Ir para conteúdo

POWERED BY:

Arquivado

Este tópico foi arquivado e está fechado para novas respostas.

Emerson William

Segurança do código PHP

Recommended Posts

Estou fazendo uma aplicação de login em PHP e gostaria de saber tópicos que poderei pesquisar a respeito de vulnerabilidades, para evitar futuras invasões. Até agora, procurei fazer tudo da maneira mais segura, pesquisando antes. Algumas precauções que posso citar, são:

1 - Uso de PDO e prepared statements.

2 - Senha salva no banco com hash gerada pela API "password_compat" (Com SALT)

3 - Para sessões com login automático por COOKIES, um token e uma hash são salvos para autenticação, ao invés da hash da senha e do email.

4 - Configuração do .htaccess para não informar os dados do servidor e para negar o acesso à arquivos.

5 - Prevenção contra ataques de SQL Injection, CSRF e XSS.

Ah, também gostaria de saber se não estou falando bobagens por aqui, pois estou em fase de aprendizado!

Compartilhar este post


Link para o post
Compartilhar em outros sites

Olá Emerson,

tudo isso que você está fazendo esta correto e é uma boa prática, ajuda em muito na segurança.

Posso contribuir indicando a validação de POST e GET, não busque diretamente o valor na super global POST ou GET, mas use as funções de filtragem de dados

http://php.net/manual/pt_BR/book.filter.php

Com isso você consegue validar o que realmente deseja que venha no POST ou GET

Compartilhar este post


Link para o post
Compartilhar em outros sites

Opa, Everson, vou ler esse material.

Laerte, meu objetivo é esse mesmo. Estava usando o mysqli e migrei para o PDO.

Havia lido esse mesmo tutorial em outra página.

http://phpsp.org.br/mais-seguranca-em-aplicacoes-web-com-php/

O meu maior receio, são as invasões por COOKIES. Fiz uma lógica, mas não sei se é o suficiente.

Uma sessão é gravada no DB, com um uniquid random de uns 20 dígitos, uma hash criptografada, IP, horário que foi criado o registro, horário do último acesso e ID do usuário. Quando o usuário marca a opção "lembrar senha", além disso, gravo nos COOKIES o uniquid da sessão e a hash gerada.

Depois que isso é gravado, eu faço a autenticação futura dos usuários que marcaram a opção de lembrar a senha por esse uniquid e pela hash... Se alguém souber essa uniquid e hash, poderão acessar o sistema, certo? É complicado, mas tem algum meio de prevenção contra isso?

Implementei a opção para o usuário de encerrar as sessões existentes, mas isso não evita a invasão.

Compartilhar este post


Link para o post
Compartilhar em outros sites

Olha pelo que vejo estava no artigo que passei para você para melhorar a segurança:

*Limitar tempo de vida das sessões

*Cookies de sessão só serem acessados via http

* valida em cada pagina a origem da sessão

Use programas de identificação de vulnerabilidade: Mantra

Acho que essas dicas certamente farão seus sistema bem mais seguro

Compartilhar este post


Link para o post
Compartilhar em outros sites

Obrigado por responder, Laerte!

Então, fiz um tempo de vida das sessões, mas apenas para as sessões que não tem a opção de relembrar a senha, que duram 48 horas.

Sessões que os usuários marcam de lembrar a senha, coloquei o tempo de vida de 1 ano.

Sobre COOKIES somente serem acessados via HTTP, eu precisarei do acesso ao php.ini e no servidor que hospedei inicialmente, ainda não tenho. Também não testei localmente, mas com certeza é uma diretiva que irei adotar futuramente.

No caso da validação em cada página, eu faço.

Tentei usar o Mantra, mas pela falta de conhecimento, não consegui muita coisa. Na verdade, não sei se fiz certo... Fiz o download do programa e me deparei com praticamente um Mozilla modificado.

Não utilizo nenhum framework.

Compartilhar este post


Link para o post
Compartilhar em outros sites

Perguntei sobre framework. pois o cakePHP adota algum medidas de segurança. PHP IDS para melhorar a segurança lei sobre:

https://www.vivaolinux.com.br/artigo/PHPIDS-PHP-Intrusion-Detection-System-deixe-seu-site-livre-de-intrusos

PHPIDS (PHP-Intrusion Detection System) é um simples de usar, bem estruturado, rápido e camada de segurança state-of-the-art para a sua aplicação web baseado em PHP

Compartilhar este post


Link para o post
Compartilhar em outros sites

  • Conteúdo Similar

    • Por violin101
      Caros amigos, saudações.
       
      Por favor, me permita tirar uma dúvida com os amigos.

      Tenho um Formulário onde o Usuário digita todos os Dados necessários.

      Minha dúvida:
      --> como faço após o usuário digitar os dados e salvar, o Sistema chamar uma Modal ou mensagem perguntando se deseja imprimir agora ?

