3

Tenho um site com sistema de login, onde encontra-se um fórum com comentários.

Queria saber se a função addslashes seria pelo menos o básico para me prevenir de códigos maliciosos, como redirecionamento de página, sql injection?

2
  • Só depende do contexto. Se é pra prevenir injection, cada api/lib de DB tem sua maneira. Normalmente o addslashes não deve ser usado, e não é essa a finalidade dele.
    – Largato
    Commented 31/03/2016 às 22:49
  • PS: Caso as respostas da pergunta indicada como alternativa não sejam suficientes, basta editar a sua acrescentando o contexto para deixar mais específica e deixar um comment, que a gente vota pra reabrir.
    – Largato
    Commented 31/03/2016 às 23:00

2 Respostas 2

6

A função addslashes() é usada para escapar barras invertidas, aspas simples, dentre outros caracteres. Não é o suficiente para escapar conteúdo HTML, CSS ou JavaScript.

Para escapar conteúdo HTML, use funções como strip_tags(), a qual remove tags ou, use htmlentities() caso queira exibir o conteúdo de código HTML como texto.

Exemplo prático sobre as 3 funções:

addslashes()

$str = "Is your name O'Reilly?";

// Outputs: Is your name O\'Reilly?
echo addslashes($str);

A função adiciona o caracter de escape (barra invertida) para cada single quote (aspa simples) encontrada.

Note que no PHP existe a diretiva magic_quotes_gpc. Em versões inferiores ao PHP5.4, essa diretiva poderia estar ativada. Então é importante verificar se está ativada ou não nessas versões do PHP. Quando magic_quotes_gpc está ativo, addslashes() é aplicado automaticamente nas variáveis globais $_GET, $_POST, $_COOKIES.

strip_tags()

$text = '<p>Test paragraph.</p><!-- Comment --> <a href="#fragment">Other text</a>';
echo strip_tags($text);

A função remove tudo que é HTML, e tags JavaScript e CSS.

O segundo parâmetro da função serve para especificar exceções:

$text = 'foo<br>bar';
echo strip_tags($text, '<br>');

Nesse segundo exemplo, remove todas as tags HTML, exceto a tag <br>

Para prevenir-se de ataques de injeções SQL, prefira funções como mysqli_real_escape_string(). Para mais detalhes sobre o assunto consulte esse link: Usar o addslashes contra injeção de SQL é seguro?

htmlentities

Converte caracteres especiais, ou seja, caracteres não alfa numéricos, em HTML entities.

Falando de forma mais simples, você já deve ter visto códigos desse tipo a&ccedil&atilde; no código HTML e na página do browser aparece como ação. Isso são os HTML entities.

A principal utilidade é permitir visualizar códigos HTML sem que os mesmos sejam interpretados, ou seja, serão tratados como texto plano (plain/text).

Suponha que deseja exibir um código HTML <b>texto</b>. Então poderá usar HTML entities:

echo htmlentities('<b>texto</b>');

Outro uso comum e não recomendo é para exibir caracteres de idiomas multibyte ou mesmo caracteres latinos com acentuação.

Nota: Não confunda HTML Entities com URL encoded (urlencode()). Pois ambos são codificações distintas.

1

Em parte sim, o addslashes protege contra a maioria dos códigos de SQLInjection mas não todos, sua única funcionalidade é transformar a aspa em caractere acrescentando um arrab (\).

Fora esses comando de SQLInjection, existem outros mais complexos que não são feitos através de formulários em sua página, coisa que para uma boa segurança é recomendado o uso de usuários e permissões no banco de dados.

Como é um fórum onde as pessoas podem deixar comentários, é possível fazer a injeção de javascript, com scripts de roubo de sessão, exclusão de comentários, entre outros. Caso tenha mais duvidas pesquise por "Cross-Site Scripting (XSS)".

Essas são algumas das vulnerabilidades mais comuns que se encontra, ainda existem outros meios de injeção de scripts e invasão de sites. Esse link contem algumas vulnerabilidades conhecidas Veja aqui!

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .