Mövzu üzrə bənzər suallara da baxa bilərsiniz.

Php get metodu və şifrələmə

Salam
Php ilə get metodu ilə bir dəyər götürəndən sonra mysql sorğuda işlədirik e həmin dəyəri bir şifrələmə funksiyası ilə şifrələyib işlədə bilərik bu zaman inyeksiya zad olmaz məsələn:

$a=md5($_get[‘url’]);
Mysqli_query($connect,”delete from users where id=$a”);

Sizcə bu yaxşı üsuldur?


Kateqoriya: Sual . . Qısa keçid.

Verilmiş cavablar və yazılan şərhlər (2 cavab var)

(00:22, 13/02/2016 ) #61478

Salam.
Yox yaxşı üsul deyil.
md5-ləmək inyeksiyadan filandan xilas edir bəli. Amma bu tip əməliyyatlar adətən id-yə görə aparılır deyə burada mütləq ədəd olmalıdır(həm sürət, həm indeksləmə, həm aydınlıq və.s. üçün).
Təhlükəsizlik barədə olan məqama gəldikdə isə təhlükəsizliyə vizual yox, məntiqi əməliyyat kimi baxmaq lazımdır. Yəni delete=5 olmasında qorxulu heç nə yoxdur, əsas odur ki delete=5-in tətbiq olunduğu blokda ciddi yoxlama olsun. (a-nin integer olması yoxlanılsın, cari userin bu id-li xananı silmə səlahiyyətinin olması yoxlanılsın). Bu tip məntiqi yoxlama olandan sonra get parametrində ədədləri şifrələyib bazada saxlamağın əsası qalmır.
Security məsələləri barədə bu qədər. Keçək privacy-yə. Yox əgər tutaq ki, istifadəçinin id-sinin bilinməsi security olmasa da privacy baxımdan düzgün deyilsə, o halda hər hansı riyazi operatorla GET parametrini bazadakı ədədə çevirmək olar. Yəni əsas odur alınan nəticə də ədəd olsun, md5-in uzun stringi yox.
Məsələn $baza_id=3*$get_id-2 filan.

Cavablamaq üçün sağ sütundan hesaba daxil olmaq lazımdır

(19:33, 14/03/2016 ) #62113

Yaxşı üsul deyil, Çünki md5 şifrələyəcək bir ədəd bərabər olacaq bir neçə simvollar yığını və mysql bazadan məlumat ala bilməyəcək. İnjeksiya olmaması üçün mənim yığdığım və istifadə etdiyim bu funskiyadan keçirməyin bəs edər. Bu funksiya injecsiya yarada biləcək simvolları filtrləyir və təhlükəsizləşdirir.


function qoru($var){
	$var = @trim($var);
	$var = @htmlspecialchars($var);
	$var = @stripslashes($var);
	$var = @mysql_escape_string($var);
	return $var;
	}

$url = qoru($_get[‘url’]);
$a = $url
$qoshul = Mysqli_query($connect,”delete from users where id=$a”);

Funksiyanı hər səhifəyə ayrıca çağırmağa ehtiyac yoxdur, sadəcə function.php, config.php ve s. kimi bir fayla funksiyani at və bütün sənədlərə include et. Bu qədər. Ən təhlükəsiz üsuldur.
Bu usulu tekce id yeni reqem tipli dəyişənlərdə yox bütün GET və ya POST-la aldığın və MYSQL-e verdiyin dəyişənləri bu funksiyadan keçirdikdən sonra MYSQL-ə ötür.

Cavablamaq üçün sağ sütundan hesaba daxil olmaq lazımdır

Cavab verin


Cavab yazmaq üçün lütfən sağ sütundan və ya buradan hesaba daxil olun.

Üzvlər üçün giriş

Qeydiyyat

Elan qutusu

Software Developer - 571 xal

E. Hacı - 560 xal

Onar Alili - 526 xal

Dilsuz - 448 xal

Cabbarov Sübhan - 411 xal

Ruslan Butdayev - 328 xal

Namiq Bəndəli - 297 xal

U.Tarlan - 244 xal

Meherremoff - 234 xal

Bextiyar Azeroglu - 214 xal

Sistemə daxil olmuş 17359 sualdan 94%-dən çoxu cavablandırılmışdır.

Proyekt haqqında

E-Haci.net istehsalı. © 2010-2016