[PHP] Strings entschärfen

[TheMiller]

Hallo,

ich programmiere schon etwas länger PHP, habe aber nie so richtig den Sicherheitsaspekt behandelt. Ich bin gerade dabei, String zu entschräfen, damit diese die Datenbank und meine Seite (XSS etc) nicht gefährden.

Dafür behandle ich jeden String folgendermaßen:

Code:

$text = strip_tags(addslashes(htmlentities($_REQUEST['text'])));
if(strlen($text) > 15)
{
 die("CSS-HACK");
}

Zahlen werden erst mit intval($_REQUEST['zahl1']) eingelesen und Radio- sowie Checkboxen werden auf ihre tatsächlichen Werte überprüft.

Mir geht es hauptsächlich um die Stringbehandlung. Wenn zu den anderen Methoden was anzumerken ist, lese ich das aber auch gerne!

Dankeschön

[CCRDude]

Speziell für MySQL als Datenbank gabs da auch direkt mysql_real_escape_string()
(mit addslashes etc. verhampelt man sich so schnell beim hin- und zurück)

[TheMiller]

Stimmt genau! Das habe ich total vergessen. Aber sonst ok?

[alcaeus]

Kurzum:

• Werte casten. Einfach mit (int), (string), (whatever) $value den Wert auf nen Typ boxen.
• Bei Strings:
  • Zeilenumbrueche auf ein Standardformat bringen:
    Code:

    $value = str_replace(array("\n\r", "\r"), "\n", $value);

  • Ggf. stripslashes() ausfuehren:
    Code:

    $value = (get_magic_quotes_gpc()) ? stripslashes($value) : $value;

  • String trimmen:
    Code:

    $value = trim($value);

  • HTML-Steuerzeichen entschaerfen:
    Code:

    $value = htmlspecialchars($value);

Dann jeden String, der in ne SQL-Abfrage wandert mit mysql_real_escape_string() escapen, und fertig ist dein Schutz gegen Cross-Site-Scripting (XSS) und SQL-Injection

Greetz
alcaeus

[Die Muhkuh]

Oh, so "einfach"? Hätte gedacht, dass man da mehr beachten muss.

[TheMiller]

Mist, und ich habe mich im Quelltext und ein "X" verschrieben. Meine natürlich, wie ich es auch im Text geschrieben habe, XSS *g*

ACHSO: was hat das mit den Zeilenumbrüchen auf sich?

Danke

[TheMiller]

Ich habe mir jetzt daraus eine Funktion gebastelt, die auch die Länge des Strings überprüft (wegen XSS)... ist diese Funktion in Ordnung?

Code:

function disarmstring($string, $len = NULL)
{
 $result = str_replace(array("\n\r", "\r"), "\n", $string);
 $result = trim($result);
 $result = htmlspecialchars($result);
 if(strlen($string) > $len)
 {
  return false;
 }
 else
 {
  return $result;
 }
}

Nur das mit den Leerzeichen in ein Format bringen habe ich nicht ganz so verstanden? Warum ist das gefährlich? Was kann passieren? etc...

Danke

[Dunedain]

Handelt sich warscheinlich nur um nen tippfehler, aber heisst das nicht "\r\n" an Stelle von "\n\r"?

[TheMiller]

Das kann ich dir nicht sagen. Verstehe, wie oben beschrieben, den Sinn nicht, wieso das genormt werden soll.

[DGL-luke]

Weil man dann nur mit Linux-Umbrüchen arbeitet. Und die (afaik von keinem Betriebssystem eingesetzten) \r-Zeichen gleich mit ummodelt.

Damit wird der string einfach konsistent.