Hola ayuda para evitar inyecciones sql y ataques xss
Hola amigos de todoexpertos, tengo unas curiosidades, como evitar inyecciones sql y ataque xss en una web.. Tengo entendido para xss se puede usar htmlspecialchars() o strip_tags.. Por parte ya lo testee y si me evita ejecutar códigos maliciosos como script y etiquetas, pero es suficiente para evitar xss ¿?
Ahora, para inyección SQL que tengo que hacer ¿? Cuando se tiene una parte administrativa ¿?
De antemano gracias
strip_tags
1 respuesta
Te había escrito una respuesta bastante extensa en plan coloquio, pero la he perdido no se que carajo he hecho. El caso, lo que te dije:
El strip_tags sirve para eliminar etiquetas, y en seguridad contra xss tampoco es 100% seguro.
Te recomiendo la libreria htmlpurifier para evitar xss, antes de usar esa libreria utilizaba la siguiente funcion
function filtro_xss($data) {
// Fix &entity\n;
$data = str_replace(array('&','<','>'), array('&','<','>'), $data);
$data = preg_replace('/(&#*\w+)[\x00-\x20]+;/', '$1;', $data);
$data = preg_replace('/(&#x*[0-9A-F]+);*/i', '$1;', $data);
//$data = @html_entity_decode($data, ENT_COMPAT, 'UTF-8');
// Remove any attribute starting with "on" or xmlns
$data = preg_replace('#(<[^>]+?[\x00-\x20"\'])(?:on|xmlns)[^>]*+>#i', '$1>', $data);
// Remove javascript: and vbscript: protocols
$data = preg_replace('#([a-z]*)[\x00-\x20]*=[\x00-\x20]*([`\'"]*)[\x00-\x20]*j[\x00-\x20]*a[\x00-\x20]*v[\x00-\x20]*a[\x00-\x20]*s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:#i', '$1=$2nojavascript...', $data);
$data = preg_replace('#([a-z]*)[\x00-\x20]*=([\'"]*)[\x00-\x20]*v[\x00-\x20]*b[\x00-\x20]*s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:#i', '$1=$2novbscript...', $data);
$data = preg_replace('#([a-z]*)[\x00-\x20]*=([\'"]*)[\x00-\x20]*-moz-binding[\x00-\x20]*:#', '$1=$2nomozbinding...', $data);
// Only works in IE: <span style="width: expression(alert('Ping!'));"></span>
$data = preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?expression[\x00-\x20]*\([^>]*+>#i', '$1>', $data);
$data = preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?behaviour[\x00-\x20]*\([^>]*+>#i', '$1>', $data);
$data = preg_replace('#(<[^>]+?)style[\x00-\x20]*=[\x00-\x20]*[`\'"]*.*?s[\x00-\x20]*c[\x00-\x20]*r[\x00-\x20]*i[\x00-\x20]*p[\x00-\x20]*t[\x00-\x20]*:*[^>]*+>#i', '$1>', $data);
// Remove namespaced elements (we do not need them)
$data = preg_replace('#</*\w+:\w[^>]*+>#i', '', $data);
do
{
// Remove really unwanted tags
$old_data = $data;
$data = preg_replace('#</*(?:applet|b(?:ase|gsound|link)|embed|frame(?:set)?|i(?:frame|layer)|l(?:ayer|ink)|meta|object|s(?:cript|tyle)|title|xml)[^>]*+>#i', '', $data);
}
while ($old_data !== $data);
// we are done...
return $data;
}Fijate que tiene la linea de utf8 comentada, esto dependerá de tu juego de caracteres. Pero te recomiendo usar la librería htmlpurifier
En cuestion de inyecciones sql te recomiendo que uses sentencias preparadas preconstruidas con PDO o mysqli
http://php.net/manual/es/book.pdo.php
http://php.net/manual/es/class.pdo.php
http://php.net/manual/es/pdo.prepared-statements.php
