10

Pensando em criar um sistema de login e cadastro seguro, desejo tomar algumas medidas, como venho lendo, verifico diversos erros que cometia, principalmente a respeito de variáveis Globais:

http://php.net/manual/pt_BR/language.variables.superglobals.php

Ex: Eu sempre validava minha váriaveis super globais, mas apenas as do tipo GET e POST, não me preocupava tanto com COOKIE, SESSION, SERVER.

Após realizar uma pergunta caiu a ficha da quantidade de erros que cometia.

Preocupado principalmente com SQL Injection, agora sei que utilizando PDO ( prepare, Bindvalues) esse problema é resolvido.

Outro tipo de ataque que estava muito vunerável é o XSS:

onde nunca validei para variaveis globais como SERVER, SESSION, COOKIE, já GET e POST utilizo muito o strip_tags(). Para prevenir esse tipo de ataque percebo muita gente colocando as seguintes tags:

strip_tags, addslashes e htmlspecialchars

Mas percebi que alguns sites não utilizam o ADDSLASHES, é necessário ou não para prevenir XSS ?

Eu sei que existem vários outros tipos de ataques, mas no que se refere as variáveis super globais, quais os tipo de ataques além dos citados acima eu tenho que prevenir? e quais funções php eu tenho que utilizar para prevenção de cada ataque?

2 Respostas 2

4

O melhor meio de evitar esse tipo de problema é definir bem o domínio dos valores que você espera pra determinado valor e validar contra esses domínios. Fazer isso com todos os valores que vem do usuário.

Por exemplo: Um campo "Nome" de um usuário: o nome de uma pessoa pode conter caracteres de a-z mais acentos e talvez um apóstrofo('). Você pode usar expressões regulares pra fazer esse tipo de validação.

Se você esta usando prepared statements, não precisa se preocupar com SQL injection a não ser que você use variáveis para os nomes das tabelas ou qualquer outra coisa que não seja "bindado".

A questão do XSS é principalmente sobre não permitir que o sistema execute código vindo do usuário. O modo mais comum é o usuário enviar javascript, nesse caso você pode usar htmlspecialchars ou o strip_tags . É importante lembrar que em alguns lugares do seu sistema você pode querer que o usuário cadastre html, então caso use o htmlspecialchars em toda entrada que o usuário faz, é interessante ter um meio de desativar isso pra casos específicos.

Outro vetor de ataque XSS esta na execução de código PHP, é bom ter cuidado especial se você utiliza a função eval ou preg_replace. Os dados passados para essas funções podem ser executadas pelo php ou mesmo pelo sistema operacional então deve-se ter o máximo de cuidado ao limitar o domínio de valores que vem do usuário ao usar essas funções. Melhor mesmo é evitar usá-las.

Um problema que antigamente era bem comum no PHP mas hoje em dia é raro é a diretiva register globals que basicamente fazia com que a variável $_POST['variavel'] fosse a mesma que $variavel. É bom dar uma olhada na configuração do php pra ter certeza que esta diretiva esta desativada.

O CSRF ocorre quando o usuário esta logado no seu site e acessa um site malicioso. Esse site faz requisições "escondidas" para o seu site que acabam ficando em nome do usuário logado, por exemplo apagar, alterar ou roubar dados.

O método mais comum de impedir isso é gerar uma token randômica com a página, mandar ela junto com toda requisição que de acesso à dados sensíveis e verificar antes de retornar dados sensíveis ou alterar/apagar dados. Que é o que você mencionou da $_SESSION.

Outra maneira de mitigar esse tipo de ataque é pedindo uma confirmação da senha do usuário em operações mais importantes ou adicionando um captcha.

1
  • Além dos citado encontrei o CSRF, no qual podemos usar uma SESSION com um identificador unico, que vai ser verificado na página que recebe o método post get etc... Existem outras maneiras de evitar este ataque...
    – abcd
    Commented 28/04/2015 às 15:08
2

Meu caro,

Use um bom framework de desenvolvimento e tenha em suas mãos a solução destes e muitos outros problemas comuns.

Mesmo com Framework você pode estar sujeito a XSS, na realidade strip_tags já basta para resolver, você pode criar um Behavour padrão que além de formatar datas e dinheiro para nosso padrão, limpa campos texto com strip_tags por exemplo.

Um abraço!

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .