Tratamento de dados fornecidos pelo usuário: projetando sistemas com mais segurança

Ragen

De uns tempos para cá comecei a notar que mais gente está programando e conseqüentemente mais gente está entrando no mercado de trabalho precocemente. Estão iniciando sua viagem pelo maravilhoso mundo do desenvolvimento web muito inocentemente, no entanto não sabem eles - os desenvolvedores newbies ou negligentes - que existem usuários maliciosos olho no seu sistema.

[ Hits: 90.172 ]

Por: Ragen Dazs em 07/04/2004 | Blog: http://www.orkut.com

0 0

Denuncie Favoritos Indicar Impressora

Tratando dados

Um dos fundamentos primordiais da programação é o uso de forma correta dos seus tipos básicos de dados. Em PHP eles são: literal, inteiro, booleano, ponto flutuante, ponto flutuante de precisão dupla e sem valor ou vazio (char, int, float, double e NULL, respectivamente). Existem outras variações, mas todos os outros tipos de dados em PHP são baseados em um desses citados, tanto os tipos compostos (array e object) assim como os tipos especiais (resource e NULL). Então para continuarmos com a nossa leitura é necessário que você saiba pelo menos o básico a respeito de declaração de variáveis.

Se você está em dúvida e quer saber mais sobre esse assunto leia no site oficial:

Tipos
http://br.php.net/manual/pt_BR/language.types.php
Manipulação de tipos
http://br.php.net/manual/pt_BR/language.types.type-juggling.php

Página anterior Próxima página

Páginas do artigo

   1. Início
   2. Descrição do ambiente
   3. Tratando dados
   4. O que são códigos arbitrários
   5. O que é SQL injection
   6. Escapando strings
   7. Coringas e meta caracteres
   8. Escapando argumentos em shell
   9. O que são casts
   10. Denial of Service em sua página
   11. Cross site script
   12. Explorando falhas locais
   13. Agradecimentos

Outros artigos deste autor

Projeto Icecream (parte 1)

XSS - Um exemplo de ataque

Referências ou ponteiros em PHP

Verdades e mentiras sobre tecnologias WEB

O perigo no gerenciador de uploads do PHP

Leitura recomendada

SSH Blindado - Protegendo o seu sistema de ataques SSH

Sistemas e volumes criptografados e escondidos utilizando o TrueCrypt

Cliente "automágico" Linux logando no domínio NT/Samba

Configurando um servidor de logs simples

Configurando o IDS - Snort / Honeypot (parte 1)

Comentários

[1] Comentário enviado por gustavo_marcon em 07/04/2004 - 19:19h

Cara, muito legal mesmo teu artigo, só achei que vc poderia ter dado uns toques de comandos que podem ser usados pra evitar por exemplo o SQL Injection, mas no mais, tá 10 mesmo. Parabéns.

0 0

[2] Comentário enviado por Ragen em 08/04/2004 - 00:31h

Olá Gustavo,

Note que logo abaixo de "O que é SQL injection" tem o que você quer "Escapando Strings", nessa parte é abordado como evitar os bendidos códigos maliciosos...

Só queria fazer mais um pequeno comentário:

Na parte onde eu falo sobre netcat eu fiz algumas pequenas mudanças desde a data de publicação do arquivo, por que eu deixo o assunto muito vago e sem nenhum exemplo concreto do seu uso....

Esse mesmo artigo pode ser encontrado em http://www.florecultura.com.br/bkp/artigo_tratamento.txt

[]`s

Ragen

0 0

[3] Comentário enviado por fabio em 11/04/2004 - 14:39h

Putz, acabou que com uma dica sua resolvi de forma trivial um problema que tinha no sistema de busca interno do site. Por exemplo, se você digitasse "sites celular" nada era encontrado. Daí mandei o sistema substituir espaços por %, agora buscas com palavras compostas funcionam. :)

Valeu pela dica!!!

0 0