Ragazzi, ma se io ho una funzione che fa richiesta ad una pagina php per aggiornare il database, l'utente può facilmente sovrascriverla (incollandola nella barra degli indirizzi) mandando quindi dati fasulli al mio database. Vero?
Ragazzi, ma se io ho una funzione che fa richiesta ad una pagina php per aggiornare il database, l'utente può facilmente sovrascriverla (incollandola nella barra degli indirizzi) mandando quindi dati fasulli al mio database. Vero?
potenzialmente sìOriginariamente inviato da hysoka44
Ragazzi, ma se io ho una funzione che fa richiesta ad una pagina php per aggiornare il database, l'utente può facilmente sovrascriverla (incollandola nella barra degli indirizzi) mandando quindi dati fasulli al mio database. Vero?
e potenzialmente potrebbe anche fare danni peggiori
dipende da quali misure di sicurezza lato SERVER hai preso
Vuoi aiutare la riforestazione responsabile?
Iscriviti a Ecologi e inizia a rimuovere la tua impronta ecologica (30 alberi extra usando il referral)
come temevo (o meglio, ne ero certo ma speravo in qualche notizia miracolosa ma non so quale poteva essere).
Questo è disastroso.
In alcuni casi le misure lato server sono davvero limitate (come nel mio).
L'unica cosa che mi rimane da fare è rendere il codice più criptico possibile, ma in prossimità dell'oggetto httprequest c'è poco da poter nascondere.
No, l'unica cosa da fare è impararti le contromisure e applicarle.Originariamente inviato da hysoka44
come temevo (o meglio, ne ero certo ma speravo in qualche notizia miracolosa ma non so quale poteva essere).
Questo è disastroso.
In alcuni casi le misure lato server sono davvero limitate (come nel mio).
L'unica cosa che mi rimane da fare è rendere il codice più criptico possibile, ma in prossimità dell'oggetto httprequest c'è poco da poter nascondere.
beh puoi sempre decidere di non accettare richieste di tipo http get...
e cosa cambia? il tipo ridefinisce la funzione con il metodo post! :c
Ad esempio:
I parametri inviati in ajax devono essere quelli attesi: uno piu, uno meno, un nome diverso: exit()
I parametri devono essere del tipo dati atteso, se numerici tutti forzati a numero
I parametri testuali devono avere tutti l'escape e devono eliminare qualsiasi tipo di carattere pericoloso e stringhe poco convincenti - vedi che se qui scrivo javascript ci viene un trattino di mezzo, e non ce lo ho messo io
ps ora non c'è il trattino ma che ne so!
Tutte le entities devono essere controllate, i tag html ammessi solo con limitazioni pesanti, i tag script bannati dalla faccia della terra
La pagina deve accogliere un token, se non c'è exit()
La soluzione che prospetti tu di rendere iol codice "criptico" non serve a nulla - se non che a fare venire i mal di testa a te quando dopo un anno dovrai riprendere i tuoi codici per modificare qaualcosa.
metti un check del tipo rispondi solo se la richiesta viene dal tuo sito, htaccess o cerca nel header della richiesta.
Per gli Spartani e Sparta usa spartan Il mio github
Hai ragione, non risolverei.
In che senso bannare i tag script?
Permessi di invio
Rispondi quotando