Php'de nasıl güvenlik sağlarsınız?

Merhaba arkadaşlar
php ye yeni başlıyan ve bilgisini tazelemek isteyen arkadaşlara yardımcı olmak için yeni bir konu açıyorum.
konun amacı; Yazılım da en önemli konu bilgi güvenliği bu güvenliği nasıl sağlarsınız ne gibi yöntemler kullanırsınız?
özetle anlatılmaz elbette ama arkadaşlarımıza en azından bir ön bilgi verebilirsiniz

En büyük prensibim, asla cookie kullanmam

Güzel bir konuya değinmişşiniz.

Php ye yeni başladım mesala cookie kullanmam derken nasıl kullanmazsınız kodlara dökerek verirseniz daha yararlı olacaktır.Saygılarımla.

1- kullanıcı tarafından gelen tüm verileri filtreleyiniz. Kullanılabilecek bazı fonksiyonlar ; strip_tags, htmlspecialchars, addslashes fonksiyonları bunlardan bir kaçıdır.

2- php.ini dosyanızın iyi bir şekilde yapılandırılmış olması gerekir. Özellikle dikkat edilmesi gereken ve aşağıdaki şekilde ayarlanması gereken özellikler ;

allow_url_include = off
disable_functions = system, dl, shell_exec, shell, proc_close, proc_get_status, chown, chgrp, escapeshellarg, fileread, passthru, proc_open, proc_get_status, posix_getpwuid, array_compare, array_user_key_compare, ini_restore, proc_nice, fin, pconnect, exec
display_errors = off
enable_dl = off
safe_mode = on
register_globals = off

Mümkün olduğunca sunucunuzda phpnin son sürümlerinden bir versiyon çalışsın.

Veri tiplerini iyi analiz edin. Bir değişkenin sayısal değer ile gelmesini bekliyorsanız, o değer sadece sayısal değer ile gelebilsin.

Ayrıca, ilk düşünüldüğünde saçma gelebilecek garip açıklarda mevcut. Örneğin formlarda direkt olarak $_SERVER['PHP_SELF'] kullanmayın. Bununla ilgili sitemde bir makale yazmıştım.
http://www.sametozden.com/Formlarda_...-sayfalar.html

SESSION çalınmalarına karşı dikkatli olunuz. Sadece kullanıcının session u var diye o sessiona sahip kişi, düşündüğünüz kişi olmayabilir. session u kontrol ederken ıp adresi ve tarayıcınında doğruluğunu kontrol ediniz.

Şimdilik bu kadar

hocam safe mod u on kullanmanizin ozel bir nedeni var mi? php6 ile tumden kaldiriliyor bu ozellik zaten

Haklısınız aslında. register globals te kalkacak sanırım ama alışkanlık olsa gerek. php.net te bile aşağıdaki cümle yazıyorken bu ayarı on yapınca sanki tüm saldırılardan korunuyorum gibi hissettiriyor

PHP.NET
http://www.php.net/manual/tr/features.safe-mode.php
Buradaki "çoğu kişi" nin içerisindeyim...

Yazmışken ;

php ile yükleme(upload) işlerinde dikkatil olmak gerekiyor. Siz siz olun resim yükleme işlemlerinde resim tipini sadece getimagesize ile tespit etmeyin. Zamanında tecrübesizliğimle beraber acı bir deneyim yaşamıştım


Okuduğum yabancı kaynaklarda $_FILES['image']['type'] kodununda geçilebileceğini görmüştüm. Gerek .gif uzantı resimlerin yüklenirken sistemi delebilmesi, gerek başka şekilde.

Kendimce şöyle bir çözüm buldum. Yüklenilen resmi rb (read-binary) modunda açıp içerisinde zararlı kelimelerin olup olmadını tespit ediyorum. Yani resimin gerçek bir resim olduğunu tespit edebiliyorum. Ama bu yöntem de bana delinir gibi geliyor

Güzel bir kaynak = > http://www.scanit.be/uploads/php-file-upload.pdf

images type i sunucunun mime tiplerinden aliyor. dogal olarak farklı formatta dosyalar icin ayni sonucu donderebilir. daha cok uzantiya guvenmek daha mantikli. egitim setime sonradan dahil etmistim bu konuyuda

sorguya giren değişkenlerde sadece mysql_real_escape_string() kullanmak yeterli midir? özel karakterleri escape etmek açısından.

bu açıkla sadece js kodu mu eklenebilir? server da çalışan bir kod eklenemedikten sonra nasıl bir güvenlik açığı oluşabilir?


getimagesize() ile tespit edince nasıl bir sorun oluşabilir? resim formatında olmayan bir dosyayı da resim dosyası olarak mı görür?

panel şifrelemede nasıl bir yol izlemeliyiz tecrübeli arkadaşların önerilerini bekliyorum.