les dangers de l'include PHP, pour un débutant

[Hyp]

Ce message a été modifié par Hyp - 12 May 2010, 11:51.

[Hyp]

Ce message a été modifié par Hyp - 12 May 2010, 11:53.

[Vin's]

Est-ce que j'ai d'autres choses à vérifier ?

Si tu utilises une base de données, il faut faire attention à l'injection SQL...
Genre si tu as une requête SQL comme :

CODE

$sql = "SELECT * FROM une_table WHERE message_num=$msg_num"

$msg_num est censé être un nombre. Si un attaquant met un truc genre '1; [Requete SQL dangereuse]' dans $msg_num, il pourra exécuter [Requete SQL dangereuse] sur le serveur.
Pour éviter ça, quand tu récupères $msg_num, il ne faut pas faire :

CODE

$msg_id = $_GET['id'];

mais

CODE

$msg_id = (int)$_GET['id'];

Ainsi, si $_GET['id'] n'est pas un nombre, $msg_id contiendra 0. Le méchant hacker ne pourra pas exécuter sa requête SQL.
Lorsqu'on utilise des chaînes de caractères dans les requêtes SQL, on les met entre apostrophes simples :

CODE

$sql = "INSERT INTO une_autre_table VALUES ('$une_chaine')"

Il faut dans ce cas remplacer les apostrophes ' de $une_chaine par \' pour qu'elles ne soit pas interprétées comme la fin de la valeur à insérer. (par exemple si $une_chaine contient "blabla'); DELETE FROM une_autre table; --" la requête SQL sera "INSERT INTO une_autre_table VALUES ('blabla'); DELETE FROM une_autre table; --);" -- Mauvais !)

On peut éviter ce problème en utilisant la fonction $str = addslashes($str), mais je crois que htmlentities() le fait si on lui donne ENT_QUOTES en second paramètre (voir la documentation sur le site de PHP)
Un bon test est d'essayer de mettre autre chose qu'un nombre dans les variables envoyées par le navigateur qui devraient être un nombre, et des apostrophes dans les variables qui devraient être des chaines...

Ce message a été modifié par Vin's - 10 Jun 2007, 10:39.