• Eviter des failles PHP basiques...

  Posté par kazhar le 11/04/2005 dans la catégorie Divers
•  
• Lorsque vous mettez une page à disposition, le minimum est qu'elle soit sécurisée, afin d'eviter que quiconque ne puisse la mettre à bas...
  quelques regles fondamentales à respecter pour sécuriser votre page...
  
  Faille include()
  Il peut vous sembler simple de vouloir faire une page avec votre design, puis d'inclure le contenu dedans en précisant l'adresse de la page dans l'url...
  cependant, il suffirait alors à une personne mal intentionnée de modifier le chemin du fichier à inclure pour inserer un fichier non désiré...
  une solution à ce probleme pourrait etre soit de plutot inserer le design sur chaque page (solution utilisée sur phportail)
  soit de créer une base de données, contenant chaque page, et un intitulé de cette page, et de l'inclure en récupérant l'url dans cette base...
  
  Faille "SQL Injection"
  Lorsque vous désirez, par exemple, permettre à un utilisateur de s'identifier, vous vérifiez en général l'identité de celui-ci dans une base sql, par une requete de ce type :
  
  Code :
  
  SELECT *
  FROm `Membres`
  WHERE `pseudo` = '$pseudo'
  AND `pass` = '$pass';
  
  
  Cette requête aurait pour effet de sélectionner l'utilisateur en question si le nom d'utilisateur ET le mot de passe entrés sont dans notre base de données. Si l'un des deux est erroné, la requête ne renverra aucun résultat.
  
  cependant, il suffirait alors à une personne mal intentionnée d'entrer la valeur : ' OR 1=1"); // comme login... alors, notre requete serait comme cela :
  
  Code :
  
  
  SELECT *
  FROM `Membres`
  WHERE `pseudo` = '$pseudo'' OR 1=1" //AND `pass` = '$pass';
  
  
  tous les enregistrements seraient alors retournés...
  
  comment s'en proteger :
  - ne selectionnez pas le mot de passe. ainsi, ils ne récuperera que la liste des utilisateurs...
  - ne vous connectez pas avec un utilisateur ayant acces aux commandes de drop etc...
  - vérifiez vos variables (n'hésitez pas à abuser de addslashes() )
  
  Quelques regles à respecter
  - lorsque vous recuperez des variables transmises, utilisez toujours $_GET ou $_POST, jamais la variable directe.
  de meme lorsque vous faites appel à une variable spéciale, allez la chercher au "bon" endroit (ne pas utiliser $REMOTE_ADDR, mais $_SERVER['REMOTE_ADDR'];)
  - n'oubliez jamais d'utiliser la fonction addslashes(), ainsi que htmlentities() lorsque vous recuperez, ou inserez des données dans une table.
  
  N'oubliez pas qu'il vaut mieux etre trop restrictif que pas assez...

Proposez vos articles

•  
•  Venez discuter de cet article sur les forums PHPortail
•  Imprimer cet article