Kreiranje security.php (a) projekat !

[ZEROF]

U saradnji sa http://www.pentesting-rs.org radimo na novom projektu koji ce doprineti vecoj sigurnosti Vasih web aplikacija. Ovo je nas prvi zvanicni koderski manip koji ce postati javnog karaktera i za koji ocekujemo predloge sa Vase strane. Baziracemo se na blokiranju napada sa kojima se najcesce susrecemo danas. Mysql Injection, XSS, LFI, RFI itd..vise o ovim vrstama napada mozete procitati i na pentesting-rs sajtu. Sve funkcije bice detaljno objasnjenje u edukativne svrhe i zelje da ovo privuce sto vecu paznju korisnika web aplikacija.

Prvu verziju skripte objavljivacemo u delovima radi lakseg razumevanje iste. Zahvaljujuci komentaru jednog naseg clana, krenucemo prvo u resavanja proxy pristupa Vasem sajtu. Uzecemo primer koda koji je podrzan i u PHP5 verizji.

Kod:

<?php
/**Blokiramo proxy pristup nasem sajtu
*/
function checkProxy {

if($_SERVER['HTTP_X_FORWARDED_FOR'] || $_SERVER['HTTP_X_FORWARDED'] || $_SERVER['HTTP_FORWARDED_FOR'] || $_SERVER['HTTP_CLIENT_IP'] || $_SERVER['HTTP_VIA']) {

die(‘Proxy nije dozvoljen’);

}
}
?>

Pozitivna strana

1.Svi koji zele da naruse sigurnost i zele sakriti tragove svog delovanja, bice blokirani pri samom pokusaju koriscenja proxy servisa.
2. Napadac je automatski nateran da koristi svoju javnu IP za napad, sto ce nam omuguciti da ga blokiramo.

Negativna strana

1. Oredjeni broj korisnika je primoran koriscenju proxy-a za pristup nasim stranicama, ali je broj zanemaravajuci, tako da je bolje misliti na sigurnost.

[Floop]

Kada ce druga ?

[ZEROF]

Vidi, neko primetio ovaj post . Sve u svoje vreme, posto zainteresovanih nema, a mi nemamo vremena za gubljenje vec radimo na novim stvarima.

[Solmax]

Nemoj tako, to sto ne odgovaramo ne znaci da ne cenimo to sto pisete Svaka cast, bilo bi lepo da cujemo jos o sigurnosti php-a, kad budete imali vremena naravno

[Nightmaster]

I ja bi voleo da vidim nastavak...

[k08r4]

Kad nam stize drugi deo koda i text-a?

[SETI_explorer]

Jedan od sigurnosnih propusta koji se često javlja kako na našim tako i na stranim Internet prostorima, povezan je sa  (ne)filtriranjem parametara koje korisnici šalju skripti ($_GET, $_POST, $_COOKIE,...).

Evo primera jedne proste f-je koja značajno može unaprediti bezbednost Vaše Web aplikacije.

Kod:

<?php
// c0d3d by SETI_explorer

function seti_filter($string, $type) {
    if(empty($string)) return 0;
    else {
        
        switch($type) {
            case 'int':
                if(is_numeric($string)) $value = (int)$string;
                else die('Hacking attempt.');
                break;
            case 'char':
                $value = htmlspecialchars($string, ENT_QUOTES);
                break;
            default:
            die('Function <b>seti_filter</b>: Allowed data types are <b>int</b> and <b>chars</b>');
            break;
        }
        
        return $value;
    }
}

?>

Primer korišćenja ove funkcije:

Kod:

<?php
$id = seti_filter($_GET['id'], 'int');

if(isset($_COOKIE['seti_explorer'])) {
$name = seti_filter($_COOKIE['seti_explorer'], 'char'); }
?>

PHP 5.2.0 rešenje - http://php.net/manual/en/function.filter-input.php