Php'de güvenlik

SORU: Yapmış olduğunuz PHP scriptlerindeki güvenlik açısından olmazsa olmazınız nelerdir?

Kardeşim bu soru o kadar çok soruldu, o kadar çok cevaplandı ki inan tek tek yazmaya üşeniyorum.

Ancak üşengeçliğimi yendiğim kadarıyla temel şeyleri yazmaya çalışayım.

Bence öncelikli ve en temel durum şu. Ziyaretçiden, kullanıcıdan, üyelerden kısacası dışarıdan form vs ile girilen hiçbir veriye güvenmeyeceksin. Dolayısı ile ziyaretçilerine, kullanıcılarına ve üyelerine kesinlikle güvenmeyeceksin.

Süzme, doğrulama işlemlerini uygulamadan, dışarıdan gelen verileri kesinlikle veritabanı sorgusuna dönüştürmeyeceksin. Veritabanı sorgusuna sokmayacaksın. Bu genel olarak SQL Injection olarak bilinir.

Mümkün olduğunca sorunları log edeceksin yani kayıt tutacaksın. Birisi SQL Injection gibi bir şey denediği zaman şu IP numarası şu üye şu saatte bunu denedi diye kaydını tutacak ve işlem yaptıracaksın.

Çok değerli verileri, şifre kullanıcı adı gibi şeyleri şifreleyeceksin. md5 olur, sha1 olur. Kendi yazdığın şifreleme algoritması olur. Farketmez. Formların tekrar tekrar gönderilmesini engellemek için ReCaptcha uygulamasını kullanabilir.

Temel aşamada güvenlik sorunları genelde POST ve GET işlemlerinin kontrolü ile sağlanabilir. Yani form verileri ve adres çubuğunda gelen ?id= verilerini süzerek.

Özel olarak sormak istediğin bir durum olursa ona bakalım.

Get ve post metodlarına kesinlikle addslashes koyarım havij savuştururum

sonuçta öyle veya böyle herkesin kendine göre bir güvenlik önlemi var. kimisi post'ları get'leri süzer kimisi katı kurallar uygular kimisi ip engeller kimisi başlı başına class yazar. bu soruyu sorma nedenim ""php'de nasıl güvenlik sağlanır değil" güvenlik için olmazsa olmazınız nelerdir diye fikir alışverişinde bulunmak

Peki uzun uzun yazdım ama gerek yokmuş demek ki.

Asla dışarıdan gelen veriye güvenmem. Tüm verileri doğrularım ve/veya süzerim. Bu benim olmazsa olmazlarımdan biri.

Güvenlik doğrulaması kullanırım. reCaptcha vs.

Disaridan girilen yada degistirilen veriler tehlikesir.
Formun coklu gonderimi tehlikedir.
Upload kisimlari tehlikedir.
En onelmii dedicated dir. Bir site shell yerse tum verileriniz silinme calinma degisme tehlikesindedir ki bu sizin upload icin de gecerli

mesela get ile alınan bir userid değişkenim sadece sayıdan oluşacaksa, şöyle bir önlem alırım

if (!is_numeric($_GET['userid'])) {
die("hata!");
}

vs

GET ile aldığım id'leri ctype_digit ile kontrol ettiririm.
Form verilerini mutlaka trim, addslashes ve htmlspecialchars ve empty kontrollerinden geçiririm.
Adığım veriyi direkt sql sorgusuna sokmam.
Özellikle yönetim panellerinde session korumasına dikkat ederim.
İletişim formlarında resim doğrulaması yaparım.
Upload sayfalarından dosya tür ve boyut kontrollerini gözden kaçırmam.