0

Eu estava dando uma olhada em artigos da owasp sobre segurança e gostaria de entender o que é o PHP Object Injection meu inglês não é muito bom então em minha busca encontrei esse tópico no stackoverflow brasileiro. Só que mesmo assim não ficou claro para mim como um usuário poderia injetar código PHP em meus projetos, não sabia que usar unserialiaze e serialize em dados que o usuário envia não é uma boa ideia.

Meu projeto está na seguinte situação, o usuário seleciona alguns campos e envia eles eu valido sé de fato é uma url ( porque isso que vai ser serializado ) e depois de validado transformo em base64 para inserir no banco.

Assim:

foreach ($Screen as $key => $value) {
if (filter_var($value, FILTER_VALIDATE_URL)) {
    $Options["screen_".($key+1)] = stringMysql($value);
} else {
    $Erro = "Url inválida!";
    break;
}

A função stringMysql escapa os caracteres, antes de inserir no banco de dados. Eu depois dou um unserialize em uma página para exibir as urls.

O meu projeto está vulnerável?

2
  • cara, pra não complicar e ter segurança usa o PDO Commented 24/07/2020 às 16:46
  • Você consegue me explicar como funciona esse object injection? A questão de sanitizar os valores do mysql está tudo certinho, todas as querys são higienizadas. Sei que ter uma query preparada é o certo, mas não estou inseguro com isso.
    – reigelado
    Commented 24/07/2020 às 17:23

0

Você deve fazer log-in para responder a esta pergunta.

Pesquise outras perguntas com a tag .