Articles of security

Como criar um ataque de injeção SQL com Shift-JIS e CP932?

Estou escrevendo alguns testes de unidade para garantir que meu código não seja vulnerável à injeção de SQL em vários tipos de caracteres. De acordo com esta resposta , você pode criar uma vulnerabilidade injetando \xbf\x27 usando um dos seguintes graficos: big5 , cp932 , gb2312 , gbk e sjis Isso ocorre porque se seu […]

Falha na conexão através do HTTPS e do CURL no PHP

Estou tentando me conectar a uma API usando cURL e https e não entendo isso. Funciona perfeitamente com o http mas quando eu mudar para https na variável $url , leva mais de 30 segundos para executar e, finalmente, mostra false como resultado. Esta é a function: $url = ‘https://api.xxxxxxx.com/api.php?user=xxxx&pass=xxxx’; $ch = curl_init($url); curl_setopt($ch, CURLOPT_URL, […]

Como proteger a senha enquanto ela é enviada usando o AJAX?

Estou tentando manter a senha do usuário segura, mas percebi que as informações do header enviadas ao enviar o formulário são visíveis para todos. É seguro ou há uma maneira de mantê-lo seguro? Eu sei como adicionar md5 à senha no JS, mas o MD5 não é mais seguro e não posso adicionar um sal […]

A function Definida “mysql_entities_fix_string” no PHP não está sendo chamada

<?php require_once 'login.php'; require_once 'welcome.php'; $db_server = mysql_connect($db_hostname,$db_username,$db_password); if(!$db_server) die("Unable to connect with MySql : " . mysql_error()); mysql_select_db($db_database) or die("Unable to connect with db"); echo <<<_END Enter your Username Enter your Password _END; if (isset($_POST[‘username’]) && isset($_POST[‘password’])) { //echo “Fine till here1″; echo $_POST[‘username’].” Without htmlentities “; $usernameP = mysql_entities_fix_string($_POST[‘username’]); if (!$usernameP) die (“No […]

Login da segurança dos cookies

Estou fazendo o meu primeiro site completo quando os usuários podem se inscrever e fazer logon. Os seguintes cookies são seguros? Preciso de um código random mais específico para o nome em vez do nome de usuário ou senha? setcookie(“username”, “$username”, time()+3600); setcookie(“password”, “$password”, time()+3600);

Existe um código em php dentro de um, se isso permite que apenas o administrador execute está protegido?

Acontece que eu tenho algumas páginas para acessar somente o administrador, e cada usuário do meu site possui uma input em um database MySQL. Existe uma coluna chamada Rank , e há dois valores válidos para esta coluna, Admin and User . Para proteger o meu conteúdo, estou usando um código como este: if($user->rank == […]

Como proteger o arquivo .env no laravel 5.4?

Estou trabalhando com laravel 5.4. E eu tenho problemas com o arquivo .env e composer.json. Qualquer um pode acessar de qualquer navegador e qualquer pessoa pode ver minhas credenciais de database, então, me ajude a proteger esses arquivos.

Orientação sobre práticas recomendadas de access a database

Recentemente, herdei o controle de uma aplicação web (principalmente PHP, mas também uma boa parte do JavaScript) no meu local de trabalho. Uma das minhas principais prioridades é garantir que o aplicativo seja seguro. Infelizmente, o access ao database no aplicativo atualmente é feito através de uma class personalizada, não MYSQLi ou DOP. Me demorará […]

restringindo o download de arquivos em PHP

então suponha que meu servidor esteja localizado em http://www.example.com Em seguida, coloquei um arquivo file.exe no diretório de arquivos no servidor raiz, portanto, normalmente você pode baixar esse arquivo digitando isso no navegador http://www.example.com/files/file.exe E suponha que eu tenha um script php que primeiro autentique o usuário e, em seguida, redirecione-os para a página de […]

Armazenando imagem / dados no MySQL e convenções de nomenclatura

Quais são algumas idéias lá para armazenar imagens em servidores web. Estou interagindo com PHP e MySQL para a aplicação. Questão 1 a000000001.jpg o nome do arquivo físico para a000000001.jpg e armazená-lo em um diretório base ou manter o nome de arquivo não gerenciado do usuário, ou seja, ‘Justin Beiber Found dead.jpg’? Por exemplo wwroot/imgdir/a0000001.jpg […]