Я не запускаю критически важный веб-сайт, поэтому я не ищу промышленного решения. Однако я бы хотел защитить от базовых атак, таких как кто-то, издеваясь над ложной страницей на жестком диске и пытаясь получить несанкционированный доступ. Существуют ли какие-либо стандартные методы для обеспечения того, чтобы подача формы принималась только в законных целях?Как защитить формы PHP?
Вы не можете. Нет надежного способа различать HTTP-запрос, созданный пользователем на вашей странице, или злоумышленник с собственной веб-страницей.
Просто используйте правильный подход к аутентификации по паролю, и никто не сможет сломать что-либо, если они не знают пароль (независимо от того, откуда идут HTTP-запросы). Как только у вас будет надежная аутентификация на стороне сервера, вам не нужно тратить время на прохождение через непродуманные обручи, беспокоясь об этом сценарии.
@Ben: Злобный злоумышленник легко обойти. –
Несколько методов близки:
Вы не можете гарантировать, что форма не размещена на диске, но вы можете ограничить, насколько она автоматизирована.
Как насчет нонс
http://en.wikipedia.org/wiki/Cryptographic_nonce
Не стесняйтесь подробно рассказывать о том, как вы это сделаете в PHP. Просто сказать «использовать nonce» немного меньше, чем полезно. – cHao
я также рекомендую:
Обратите внимание, что IP-адреса могут использоваться более чем одним клиентом по крайней мере по нескольким причинам (например, повторное использование IP-адресов и маскирование маршрутизатора). –
Вы не должны создавать систему входа самостоятельно, потому что это сложно сделать правильно (безопасность). Вы не должны хранить пароли (в любой форме) ваших пользователей на вашем сайте (опасно) => Возьмите, например, lifehacker.com, который был взломан (моя учетная запись тоже :(). Вы должны использовать что-то вроде lightopenid (так как stackoverflow также использует openid) для вашей аутентификации.
Остальные формы у вас есть на вашем сайте должны иметь следующую защиту (по крайней мере):
Есть несколько метод, который можно добавить в виде безопасности, как
Для получения более подробной информации вы можете обратиться к разделу безопасности PHP Form handling tutorial.
Ответы, которые вы получаете до сих пор (хотя и хороши), довольно широки по охвату. Если вы можете уточнить свой вопрос, вы можете получить более подробные ответы. В частности, какое разрешение вы используете, которое можно обойти, «высмеивая ложную страницу»? –
Как только у кого-то есть доступ к вашему диску, его игра закончилась. В этот момент они выполняют удаленное выполнение кода. Стандартные методы? Против чего? Прочитайте OWASP. – rook