Xss हमलों और sql इंजेक्शन के खिलाफ सार्वभौमिक सुरक्षा

ऐसा हुआ कि पिछले एक वर्ष के लिए मुझे होस्टिंग के लिए तकनीकी सहायता से निपटना पड़ा, साथ ही साथ उन साइटों के लिए समर्थन भी मिला, जिनके साथ मेरा अप्रत्यक्ष संबंध है। और चूंकि प्रशासक अक्सर अपनी साइटों पर सभी प्रकार के हमलों का सामना करते हैं, विशेषज्ञ को नियुक्त करने का अवसर न होने के कारण, यह मेरे लिए हुआ कि मैं सभी साइटों के लिए एक एकल और सार्वभौमिक समाधान के साथ आऊं जो उन्हें बिना अधिक प्रयास के अपनी साइट की रक्षा करने में मदद करेगा। और हालांकि अभी भी बहुत सारे मंत्री और बारीकियां हैं जिन्हें मैं अभी तक हल नहीं कर पाया हूं, फिर भी इस समय यह एकमात्र समाधान है जो आपको साइट को अंदर से सुरक्षित करने की अनुमति देता है, बिना सभी प्रकार के प्लग-इन और मॉड्यूल का उपयोग किए बिना बाहर से स्थापित करने की आवश्यकता है और जो कि यहां तक ​​कि अनुभवहीन वेबसाइट डेवलपर अपनी साइट पर स्थापित और कॉन्फ़िगर करने में सक्षम है। इस समाधान का सार GET, POST और / या COOKIE विधियों द्वारा प्रेषित डेटा को संसाधित करना है, इससे पहले कि वे संसाधित और सीधे डेटाबेस में लिखे गए हैं।

इस लेख में मैं एक विशेष विधि के उपयोग और नुकसान के उदाहरण दूंगा।

यहाँ कोड ही है

$jsxss="onabort,oncanplay,oncanplaythrough,ondurationchange,onemptied,onended,onerror,onloadeddata,onloadedmetadata,onloadstart,onpause,onplay,onplaying,onprogress,onratechange,onseeked,onseeking,onstalled,onsuspend,ontimeupdate,onvolumechange,onwaiting,oncopy,oncut,onpaste,ondrag,ondragend,ondragenter,ondragleave,ondragover,ondragstart,ondrop,onblur,onfocus,onfocusin,onfocusout,onchange,oninput,oninvalid,onreset,onsearch,onselect,onsubmit,onabort,onbeforeunload,onerror,onhashchange,onload,onpageshow,onpagehide,onresize,onscroll,onunload,onkeydown,onkeypress,onkeyup,altKey,ctrlKey,shiftKey,metaKey,key,keyCode,which,charCode,location,onclick,ondblclick,oncontextmenu,onmouseover,onmouseenter,onmouseout,onmouseleave,onmouseup,onmousemove,onwheel,altKey,ctrlKey,shiftKey,metaKey,button,buttons,which,clientX,clientY,detail,relatedTarget,screenX,screenY,deltaX,deltaY,deltaZ,deltaMode,animationstart,animationend,animationiteration,animationName,elapsedTime,propertyName,elapsedTime,transitionend,onerror,onmessage,onopen,ononline,onoffline,onstorage,onshow,ontoggle,onpopstate,ontouchstart,ontouchmove,ontouchend,ontouchcancel,persisted,javascript"; $jsxss = explode(",",$jsxss); foreach($_GET as $k=>$v) { if(is_array($v)) { foreach($v as $Kk=>$Vv) { $Vv = preg_replace ( "'<script[^>]*?>.*?</script>'si", "", $Vv ); $Vv = str_replace($jsxss,"",$Vv); $Vv = str_replace (array("*","\\"), "", $Vv ); $Vv = strip_tags($Vv); $Vv = htmlentities($Vv, ENT_QUOTES, "UTF-8"); $Vv = htmlspecialchars($Vv, ENT_QUOTES); $_GET[$k][$Kk] = $Vv; } } ELSE { //       xss- $v = preg_replace ( "'<script[^>]*?>.*?</script>'si", "", $v ); //   javascript     xss- $v = str_replace($jsxss,"",$v); //     SQL- $v = str_replace (array("*","\\"), "", $v ); //         SQL $v = mysql_real_escape_string( $v ); //   . $v = strip_tags($v); //      HTML- $v = htmlentities($v, ENT_QUOTES, "UTF-8"); $v = htmlspecialchars($v, ENT_QUOTES); // GET  $_GET[$k] = $v; } } 

