z tego co wiem przekazywanie parametrow w URL



jest niezbezpieczne (np PHP injection)

czy przed tym wystarczy zabepieczenie:

[PHP] pobierz, plaintext 
<?php
switch ($_GET['parametr1']) {
 
case 'podstrona1.html':
operacje na wartosci..
case ....
 
}
?>
[PHP] pobierz, plaintext 

? jak sie zabezpieczyc przed takimi url-atakami?

Witam,

Może się mylę, ale wystarczy rzutowanie lub sprawdzanie typów + nie używanie EVALa czy innej funkcji wykonującej coś ze stringa (SYSTEM, EXEC) ze zmiennych hyperglobalnych. W Twoim przypadku dodałbym jednego ifa:

[PHP] pobierz, plaintext 
<?php
if(!isset($_GET['parametr1'] || !is_string($_GET['parametr1'])) $_GET['parametr1']='';
 
switch ($_GET['parametr1']) {
 
case 'podstrona1.html':
operacje na wartosci..
case ....
 
}
?>
[PHP] pobierz, plaintext 

żeby nie otrzymywać warningów o niezgodnści typów jak ktoś wyśle


Pozdrawiam,
tsharek

czyli atak przez to jest niemozliwy??

jeżeli wartościami są TYLKO liczby to polecam taki sposób:

[PHP] pobierz, plaintext 
<?php
if(intval($_GET['parametr1'])) {
switch ($_GET['parametr1']) {
 
case 'podstrona1.html':
operacje na wartosci..
case ....
 
}
}
?>
[PHP] pobierz, plaintext 

albo ogólne zabezpieczenie:

[PHP] pobierz, plaintext 
<?php
if (preg_match("/union|select/i", strtolower($_SERVER['REQUEST_URI']))) {
die('System wykrył obecność nieprawidłowej zmiennej w adresie URL. Prawdopodobnie pró
ba włamania się do systemu.' );
}
?>
[PHP] pobierz, plaintext 

addslashes()" title="Zobacz w manualu PHP" target="_manual

Takie coś CI wogle nie zadziała, bo w w casie masz stringa.





A to raczej odnosi się sqlinjection, a najleprzym sposobem na zabezpieczenie przed tym są jednak funkcje z *_escape_string

to bylo schematycznie



hmm a jezeli ktos wstawi w $_GET['zmienna'] np schemat:






to będzie

ojejku.. a czemu miało by tak niby być? chyba nie rozumiesz zasad działania języka PHP. Jeżeli nie użyjesz funkcji eval to nigdy nic nie zdziałasz wpisując niewadomo co w $_GET/$_POST/$_COOKIE