PHP Preporuke Petkom – sanitizacija prosleđenih promenljivih

PHP je jedan od najpopularnijih jezika za razvoj dinamičkih web sajtova. Sama skraćenica PHP je rekurzivna i znači “PHP: Hypertext Preprocessor” – Prva reč “PHP” je skraćenica sa značenjem “PHP: Hypertext Preprocessor” i tako u nedogled …

Sledećih nekoliko nedelja ću predstavljati male savete za PHP programiranje. Neke od njih verovatno ste znali, neki će vam, nadam se, pomoći, a svaki je tek početak klupka koje možete da razmotavate dalje i iskoristite da poboljšate svoje PHP programerske veštine.

Prvi Savet: Sanitizacija prosleđenih promenljivih
Jedan od najopasnijih vidova napada na dinamički websajt je pokušaj prosleđivanja malicioznog SQL koda kroz promenljive koje se iz PHP-a prihvataju kroz GET ili POST – SQL injection
Ukratko, SQL injection radi tako što napadač pokušava da prevari vaš PHP kod da u SQL upit koji šaljete bazi podataka ubaci novi maliciozni deo SQL koda.
Najopštiji primer za SQL injection je ubacivanje dela SQL koda koji pokušava da obriše podatke iz baze:

$upit=”SELECT * FROM Zaposleni WHERE ZaposleniID=$IDZaposlenog”;

Ukoliko se u promenljivu $IDZaposlenog prosledi string:
$IDZaposlenog=”1; DELETE * FROM Zaposleni”;
Možete završiti sa ispražnjenom tabelom Zaposleni.
Izvor slike: xkcd

Sanitizacija podataka služi da se prosleđeni podaci iščiste od mogućeg malicioznog koda, a za samu sanitizaciju postoje razne metode i implementacije. Međutim, najsigurniji način da sprečite SQL injection je da koristite prepared statements i parametrizovane upite kroz mysqli ekstenziju koja je dostupna od PHP 5.0 http://php.net/manual/en/book.mysqli.php

Za gornji primer, parametrizovan upit bi izgledao:

$dbConn = new mysqli(“localhost”, “user”, “pass”, “baza”);

$statement = $dbConn->prepare(‘SELECT * FROM Zaposleni WHERE ZaposleniID= ?’);
$statement->bind_param(‘i’, $IDZaposlenog);

$statement->execute();

$result = $statement->get_result();
while ($row = $result->fetch_assoc()) {
    // radimo nesto sa $row
}

U ovom primeru se $IDZaposlenog prosleđuje kao integer, ali i u slučaju da se parametar prosleđuje kao string (‘s’) opasnost od SQL injection-a je praktično otklonjena. Razlog za to je što se SQL kod šalje odvojeno od parametara i MySQL server ih po prijemu odvojeno obrađuje i spaja, čime se onemogućuje da se stringovi iz parametara interpretiraju kao SQL komanda.
Prepared statements mogu doneti i uštede u brzini u nekim slučajevima, ali to je druga tema.

Od PHP 5.2 je dostupna i filter ekstenzija koju možete koristiti za širu validaciju i sanitizaciju prosleđenih podataka i time sprečite i druge vidove proturanja malicioznih kodova:
http://www.php.net/manual/en/book.filter.php

Uvek imajte u vidu sanitizaciju podataka koje prihvatate kroz GET ili POST (REQUEST), a najsigurniji način odbrane od SQL injection-a je korišćenje prepared statements i parametrizovanih upita u poslednjem koraku.

Toliko za ovaj petak, nadam se da sam uspeo da vam dam ideje za polazne tačke od kojih možete nastaviti sa unapređenjem svojih PHP znanja i veština, vidimo se uskoro sa novim savetima i preporukama.

Ukoliko imate pitanja ili želite da podelite svoja iskustva i preporuke,
tvitamo se na @LimundoGradnja