Как сделать мой проект PHP более безопасным?

Question

Я разрабатываю проект для своего колледжа.

Проект одобрен моим колледжем и будет жить на следующей неделе для более 5000 студентов, и проект работает нормально, но я беспокоюсь о хаках и вторжениях, которые могут выполнять студенты.

Проект представляет собой портал для публикации уведомлений и проект повышения квалификации, в котором руководство колледжа публикует новости, а студенты могут просматривать его после проверки по электронной почте. Студенты могут загружать свои достижения, чтобы делиться с колледжем, делиться своими творческими работами, такими как приложения, веб-сервисы и т. Д. Они также могут просматривать навыки других студентов, чей профиль заполнен, что поможет в создании групп.

Я подал заявку ниже ценных бумаг:

• Я использовал if(isset($_SESSION['name']) && isset($_SESSION['email']) && isset($_SESSION['pass'])) на каждой странице, чтобы предотвратить не LoggedIn пользователей.

• mysql_real_escape_string($pass); // для экранирования специальных символов.

• Пароли зашифрованы с использованием метода соли (Crypt();).

• Проверки при регистрации & Ограничения на загрузку файлов.

Я искал и применил вышеуказанные ценные бумаги, но хочу знать, что другие вещи, которые необходимы в этом типе проекта, возможно, некоторые дополнения в .htaccess?

Answer 1

Там нет никаких оснований для сохранения пароля (или хэш пароля, если это то, что вы делаете) в сессия. Пароли секрет. Вы должны быть очень осторожны в том, как вы справляетесь с чужими секретами.

Сохранение уникального имени (или по электронной почте) достаточно, чтобы определить, что пользователь вошел в

Некоторые другие проблемы, я заметил:.

• Пароль поле в верхней форме входа в систему не «пароль " тип. Позволяет заниматься серфингом.
• Нет необходимости использовать mysql_real_escape_string(), если у вас есть пароль. Хеширование пароля должно быть первым, что вы делаете после его получения.
• На странице учетной записи вы использовали поле типа «пароль» для Ответ на вызов безопасности, но вы предварительно заполнили поле значением. Это доступно в источнике HTML. Ваш номер 12345.
• У вас все еще есть display_errors значение true в вашем php.ini.
• Нет SSL. Все пароли будут отправлены незашифрованными в вашей сети колледжа.
• Ваш вопрос не упоминается bcrypt, но он должен. BCrypt является подходящим алгоритмом хеширования паролей. (PHP вызывает этот CRYPT_BLOWFISH).
• Использование mysql_real_escape_string() указывает, что вы не используете подготовленные операторы и параметры привязки. Это делает невозможным SQL-инъекцию. Переключитесь на mysqli или PDO.

Я не пытаюсь выполнить какие-либо необычные POST-запросы к вашей службе, но я заметил, что у вас есть куча полей, которые в редакторе отключены. На самом деле это ничего не мешает. Я могу отправить эту форму с другим идентификатором студента. Получает ли PHP-получатель этот случай?

Answer 2

Попробуйте один к параметрам URL-адрес для шифрования и Decription

$salt ='The key you can use anything'; 

Шифрование:

function simple_encrypt($text) 
{ 
    return trim(base64_encode(mcrypt_encrypt(MCRYPT_RIJNDAEL_256, $salt, $text, MCRYPT_MODE_ECB, mcrypt_create_iv(mcrypt_get_iv_size(MCRYPT_RIJNDAEL_256, MCRYPT_MODE_ECB), MCRYPT_RAND)))); 
} 

Decription:

function simple_decrypt($text) 
{ 
    return trim(mcrypt_decrypt(MCRYPT_RIJNDAEL_256, $salt, base64_decode($text), MCRYPT_MODE_ECB, mcrypt_create_iv(mcrypt_get_iv_size(MCRYPT_RIJNDAEL_256, MCRYPT_MODE_ECB), MCRYPT_RAND))); 
} 

Здесь $ текст вашего PARAMET ERS, которые вы хотите, чтобы пройти через URL

Надеется, что это поможет для вас

Answer 3

Некоторых небольшие улучшений могут быть сделано:

1) Вы должны хранить только одну сессии, в которой вы поставили бы пользователь id после того, как они вошли в систему.

2) Не используйте mysql больше. Используйте PDO - это драйвер, который позволяет вам использовать параметризованные запросы для предотвращения внедрения sql.

3) Для безопасного хранения паролей используют Bcrypt здесь хороший ответ о том, как использовать его: Link

Answer 4

Самый простой способ испортить это инъекции SQL (если вы используете базу данных) - есть даже ботам там пытаются вставить код на веб-страницу, хотя SQL инъекций и доставки вредоносного кода

Я хотел бы обеспечить все SQL (независимо от того, что это INSERT/SELECT/UPDATE/DELETE), если есть пользовательские параметры ввода. Для строк вы уже обработали его хорошо (но читайте http://php.net/manual/en/function.mysql-real-escape-string.php для предупреждения о кодировке), для целого числа я использовал бы вход (int).

И просто убедитесь, что у вас есть частая резервная копия базы данных, тогда вы можете столкнуться с любым творческим учеником.

И думать о том, как вы отображения данных, вводимых пользователем, люди могут представить HTML-коды с <scripts>, лучше придавить их с htmlspecialchars()