Úvod
well, if you're a skilled php programmer, you can avoid many of these dangers..
for example xss... as its the most common attack, filter all the input you gain from the user (not only with htmlspecialchars but also with more personalized string-checks for specific words and chars like document.location and so on).
or file injection (filter out ../ and so on).
i admit that php has its weakpoints (sessions...), but nothing is 100% secure (but you can use ssl for high security projects..)
Úplně bezpečný systém je fikce, proto je přiblížením často používaným v oboru bezpečnosti vyvážení rizika a použitelnosti. Pokud by každá proměnná zasílaná uživatelem vyžadovala dvě formy biometrické validace (jako třeba sken oční sítnice a otisk prstu), měli byste systém s extrémně vysokou mírou odpovědnosti. Ale vyplnit i jen trochu složitější formulář by trvalo půl hodiny, proto by to vedlo k tomu, že by se uživatelé snažili hledat cesty, jak zabezpečení obejít.
Nejlepší zabezpečení je často dostatečně nenápadné, aby i když splňuje požadavky, nebránilo uživatelům v práci ani nezatěžovalo autora kódu nadměrnou složitostí. Skutečně, mnohé bezpečnostní útoky jsou pouhým prolomením příliš velkého zabezpečení, které má tendenci se časem rozpadat.
Fráze hodná zapamatování: Systém je jen tak dobrý, jako nejslabší článek řetězu. Jsou-li všechny transakce intenzivně zaznamenáványn včetně času, místa, druhu transakce apod., avšak uživatel je ověřován pouze na základě obyčejné cookie, platnost vazby uživatelů na transakční záznam je podstatně oslabena.
Při testování mějte na paměti, že ani pro nejjednodušší stránky nemůžete vyzkoušet všechny možnosti. Vstupní data, která můžete očekávat, nemají absolutně nic společného s těmi, která zadá nespokojení zaměstnanec, cracker s měsíci času k dispozici nebo kočka domácí pochodující přes klávesnici. To je důvod, proč se dívat na kód z logické perspektivy, abyste zjistili, kde mohou vstoupit neočekávaná data, a jak je jejich efekt následně měněn, redukován nebo zesilován.
Internet je plný lidí, kteří se snaží udělat si jméno tím, že budou prolamovat váš kód, shazovat váš server, posílat neodpovídající data nebo vám jinak zpříjemňovat den. Nezáleží na tom, zda máte malý nebo velký server, jste cílem prostě už jen proto, že jste online, že máte server, ke kterému se lze připojit. Mnoho crackerských programů nerozlišuje podle velikosti, prostě procházejí obrovské bloky IP adres a hledají oběti. Snažte se nestát se jednou z nich.
add a note
User Contributed NotesObecné úvahy
alex
08-Apr-2008 08:53
08-Apr-2008 08:53
Abdul Basit
29-Jul-2007 10:59
29-Jul-2007 10:59
No doubt PHP is a strong language and it gain power during its evaluation.But there are too much security risks in PHP.Most common are :
1-Invalidated Input Errors
2-Access Control Flaws
3-Session ID Protection
4-Cross Site Scripting (XSS) Attacks
5-SQL Injection Vulnerabilities
6-Error Reporting
7-Data Handling Errors
8-PHP configuration settings
As PHP is open-sourse server-side scripting language, it is most often uses in web applications and database-driven web site which obviously have critical data.So malicious users always try to find holes in its security, in other word this open-source is in focus of attackers.Thus it becomes the responsiblity of developer to minimize the securiy risks in product.
Andreas R dot newsgroups2005 at geekmail dot de
04-Apr-2007 10:02
04-Apr-2007 10:02
In reply to: yairl at savion dot huji dot ac dot il (Important Security Note for emacs users)
> in apache webserver you can deny access to these files with the following configure order
> <File "*~">
> Deny all
> </File>
If you want to use .htaccess file, it should be:
<Files "*~">
Deny from all
</Files>
But then don't forget to set AllowOverride All (for the directory in question), e.g.
<Directory /var/www/localhost/htdocs>
AllowOverride All
</Directory>
since with the (default?) AllowOverride None the .htaccess files are ignored, see
http://issues.apache.org/bugzilla/show_bug.cgi?id=41760
ms_sux_2000 at hotmail dot com
11-Dec-2006 09:34
11-Dec-2006 09:34
Emacs doesn't require an X server to run, you can use the command line option '-nw' to start emacs in that console. Also portmap isn't required by an X server nor emacs (except maybe for special optional packages).
lesley_b_linux at yahoo dot co dot uk
18-Oct-2006 07:19
18-Oct-2006 07:19
In answer to the first poster here, you shouldn't really be developing within the tree of a live Internet facing web server at all ever.
All Linux distro's I have come across have the capability of running Apache on the localhost so at it's simplest level you should :-
0. Get the latest web site code from your version control system.
1. Do your development using the localhost web server
2. Check in your new site code to the version control system you are running.
3. Upload only the new or updated files to the active webserver
You can use anything from ftp to sitecopy to upload your files and most advanced site copying tools allow you to ignore *.bak *~ or even entire directories if you need to.
If you must develop on the server, then ssh in and use vi but look out for disconnects leaving vi .*.swp files aorund. (Why use vi? Because then you aren't exposing the web server to further insecurity by running the portmap deamon for the X-server required for emacs. )
That's speaking as someone who uses both emacs and vi.
yairl at savion dot huji dot ac dot il
25-Apr-2006 03:14
25-Apr-2006 03:14
Important Security Note for emacs users
Many linux/unix developers like the emacs editor to write code. It's a great editor with many features for PHP/Perl developers. emacs by default creates a back up file ending with ~. Then when you create a file myprogram.php it creates a back up file myprogram.php~ . You can change this default behavoir to avoid emacs creates this file but many people prefer to keep this default. The problem is that through the webserver people can load this file ending with ~ and can see your php code because the webserver doesn't parser this file as php type due to the ~. This behavoir is a strong security hole, it permits to everybody to see and hack your code. i recommend to emacs users to deny access to files ending with ~ in general to avoid this problem.
In general PHP developers must check that the editor they are using is not creating a file beside the php source file without the end file name .php necessary for the webserver to parser it as php application.
in apache webserver you can deny access to these files with the following configure order
<File "*~">
Deny all
</File>
henke dot andersson at comhem dot se
25-Dec-2005 12:53
25-Dec-2005 12:53
A good tactic to employ is the "least privileged needed" aproatch. If a aplication is only reading from a particular table in a particular database, it should have a account that can do exactly that and no more.