Baixado 56 vezes
Carregado porJota Júnior
Segurança em PHP: O que você precisa saber
O documento discute vários tópicos relacionados à segurança em PHP, incluindo SQL injection, XSS, CSRF, upload de arquivos e path traversal. Ele fornece explicações sobre esses riscos de segurança e sugere abordagens como usar prepared statements, htmlspecialchars, tokens CSRF e impor limites nos caminhos de arquivos para prevenir exploits.
![[FISL 16] PHP no Campo de Batalha: Segurança Avançada e Programação Defensiva...](https://cdn.slidesharecdn.com/ss_thumbnails/phpnocampodebatalha-150709152827-lva1-app6891-thumbnail.jpg?width=640&height=640&fit=bounds)
Segurança em PHP: O que você precisa saber
- 1. Segurança em PHP:o que você precisa saber Jota Júnior
- 2. Tolos ignoram complexidade,enquanto pragmáticos sofrem com ela. Alguns até conseguem evitar. Gênios a removem. Epigrams in Programming(http://www.cs.yale.edu/quotes.html)
- 3. Há duas formasde escrever programas sem erros; só a terceira realmente funciona. Epigrams in Programming(http://www.cs.yale.edu/quotes.html)
- 5.
- 6. Sempre haverá um “ZzboladozZ” Acreditem,já vi este nick! Ele se dizia “ráquer”
- 7. Vamos lá! • OWASP •SQL Injection • XSS • CSRF • File Upload • Path Traversal
- 8. Vamos lá! • OWASP •SQL Injection • XSS • CSRF • File Upload • Path Traversal
- 9. Uma boa fonteé mais importante do que uma boa memória. https://www.owasp.org/index.php/PHP_Security_Cheat_Sheet https://www.owasp.org/
- 10. Vamos lá! • OWASP •SQL Injection • XSS • CSRF • File Upload • Path Traversal
- 11. SQL Injection Um dadoproveniente do usuário nunca pode virar código diretamente.
- 12.
- 13.
- 14. SQL Injection Existe ojeito complexo e o jeito certo. A escolha é sua.
- 15. SQL Injection E quandoa query é dinâmica, ou existe alguma limitação para os prepared statements?
- 16.
- 17.
- 18. Vamos lá! • OWASP •SQL Injection • XSS • CSRF • File Upload • Path Traversal
- 19. XSS Cross-Site Scripting - Permiteinserir código que persiste na página - Usuário pode inserir código malicioso e tornar seus outros usuários vítimas
- 20.
- 21. XSS Retirado do siteda OWASP Simples como essa função. http://br2.php.net/htmlspecialchars
- 22. XSS Novamente, várias ferramentasprontas para facilitar. Exemplo do framework CodeIgniter (http://ellislab.com/codeigniter/user-guide/libraries/input.html)
- 23. Vamos lá! • OWASP •SQL Injection • XSS • CSRF • File Upload • Path Traversal
- 24. CSRF Chega de protegero sistema. Proteja também seu usuário.
- 25. CSRF Cross Site RequestForgery Permite forjar requisições, levando seu usuário a executar ações indesejadas.
- 26.
- 27. CSRF Você tem umcontroller que modifica determinado dado quando requisitado. Como saber que é uma requisição legítima?
- 28. CSRF 1- Crie umtoken aleatório e complexo, como chave de segurança, provavelmente na hora da autenticação.
- 29. CSRF 2- Armazene estetoken também em uma sessão (ou outra fonte de dados persistente similar, não acessível ao usuário).
- 30. CSRF 3- Ao executarqualquer ação dentro do site, como submeter um formulário em AJAX, envie também o token (que pode estar guardado em um hidden input).
- 31. CSRF 4- Ao receberalguma requisição, verifique se o token foi enviado e, caso tenha sido, se é igual ao armazenado em sessão. Se não, negue.
- 32. CSRF Outras considerações: Complicações podemexistir caso o token seja previsível ou acessível (normalmente se existe outra falha associada, como do navegador ou de sessão).
- 33. CSRF Como o Facebooktrata CSRF no PHP SDK: https://github.com/facebook/facebook-php-sdk/blob/master/src/base_facebook.php Passo 1 e 2: Cria token e guarda em sessão
- 34. CSRF Passo 3: Enviao token estabelecido para a requisição
- 35. CSRF Passo 4: Aoreceber a requisição, verifica se o código enviado é o mesmo da sessão
- 36. Vamos lá! • OWASP •SQL Injection • XSS • CSRF • File Upload • Path Traversal
- 37. File Upload Aquele uploadde imagens inofensivo pode se tornar uma grande dor de cabeça.
- 38. File Upload Alguns dados,aparentemente confiáveis, podem ser maliciosamente manipulados. Entre eles, estão os cabeçalhos HTTP.
- 39.
- 40. File Upload Uma formade verificar a imagem é verificando a extensão e o MIME-Type.
- 41. File Upload A extensãoé bem simples.
- 42. File Upload O índicetype do $_FILES traz o MIME-Type do arquivo, mas o que ele diz ter. É manipulável e, portanto, não pode ser utilizado.
- 43. File Upload Código retiradodo site da OWASP Gasta mais recursos, mas faz uma verificação muito mai confiável, pois obtém o real MIME-Type.
- 44. File Upload Outras considerações: -GIFs são do mal. Quando possível, não aceite; - O velho getimagesize(); é burlável (por GIFs, inclusive!)
- 45. Vamos lá! • OWASP •SQL Injection • XSS • CSRF • File Upload • Path Traversal
- 46.
- 47. Path Traversal Você recebeo caminho de um arquivo, e executa alguma ação com isso. http://www.site.com/download.php?arquivo=carro.jpg
- 48. Path Traversal O quevocê recebe como parâmetro está em um diretório específico, construído para esse fim.
- 49. Path Traversal Mas eisque surge o “ZzboladozZ”... http://www.site.com/download.php?arquivo=../../../../etc/shado w
- 50. Path Traversal É necessárioimpor limites, não deixar que o usuário vá a qualquer lugar do sistema. Ele só pode inserir o nome do arquivo, e não um caminho.
- 51.
- 52. Path Traversal Simples comoisso, sem REGEX. Dessa forma, ../../../anything vira só anything, e nenhum arquivo indevido é acessado.
- 53. Path Traversal 1. Quandopossível, pode usar identificadores numéricos para os arquivos, e não caminhos.
- 54. Path Traversal Não funcionapara poucos casos, como arquivos Phar. E realpath requer que o caminho exista (caso não exista, retorna falso). 2. Caso queira que sejam permitidos diretórios no caminho, mas só “abaixo”, pode usar o
- 55.