उपरोक्त उदाहरण केवल GET अनुरोधों को संभालता है। इसलिए लूप को कम से कम POST और COOKIE के साथ दोहराया जाना चाहिए। दुर्भाग्य से, मैं फ़ंक्शन में इस समाधान को पुनरावर्ती रूप से निष्पादित करने में सक्षम नहीं था, और सभी सरणियों $ _GET, $ _POST और $ _COOKIE को पास करना चाहिए जो हमें एक ही समय में चाहिए। और सबसे महत्वपूर्ण बात जो महसूस नहीं की जा सकती थी वह इस प्रकार के बहुआयामी सरणियों का एक पुनरावर्ती त्रैमासिक था, जो फ़ंक्शन के अंदर डेटा हस्तांतरण की ख़ासियत, साथ ही चर चर के सीमित उपयोग के साथ जुड़ा हुआ है।

1) $ v = preg_replace ("'<स्क्रिप्ट [^>] *?! *। *? Si", "", $ v);

यहां हम स्पष्ट रूप से अनावश्यक जावास्क्रिप्ट कोड हटाते हैं। यदि आप अभी भी कोड को सीधे ही पास करने की अनुमति देते हैं, तो इसके निष्पादन के लिए नहीं, बल्कि समीक्षा के लिए एक फ़ंक्शन शानदार हो सकता है। मंचों पर उदाहरण के लिए।

2) $ v = str_replace ($ jsxss, "", $ v);

फ़ंक्शन पहले के समान है, केवल इस मामले में हम उन घटनाओं को काटते हैं जो xss हमलों के लिए उपयोग किए जा सकते हैं। आप इस समाधान को थोड़ा संशोधित कर सकते हैं और न केवल घटना को काट सकते हैं, बल्कि वे सामग्री जो वे इसे संलग्न करने की कोशिश कर रहे हैं। लेकिन मैंने अभी तक इसकी आवश्यकता नहीं देखी है

3) $ v = str_replace (सरणी ("*", "\\"), "", $ v);

और ये हानिकारक वर्ण, विशेष रूप से बैकस्लैश, आपके SQL को हैक करने का कारण बन सकते हैं। चूँकि प्रतीक का उपयोग बहुत ही कम किया जाता है, और इसका संभावित ख़तरा काफी अधिक होता है, इसलिए मैंने इसे कली में नष्ट करने का फैसला किया।

4) $ v = mysql_real_escape_string ($ v);

इस फ़ंक्शन का उपयोग करने से पात्रों के अनावश्यक भागने का कारण हो सकता है, क्योंकि डेटाबेस में डेटा लिखते समय सबसे अधिक संभावना यह पहले से ही सीधे उपयोग की जाती है, लेकिन दूसरी ओर, यह आपको स्वयं को sql इंजेक्शन से बचाने में मदद करेगा और आपके डेटा को अन्य की तरह संरक्षित करेगा। इसका उपयोग करते समय, आपको डेटाबेस से कनेक्ट होने के बाद फ़ंक्शन का उपयोग करना चाहिए। इसके अलावा, यह न भूलें कि mysql_real_escape_string का उपयोग php 7 में नहीं किया गया है, और इस तरह के कार्यों का उपयोग कनेक्शन विधि पर निर्भर करता है। उदाहरण के लिए, mysqli के माध्यम से डेटाबेस से कनेक्ट करते समय, आपको mysqli_real_escape_ring स्ट्रिंग फ़ंक्शन का उपयोग करने की आवश्यकता हो सकती है।

5) $ v = स्ट्रिप_टैग ($ v);

