script yazımında bunlara dikkat edin !

uyandim · 21 04-07-2008, 17:01:25

Aslıdna bu fonksiyon sorugya gidecek verileri bir nevi bir kaç testten geçirip html taglarını vs.. siliyor, dolayısıyla kötü niyetli bir kod düz texte çevrilip db ye yazılıyor. Aynı şekilde çok sıkça kullanılan PHP de SafeSQL classını bence inceleyin derim bu tür verileri irdeleyip sql de güvenlik açıklarının önüne geçen ve çeşitli kullanım kolaylıkları ile sizi bayagı bi if else kodlarından kurtaracak bir class..

ilgilenenlere duyrulur.

~~Doc.Deniz~~ · 22 08-07-2008, 18:19:01

teşekkürler.lazım olabilecek bir fltre

**dnmtnk** · 23 09-07-2008, 14:48:01

ayrı yeten mysql_real_escape_string "/**/" gibi şeyleri escape etmiyor. dikkat etmekte fayda var.

Madrid · 24 14-07-2008, 18:16:52

Sağlam kaynaklar oluşturduğunuz için teşekkürler

Dogu_Bey · 25 16-07-2008, 13:12:18

Alıntı:

Bartuc Nickli Üyeden Alıntı

benim her zaman kullandığım filtreleme fonsiyonu aşağıda, bununla filtreleseniz yeterli olur.

PHP- Kodu:

  if (!function_exists("GetSQLValueString")) {
function GetSQLValueString($theValue, $theType, $theDefinedValue = "", $theNotDefinedValue = "") 
{
  $theValue = get_magic_quotes_gpc() ? stripslashes($theValue) : $theValue;
  $theValue = function_exists("mysql_real_escape_string") ? mysql_real_escape_string($theValue) : mysql_escape_string($theValue);
  switch ($theType) {
    case "text":
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL";
      break;    
    case "long":
    case "int":
      $theValue = ($theValue != "") ? intval($theValue) : "NULL";
      break;
    case "double":
      $theValue = ($theValue != "") ? "'" . doubleval($theValue) . "'" : "NULL";
      break;
    case "date":
      $theValue = ($theValue != "") ? "'" . $theValue . "'" : "NULL";
      break;
    case "defined":
      $theValue = ($theValue != "") ? $theDefinedValue : $theNotDefinedValue;
      break;
  }
  return $theValue;
}
}

benim her zaman kullandığım filtreleme fonsiyonu aşağıda (burada her zaman derken Dreamweaver CS3'ten sonra demek istediniz Galiba. Lütfen İnsanlara Bu Fonksiyonun MM ve Adobe Firmasının DWCS3 Ürünün Sunucu Bazlı Çalışmalarında Kullanılan Fonk. Olduğunu Belirtiniz.), bununla filtreleseniz yeterli olur. (Bununla Fitrelemek Bırak Yeterli Olmasını Güvenliğin G Sini bile Sağlayamazsınız.)

Şimdi konumuza Gelecek Olursak...
Bo yukardaki fonksiyonun ne kadar sağlıklı çalıştığını ele alalım...

Mesela GetSQLValueString($_POST['mesaj'], "text") diyelim..
Normalde bu GetSQLValueString Fonksiyonu ile Güvenliği Sağlanmış bir Veri Haline Gelmiş Olmazı Lazım Doğrumu?

Şimdi bu veriye <html> Etiketlerini Gonderdiğim gibi aynen veritabanına bu html (php, asp, cgi hepsini gonderebilirsiniz.) olarak kaydedecektir.

Sonraki Husus...
Bu Fonksiyonda mysql_real_escape_string ve strpthls gibi fonksiyonlar devre dışı kalıyor bazı durumlarda. Hangi Durumlarda Pekii? Tipini Belirttiğiniz Durumlarda Yani "text"i "int", "double" gibi fonksiyon içinde geçen stringlerde.

Kısacası bu fonksiyon sadece şu işe yarıyor : Belirttiğiniz Tipe göre veritabanına kayıt yapar yada yapmaz (bkz.GetSQLValueString($_POST['mesaj'], "text"))

Soru 1 : Pekii bu html etiketlerini nasıl temizleriz?
Cvp 1 : strip_tags($_POST['mesaj']); yada get mesaj.

