|
 |
| |
เขียนเว็บ หรือ ระบบออนไลน์ ด้วย php อย่างไร ให้ปลอดภัยจาก hacker ครับ ผู้มีประสบการณ์ช่วยตอบทีครับ |
| |
 |
|
|
 |
 |
|
แนะนําไปศึกษาหลักการอีคอมเมิร์ซครับ
|
 |
 |
 |
 |
| Date :
2011-11-19 20:40:55 |
By :
banana7 |
|
 |
 |
 |
 |
|
|
 |
 |
|
 |
 |
| |
|
|
|
| |
|
ศึกษาสิ่งต่อไปนี้
- sql injection
- xss (cross site scripting)
- csrf (corss site request fogery)
ปรับปรุงสิ่งต่อไปนี้
- ป้องกันการแฮคทาง cookie
- ป้องกันการแฮคทาง session
- เก็บข้อมูลรหัสผ่านแบบเข้ารหัส+salt เช่น md5("password" . "asdf!@#DFH"); จะได้ผลต่างจาก md5("password"); ซึ่งเอาผลการเข้ารหัสไปเทียบกับข้อมูลใยฐานข้อมูล md5 เพื่อย้อนกลับได้
- ตั้งรหัสผ่านให้ยาก
- ทำระบบ log in ให้นับการ log in ผิดติดกันไม่เกิน x ครั้ง ถ้าเกินให้ log in ไม่ได้ xx นาที
ทำได้หมดนี่เชื่อว่าจะโดนยากขึ้น
|
| |
|
|
| |
| Date :
2011-11-19 20:42:46 |
By :
mr.v |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
ชัดเจน เลย ^^
|
| |
|
|
| |
| Date :
2011-11-19 21:43:54 |
By :
supachai |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
เข้าใจแล้วครับ เพราะผมศึกษาเท่าที่มีหนังสือขายทั่วไป เรื่องนี้ต้องศึกษา ใหม่เลยครับ เนี่ย ต้องใช้เวลา
|
| |
|
|
| |
| Date :
2011-11-19 21:55:15 |
By :
dekchai |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
โดนแฮคแล้วปวดใจ  ดีนะยังไม่เคยโดน
ไม่อยากโดนแฮ้ก ง่ายๆ อย่าตั้ง user pass ให้ตรงกันทุกเว็บ เจ้าของเว็บเขารู้นะ
|
| |
|
|
| |
| Date :
2011-11-19 22:33:11 |
By :
pjgunner.com |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
hack แบบ เดา password ไม่เท่าไหร่ เจอโดนแบบ เอาข้อมูลจาก url มาแฮก มันดูได้ทุกอย่าง โดยเฉพาะฐานข้อมูล ว่ามีข้อมูลอะไรบ้าง เรามันก็มือใหม่อ่อนหัดด้วย
|
| |
|
|
| |
| Date :
2011-11-19 23:12:00 |
By :
dekchai |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
ปัญหานี้แก้ง่ายสุดคับ
ลองศึกษาดูคับ php บางเวอร์ชั่นก็ช่วย อยู่แล้ว แต่เวอร์ชั่น ใหม่ๆ อาจปรับเป็นให้จัดการเอง
|
| |
|
|
| |
| Date :
2011-11-20 00:05:34 |
By :
pjgunner.com |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
มีอะไรแนะนำเพิ่มเติม หรือ มีแหล่งศึกษามั้ยครับ
ปกติ ผมชอบส่งค่าแบบนี้ ...?url=test.php&id=1 ประมาณนี้ครับ ตัวเลข id จะสามารถเอาไป hack ได้เลย ผมต้องศึกษาแบบไหนบ้างครับ
|
| |
|
|
| |
| Date :
2011-11-20 00:12:49 |
By :
dekchai |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
จาก rep 8 ที่แฮ้ค หมายความว่า ยกตัวอย่างหน่อย ครับ
|
| |
|
|
| |
| Date :
2011-11-20 08:46:13 |
By :
pjgunner.com |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
