Sicurezza sito web

[lucavalentino]

Fra un pò dovrei creare un blog con php e mysql.

Vorrei sapere da voi se conoscete un modo per mettere al sicuro il database e tutto il sito.

Avete da sugerite guide o libri riguardo la sicurezza siti web?

[lucavalentino]

Per esempio ho sentito dire che se si inserisce del codice valido su una textarea o qualsiasi parte in cui si può scrivere ciò viene eseguito correttamente, oppure inviare email private ecc.
Come si può evitare questo ed altro per la sicurezza??.

[giorda86]

credo che la cosa sia un pò lunga da spiegare se ho capito bene... tu vorresti che i testi inseriti in form non vadano a dar fastidio alle query del database e al codice php? dovresti comiciare a studiarti le funzioni htmlspecialchar, htmlentities, Strip_Tags, magic_quotes_gpc e chi più ne ha più ne metta...

[oly1982]

Originariamente inviato da lucavalentino
Per esempio ho sentito dire che se si inserisce del codice valido su una textarea o qualsiasi parte in cui si può scrivere ciò viene eseguito correttamente, oppure inviare email private ecc.
Come si può evitare questo ed altro per la sicurezza??.

Inviare email non consentite tramite texarea si chiama email injection

Dopo che studiai un pò l'argomento chiesi info su questo forum un bel pò di tempo fa:

http://forum.html.it/forum/showthrea...mail+injection

... dal numero di risposte che ottenni puoi comprendere che la cosa non è così semplice evidentemente...

[k.b]

Riguardo l'email injection: http://www.damonkohler.com/2008/12/email-injection.html

[lucavalentino]

Con php e mysql come fare ad inpedire di inserire codice valido nei forum o cose simili.
Crittografare i dati come e possibile?

[oly1982]

In fase di inserimento in un db mysql devi fare (almeno) l'escape delle stringhe con mysql_real_escape_sstring (verificando che get_magi_quotes_gpc sia disattivato)

inoltre potresti validare i dati (con le preg_match(), con strlen(), empty(), etc etc)

se le stringhe inserite sono poi destinati alla visualizzazione in fase di visualizzazione:
htmlentities(), strip_tags(), etc etc


... se invece i dati con cui si sta operando nn sono stringhe c'è altro da dire...