Strip_tags सभी अनावश्यक टैग हटाने में मदद करेगा। दुर्भाग्य से, आवश्यक भी। दूसरा पैरामीटर आप उन टैग्स को निर्दिष्ट कर सकते हैं जिन्हें आप छोड़ना चाहते हैं। लेकिन परेशानी यह है कि बहुत सारे आवश्यक टैग हैं जो उन्हें सूचीबद्ध करना काफी समस्याग्रस्त है, और सबसे दुर्भाग्यपूर्ण, ऐसे टैग भी हैं जो साइट डेवलपर्स साइट पर कुछ कार्यों को बनाने के लिए अपने आप को जोड़ते हैं। बेशक, उन टैगों को निर्दिष्ट करना अधिक सुविधाजनक होगा जिन्हें हटाने की आवश्यकता है, और नहीं छोड़ी गई। लेकिन जो हमारे पास है, उसमें हम संतुष्ट रहेंगे। इसके अलावा, ऐसे फैसलों के लिए नियमित अभिव्यक्तियों का उपयोग किया जा सकता है।

6) $ v = htmlentities ($ v, ENT_QUOTES, "UTF-8");

7) $ v = htmlspecialchars ($ v, ENT_QUOTES);

मुझे लगता है कि इन दो कार्यों को प्रस्तुत करने की आवश्यकता नहीं है और एक दूसरे के समान है, इसलिए उनमें से किसी एक का उपयोग करना काफी है। फिर भी, वे हमेशा उचित से बहुत दूर हैं।

फिलहाल, यह सब मैं इकट्ठा करने में कामयाब रहा। अगर किसी के पास इस लेख को पूरक करने के लिए कुछ है, तो मुझे केवल खुशी होगी;)

PS उन लोगों के लिए जो पीडीओ, टेम्पलेट इंजन, विभिन्न सर्वर मॉड्यूल आदि का उपयोग करने के लिए एक समाधान और प्रस्ताव चाहते हैं। मैं किसी भी तरह से इनकार नहीं करता कि इस समाधान में इसकी कमियां हैं, और कहीं न कहीं यह निष्कर्ष को विकृत करेगा और कार्यक्षमता को भी प्रभावित कर सकता है, जिसके लिए मैंने पोस्ट की शुरुआत में लिखा था कि समाधान में इसकी कमियां हैं।

यह पोस्ट प्रोग्रामर के लिए नहीं है, यह साइट प्रशासकों के लिए है जिनके पास अंदर से कोड को बदलने के लिए ज्ञान और अनुभव की कमी है। उन लोगों के लिए जो साइटों को पूरा नहीं करना चाहते हैं या नहीं कर सकते हैं। क्या होता है जब कोई डेवलपर वेबसाइटों को कुछ सस्ते में सस्ता बनाता है, और अक्सर पूरी तरह से मुफ्त सीएमएस।

और ऐसा होने से रोकने के लिए, आपको उच्च गुणवत्ता वाले तकनीकी समर्थन के साथ विश्वसनीय और विश्वसनीय सीएमएस पर अपनी साइटों को विकसित करने की आवश्यकता है। इस तरह की परियोजनाओं को विकसित करने के लिए सबसे उपयुक्त और कार्यात्मक सीएमएस बिट्रिक्स है। Https: // wazzup पर हम से आदेश। होस्टिंग और बिट्रिक्स लाइसेंस, हम मुफ्त में स्टोर को कॉन्फ़िगर और इंस्टॉल करने के लिए तैयार हैं।

इसके अलावा, कृपया ध्यान दें कि हमारे पास बिट्रिक्स लाइसेंस की खरीद के लिए एक विशेष प्रस्ताव है, 6 महीने तक की होस्टिंग मुफ्त है।

हमारे ग्राहक बिट्रिक्स को चुनते हैं, क्योंकि यह रूसी संघ का एकमात्र सबसे बड़ा साइट प्रबंधन तंत्र है जिसमें एक विशाल तकनीकी सहायता प्रणाली और शक्तिशाली कार्यक्षमता है। बिट्रिक्स की विश्वसनीयता न केवल समय के आधार पर निर्धारित की जाती है, बल्कि प्रोग्रामर्स के निरंतर योग्य तकनीकी समर्थन द्वारा, मुफ्त और सस्ती सीएमएस के विपरीत, जिसमें से विकास और समर्थन लगातार बदलते उत्साही लोगों द्वारा किया जाता है, बहुत अनुभव के बिना।