      Grato,
       
      Cesar
    • Por Carcleo
      Tenho uma abela de usuarios e uma tabela de administradores e clientes.
      Gostaria de uma ajuda para implementar um cadastro
       
      users -> name, login, passord (pronta) admins -> user_id, registratiom, etc.. client -> user_id, registratiom, etc...
      Queria ajuda para extender de user as classes Admin e Client
      Olhem como estáAdmin
      <?php namespace App\Models; use Illuminate\Database\Eloquent\Factories\HasFactory; use Illuminate\Database\Eloquent\Model; class Admin extends User {     use HasFactory;            protected $fillable = [         'name',         'email',         'password',         'registration'     ];      private string $registration;     public function create(         string $name,          string $email,          string $password,         string $registration     )     {         //parent::create(['name'=>$name, 'email'=>$email, 'password'=>$password]);         parent::$name = $name;         parent::$email = $email;         parent::$password = $password;         $this->registration = $registration;     } } User
      <?php namespace App\Models; // use Illuminate\Contracts\Auth\MustVerifyEmail; use Illuminate\Database\Eloquent\Factories\HasFactory; use Illuminate\Foundation\Auth\User as Authenticatable; use Illuminate\Notifications\Notifiable; use Illuminate\Database\Eloquent\Relations\BelongsToMany; class User extends Authenticatable {     /** @use HasFactory<\Database\Factories\UserFactory> */     use HasFactory, Notifiable;     static string $name;     static string $email;     static string $password;     /**      * The attributes that are mass assignable.      *      * @var list<string>      */     protected $fillable = [         'name',         'email',         'password',     ];          /**      * The attributes that should be hidden for serialization.      *      * @var list<string>      */     protected $hidden = [         'remember_token',     ];     /**      * Get the attributes that should be cast.      *      * @return array<string, string>      */     protected function casts(): array     {         return [             'email_verified_at' => 'datetime',             'password' => 'hashed',         ];     }          public function roles() : BelongsToMany {         return $this->belongsToMany(Role::class);     }       public function hasHole(Array $roleName): bool     {                 foreach ($this->roles as $role) {             if ($role->name === $roleName) {                 return true;             }         }         return false;     }         public function hasHoles(Array $rolesName): bool     {                 foreach ($this->roles as $role) {             foreach ($rolesName as $rolee) {             if ($role->name === $rolee) {                 return true;             }          }         }         return false;     }         public function hasAbility(string $ability): bool     {         foreach ($this->roles as $role) {             if ($role->abilities->contains('name', $ability)) {                 return true;             }         }         return false;     }     } Como gravar um Admin na tabela admins sendo que ele é um User por extensão?
      Tentei assim mas é claro que está errado...
      public function store(Request $request, Admin $adminModel) {         $dados = $request->validate([             "name" => "required",             "email" => "required|email",             "password" => "required",             "registration" => "required"         ]);         $dados["password"] =  Hash::make($dados["password"]);                  $admin = Admin::where("registration",  $dados["registration"])->first();                  if ($admin)              return                    redirect()->route("admin.new")                             ->withErrors([                                 'fail' => 'Administrador já cadastrados<br>, favor verificar!'                   ]);                            $newAdmin = $adminModel->create(                                    $dados['name'],                                    $dados['email'],                                    $dados['password'],                                    $dados['registration']                                 );         dd($newAdmin);         $adminModel->save();         //$adminModel::create($admin);                  return redirect()->route("admin.new")->with("success",'Cadastrado com sucesso');     }  
    • Por violin101
      Caros amigos, saudações.
       
      Gostaria de tirar uma dúvida com os amigos, referente a PDV.
       
      Estou escrevendo um Sistema com Ponto de Vendas, a minha dúvida é o seguinte, referente ao procedimento mais correto.

      Conforme o caixa vai efetuando a venda, o Sistema de PDV já realiza:
      a baixa direto dos produtos no estoque
      ou
      somente após concretizar a venda o sistema baixa os produtos do estoque ?
       
      Grato,
       
      Cesar
       
    • Por violin101
      Caros amigos do grupo, saudações e um feliz 2025.
       
      Estou com uma pequena dúvida referente a Teclas de Atalho.

      Quando o Caps Lock está ativado o Comando da Tecla de Atalho não funciona.
      ou seja:
      se estiver para letra minúscula ====> funciona
      se estiver para letra maiúscula ====> não funciona
       
      Como consigo evitar essa falha, tanto para Letra Maiúscula quanto Minúscula ?

      o Código está assim:
      document.addEventListener( 'keydown', evt => { if (!evt.ctrlKey || evt.key !== 'r' ) return;// Não é Ctrl+r, portanto interrompemos o script evt.preventDefault(); });  
      Grato,
       
      Cesar
    • Por ILR master
      Fala galera, tudo certo?
       
      Seguinte: No servidor A estou tentando fazer uma consulta com o servidor B, mas está dando erro.
      Estou usando o mesmo código de conexão do servidor B que funciona perfeitamente, mas no servidor A, dá erro.
      Segue código:
       
      $host = 'servidor B';
      $user = 'user';
      $pass = '********';
      $db   = 'banco';
       
      // conexão e seleção do banco de dados
      $conexao = mysqlI_connect($host, $user, $pass, $db);
      mysqlI_set_charset($conexao,"utf8");
      //print "Conexão rodando e OK!"; 
      //mysqlI_close($conexao);
       
      Alguém pode me ajudar?
×

Informação importante

Ao usar o fórum, você concorda com nossos Termos e condições.