sql injection ใช้ข้อมูลจากตัว id ที่แสดงบน url นั่นเเหละ มันสามารถเข้าไปดูในฐานข้อมูลได้ว่ามีข้อมูลอะไรบ้าง ดูได้ว่ามีกี่ตาราง
|
| |
|
|
| |
| Date :
2011-11-20 11:05:31 |
By :
dekchai |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
คับ
$id = $_GET['id'] ? (int) $_GET['id'] : 0;
ข้อมูลที่เป็นตัวเลข ให้ cast เท่านี้ก็ไม่โดนแล้วคับ
ข้อมูลที่เป็นสตริง ให้ ใส่ escape char
|
| |
|
|
| |
| Date :
2011-11-20 11:36:38 |
By :
pjgunner.com |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
OK จะลองดูก่อนครับ ตอนนี้เพิ่มเริ่มทำระบบเล็ก ให้ทางมหาลัย จะลองตอนนี้เเหละ ขอบคุณครับ
|
| |
|
|
| |
| Date :
2011-11-20 15:25:40 |
By :
dekchai |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
เอ...? ไม่ทราบว่า ผมจะขอตัวอย่างซักบรรทัดสองบรรทัดได้มั้ยครับ เขียนแบบไหนครับ เขียนยังไง
ตัวอย่าง ผมชอบส่งแบบนี้ index.php?url=vdo_all.php&vdo_group_id=4
แล้วถ้าผมจะแก้ไขแบบเขียนแบบใหม่ จะเขียนได้อย่างไร
และขอตัวอย่างแบบส่งค่าแบบสตริงที่ว่าด้วยครับ
ปัญหาครั้งนี้ขอให้ผมได้แก้ไขให้ได้ด้วยครับ
ขอบคุณมากมาย
|
| |
|
|
| |
| Date :
2011-11-20 15:29:16 |
By :
dekchai |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
ก็เขียนแบบปรกติของคุณนั่นแหละคับ
ก็แค่ตรวจสอบว่า อันไหนต้องใช้ใส่ในคิวรีี่ เราจำเป็นต้องแปลงข้อมูลให้อยู่ในรูปแบบที่ถูกต้องก่อน
ส่วนไหน ไม่ใช้ หากว่า จำเป็นต้องตรวจสอบก็ตรวนสอบเช่น
index.php?url=vdo_all.php&vdo_group_id=4
vdo_all.php นี่มีจริง หรือไม่เพื่อไม่ให้แสดง error ให้ผู้ใช้เห็น
เช่นหากคุณเขียนคิวรี่ว่า
select * from user where id=4
ผมส่งข้อมูลหวังจะให้เป็น
select * from user where id=4 or id!=0
หากคุณ cast ง4 or id!=0' ให้เป็น int ก็จะไม่เกิดปัญหาแล้วใช่มั้ยล่ะคับ
ส่วนสตริงนั้น php มันมีเวอร์ชั่นที่แถม escape string และไม่แถมมา แถมมาก็ขี้เกียจเอาออก เวลาแสดงผล เวลาไม่แถมมา คนที่ไม่รู้ก็อาจจะโดน injection เช่นกัน
ลองดู
http://www.php.net/manual/en/security.magicquotes.what.php และ
http://php.net/manual/en/security.magicquotes.disabling.php คุณก็คงจะเข้าใจ
เราตั้งได้ คิดว่า การปิดไว้ เป็นทางที่ดีที่สุดคับ (สำหรับผม) เราต้องพร้อมเสมอ คือมีให้เลือกสองทาง จะใช้หรือไม่ใช้ คาดว่าphp เวอร์ชั่นใหม่ๆ ต่อไปก็จะปิดไว้คับ
|
| |
|
|
| |
| Date :
2011-11-20 15:55:52 |
By :
pjgunner.com |
|
|
| |
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
|
แนะนำ หนังสือเลยครับ
Pro PHP Security: From Application Security Principles to the Implementation of XSS Defenses
ประมาณ 39 $
|
| |
|
|
| |
| Date :
2013-06-26 19:15:40 |
By :
fippog |
|
|
| |
|
|
|
|
|
| |
|
|
|
|
|
| |
|
 Load balance : Server 02
|
