Tenho um site com sistema de login, onde encontra-se um fórum com comentários.
Queria saber se a função addslashes seria pelo menos o básico para me prevenir de códigos maliciosos, como redirecionamento de página, sql injection?
Tenho um site com sistema de login, onde encontra-se um fórum com comentários.
Queria saber se a função addslashes seria pelo menos o básico para me prevenir de códigos maliciosos, como redirecionamento de página, sql injection?
A função addslashes() é usada para escapar barras invertidas, aspas simples, dentre outros caracteres. Não é o suficiente para escapar conteúdo HTML, CSS ou JavaScript.
Para escapar conteúdo HTML, use funções como strip_tags(), a qual remove tags ou, use htmlentities() caso queira exibir o conteúdo de código HTML como texto.
Exemplo prático sobre as 3 funções:
$str = "Is your name O'Reilly?";
// Outputs: Is your name O\'Reilly?
echo addslashes($str);
A função adiciona o caracter de escape (barra invertida) para cada single quote (aspa simples) encontrada.
Note que no PHP existe a diretiva magic_quotes_gpc. Em versões inferiores ao PHP5.4, essa diretiva poderia estar ativada. Então é importante verificar se está ativada ou não nessas versões do PHP. Quando magic_quotes_gpc
está ativo, addslashes() é aplicado automaticamente nas variáveis globais $_GET
, $_POST
, $_COOKIES
.
$text = '<p>Test paragraph.</p><!-- Comment --> <a href="#fragment">Other text</a>';
echo strip_tags($text);
A função remove tudo que é HTML, e tags JavaScript e CSS.
O segundo parâmetro da função serve para especificar exceções:
$text = 'foo<br>bar';
echo strip_tags($text, '<br>');
Nesse segundo exemplo, remove todas as tags HTML, exceto a tag <br>
Para prevenir-se de ataques de injeções SQL, prefira funções como mysqli_real_escape_string(). Para mais detalhes sobre o assunto consulte esse link: Usar o addslashes contra injeção de SQL é seguro?
Converte caracteres especiais, ou seja, caracteres não alfa numéricos, em HTML entities.
Falando de forma mais simples, você já deve ter visto códigos desse tipo açã
no código HTML e na página do browser aparece como ação
. Isso são os HTML entities.
A principal utilidade é permitir visualizar códigos HTML sem que os mesmos sejam interpretados, ou seja, serão tratados como texto plano (plain/text).
Suponha que deseja exibir um código HTML <b>texto</b>
. Então poderá usar HTML entities:
echo htmlentities('<b>texto</b>');
Outro uso comum e não recomendo é para exibir caracteres de idiomas multibyte ou mesmo caracteres latinos com acentuação.
Nota: Não confunda HTML Entities com URL encoded (urlencode()). Pois ambos são codificações distintas.
Em parte sim, o addslashes
protege contra a maioria dos códigos de SQLInjection
mas não todos, sua única funcionalidade é transformar a aspa em caractere acrescentando um arrab (\).
Fora esses comando de SQLInjection
, existem outros mais complexos que não são feitos através de formulários em sua página, coisa que para uma boa segurança é recomendado o uso de usuários e permissões no banco de dados.
Como é um fórum onde as pessoas podem deixar comentários, é possível fazer a injeção de javascript
, com scripts de roubo de sessão, exclusão de comentários, entre outros. Caso tenha mais duvidas pesquise por "Cross-Site Scripting (XSS)".
Essas são algumas das vulnerabilidades mais comuns que se encontra, ainda existem outros meios de injeção de scripts e invasão de sites. Esse link contem algumas vulnerabilidades conhecidas Veja aqui!