Soru 2 : ben html kodlarını kaydetmek istiyorum ama sayfaya basarken html kodu gibi gorunsun istiyorum?
Cvp 2 : O zaman Şu şekilde temizleyeceksiniz htmlspecialchars($_POST['mesaj']); (direk html kodunu veritabanına alıp sayfaya basarken <code></code> yada <pre></pre> Etiketlerinin Arasına Alabilirsiniz.)

Soru 3 : Pekii bu \" Karekterlerini nasıl temizleriz?
Cvp 3 : mysql_real_escape_string($_POST['kullanici_adi']); , stripslashes($_POST['kullanici_adi'])

Soru 4 : Ben bu GetSQLValueString fonksiyonu kullanmadan veri tiplerini başka şekilde Belirleyebilir miyim?
Cvp 4 :Evet GetSQLValueString Fonksiyonunu Kullanmdan Yapabilirsinizi. MySQL Kullanıyorsanız Tablodaki alanların veri tiplerini belirleyebilirsiniz.

Soru 5 : Pekii Sadece integer (Tam Sayı) verileri için ne yapmalıyım?
Cvp 5 : Örnek veriyorum mesela sayfamız sayfa.php?id=12 ise bunu şu şekilde temizleriz. intval($_GET['id']);

vs vs vs...
Uzar Gider...

Dikkat ettim bu 3. sayfaya ulaşmış bi sürü insan tşk etmiş. işim e yaradı demiş şunu demiş bunu demiş. Ama işin enteresan tarafı kimse bu Fonksiyonlar için detaylı bilgi istememiş. Yani biri çıkıpta "Hocam bu mysql_escape_string ve mysql_real_escape_string'in arasındaki fark nedir yada bu fonksiyonların biraz detaylarını alabilirmiyiz" Diye Soran olmamış. İşte burada ise bilgisizkten gelen altyapı oluşumu başlar ve bu programcı adayını ilerki donemlerde cok ziyadesi ile rahatsız edecektir.

Şimdilik Diyeceklerim Bunlar Güvenlik Hakkında Yardım Almak İsteyen Arkadaşlar Bana (PM ile değil lütfen Forumda Herkes Yararlansın) Ulaşabilirler.

NOT : Yardım Ekibindeki Arkadaşlar Sağolsunlar Güzel Yardımcı oluyorlar kendilerine tşk. etmek lazım ama Dikkate alınması gereken hususları es geçrlerse yardımın bi faydası olmadığı gibi zararı olacaktır çunku öğrenmek isteyen kişi yanlış bilgiler edinmiş olacak.
Tekrar Teşekkürler.
Kolay Gelsin.

myrize · 26 23-07-2008, 05:45:09

Güzel Açıklama Olmuş.

zoizo · 27 23-07-2008, 06:41:41

phpguvenligi.org / strip_tags() - allowable tags ve güvenlik problemleri

ugur_vatansever · 28 31-07-2008, 22:51:19

Teşekkürler

DerinSular · 29 22-08-2008, 04:05:35

teşekkürler.

**Bartuc** · 30 12-09-2008, 08:04:16

@Dogu_Bey;

Bu fonksiyonun dreamweaver'dan alındığını belirtmeye gerek duymadım. Kısaca yaptığı işi açıkladım ve ben hiç bir zaman bu fonksiyonun hata yaptığını, en azından SQL injection oluşturabilecek bir açık oluşturduğunu görmedim.

fonksiyonun içindeki kodları açıklamadım çünkü bu bir php tutorial değil. mysql'e veri girerken bu fonksiyon kullanıldığı sürece bir sorun/açık oluşmuyor. Bu da dikkat edilmesi gereken bir nokta olduğundan ben bu fonksiyonu insanlarla paylaşarak herhangi bir hata yaptığımı düşünmüyorum.

not: dw cs3'den beri değil, ilk kullandığım dw sürümü olan dw 6'dan beri bu fonksiyon dw'de mevcut. sadece eski dw'ler, otomatik oluşturulan recordsetlerde bu fonksiyonu kullanmıyordu.

Seçenekler
Yazdırılabilir şekli göster Sayfayı E-Mail olarak gönder