS, no caso do PHP existe alguns compiladores que fazem isso.

O mais famoso para PHP é o ionCube que é uma ferramenta PAGA, onde você passa seus códigos por ela e ela faz esse serviço de compilar, porem seu servidor precisa ter um modulo instalado para poder receber esses arquivos compilados de volta.

Vale lembrar que nesses dois métodos você precisa ter o código original caso deseja fazer modificações, e aplicar a ofuscação ou compilação novamente antes de publicar.

Mas assim a principio, quando o PHP está rodando dentro do servidor a pessoa não tem acesso ao fonte só a saída final, se só você tem acesso aos códigos não tem problema, sem contar que compilando ou ofuscando alguém ainda terá acesso as pasta, arquivos e etc. pois a estrutura é mantida apenas o conteúdo é ilegível.

2
  • Mas não sei pelo menos para mim fica claro que "ofuscar" o código é apenas uma maneira paliativa de esconder o código, a própria palavra já diz isso tornar(-se) turvo, confuso, ou seja não é algo definitivo. Mas arrumarei meu texto conforme sua observação.
    – SK15
    6/02/2016 às 20:22
  • Pode parecer exagero meu, mas acho que o simples aviso que você acrescentou já melhorou bastante. Assim, se um leitor que não conhece o assunto esbarrar na resposta, estará ao menos avisado que não é solução tão segura (nem todo mundo tem a percepção que nós temos sobre o termo "ofuscar"). Logo mais deleto este comment.
    – Largato
    6/02/2016 às 20:53
0

Contra SQL Injection você deve fazer o tratamento das informações recebidas pelos GET e POST antes de interagir com o Banco...usando funções que removam caracteres especiais como ='/"; que sao comuns em SQL Injection, quanto ao seus arquivos, só se o cara invadir o servidor ou se você deixar uma brecha tipo aqueles sites que permitem fazer download pelo nome do arquivo na url, tipo site.com.br/download.php?file=arquivo.jpg... dessa forma se vc nao fizer um tratamento da função o cara pode substituir o arquivo.jpg pelo controller.php e levar seu arquivo com suas informações.

1
  • 1
    Sua resposta está no caminho certo. Acho que se der uma formatadinha melhor, e detalhar um pouco as coisas, aumenta a chance de atrair votos.
    – Largato
    6/02/2016 às 17:41

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .