1. sql-injection,
2. xss,
3. защита подключаемых файлов от прямого вызова из браузера. не помню как называется.

ну и обобщая 1 и 2, а так же все оставшееся - всегда думайте, безопасны ли данные, с которыми вы работаете, и не могут ли они быть опасны. наиболее частый случай - работа с базой. но не стоит об это забывать, если присылаемые данные используются в eval, командах ядра и т.д.

Собственно eval никогда не использую, все приходящие данные тщательно фильтрую, экранирую опасные символы и пр.
По сути этот список относится только в вводимых пользователем данных.

Но наверняка есть и другие методы взлома. Если Вконтакте часто обновлять, то он скажет что я слишком часто к нему обращаюсь. Для чего это нужно?

Защита от ботов. Скажем, идет проверка - если второе обращение к серверу за секунду, то - бот, и запрос отпинывается

После скольки то повторений, можно банить, чтобы больше не шастал и не повышал нагрузку.

+ надо кодировать куки по идее. проверять их принадлежность посетителю (IP, useragent или еще чего-нить). IP только в течение одной сессии, разумеется. useragent тоже.

+ защита от брутфорса паролей.

еще наверно что-то. только не вспомню сходу.

glock18
Кстати да. Было бы неплохо если б ктото из ваших экспертов написал статейку про безопасность сайта, на что обращать внимание, что и как делать чтоб обезопаситься (презервативы не предлогать ), ну и все такое. А то везде на слуху sql-иньекции и прочее, а толком никто не обьясняет. В инете информации об этом масса, согласен, но каждый мог бы чтото уточнить и спросить, а не тупо лицезреть мануал

Да уж, хорошо бы. А то действительно экранируешь, а говорят что фигня.
Может быть кто нить правда напишет простую доступную статью о построении системы безопасности сайта?
Собсна мой список аспектов безопасности:

-Защита от частых обращений. Кладем время в сессию при следующем обращении сравниваем текущее и сохраненное, если меньше секунды, то хэдэрим.
-Очистка вводимых данных(формы, строка браузера). Устанавливаем тип, экранируем символы, вычищаем хтмл-мнемоники, урезаем длинну.
-Делал защиту от прихода POSTов с других хостов, но у меня так и не вышло.
-Еще говорили, что когда письма отправляешь нельзя в тему письма вкладывать переменные которые вводит пользователь, тоже могут быть ошибки.


Ну теперь еще приложу к этому
-бутфорс паролей
-установку принадлежности куков

Пока так.

Книжечка есть неплохая "php для хакеров"; там все очень неплохо разобрано.

Опять "отмануалили"
КНижке ж вопрос не задашь как лучше поступить в конкретной ситуации.

Да неотмануалили. В этой книжке как раз и описываются всевозможные приемы взломов и защит от этих взломов. Такую книжку полезно иметь каждому (разработчику)

FatCat
Ссылку в студию, если не трудно. То скачал две книги по гуглу, явно не то что надо..

Господа, поделитесь пожалуйста функцией, кто как очищает приходящие переменные?

Michael
Это уже узконаправленная тема, нежели безопасность сайта вцелом. Понятное дело, что никто не будет вникать в подробности каждого вопроса.


twin
Ну я же вовсе не говорил писать новую книгу по безопасности, свести все к какомуто железному минимуму - проверка введенных данных, запрет такихто символов, правильная организация каталогов на сайте, виды паролей (шифр, не шифр),допустимые теги для пользователя, как скрывать ошибки выполнения скрипта, пару примеров sql-иньекций, пару xss, еще че-нить. Вон у человека видел в разделе "Оцените" - каталог полностью просматривался, так как не было простого файла индекс.хтмл. Вроде мелочь же. но про такое нигде тут на форуме не пишут, даже в книге "для хакеров" про эту мелочь ничего не было сказано. А кому захочется чтобы левый юзер видел все файлы папки? И необязательно расписывать все по пунктам. Достаточно просто пару абзацами описать вид какойто атаки/небезопасности, написать как от нее защититься, а на какието подробности (ВНИМАНИЕ!) пульнуть ссылкой , где про это подробно описано. Просто собрать все в кучу, а что именно заинтерисует чувака человека, тот и сам пойдет гуглить.
Думаю, это было бы неплохим напоминанием для новичков на будующее и совсем неплохим дополнением к твоим мануалам по созданию сайта.

Это абсолютно бесполезное занятие. Потому что новички норовят сделать попроще, так как вникать им некогда и лень. А кто уже плавал, тому это не надо. Всё, что нужно для безопасности, я уже написал давно.
Могу добавить только одно. Нужно правильно обрабатывать данные, тогда это будет безопасно. А если начать изобретать всяческие фильтры и выкрутасы, будет решето.
А для этого просто напросто нужно знать, как это все устроено. И не нужно страдать параноей.
Никакая иньекция не будет страшна, если правильно обрабатывать данные для запроса. И XSS не будет страшен, если правильно обрабатывать вывод.
Так что всё давно написано, разжевано, как для детей и с прмерами. Просто читать ни кто не хочет. Все хотят готовых решений, панацеи.
Нет панацеи и никогда не будет. Для каждого скрипта своя обработка. По правилам.
И всё.

Не читают, потому что разбросано по кускам.
А почему нету хотя бы простейшего - отдельного топа типа "Вопросы безопасности"? Вон в "для новичков" кидают код для того чтоб посмотрели и слабые места нашли. Можно ж было в отдельную тему загнать. Написал человек код какойто, кинул отдельный кусок на критику, понял ошибку, и для других будет пример. А то вон только топ про регулярные выражения. Этого маловато.

twin
Понимаю, одной статьей тут не отделаться. Но раздел то можно было б выделить какойто для таких вопросов? Максимум что тут вижу - это про сессии, куки. Да и то там почти все темы с вопросами почему то не работает, и как сделать вот так..Ладно, спорить не буду. Это дело добровольное.

SunSet

glock18
пустой индекс.хтмл никогда не помешает, а вот забыть выставить доступ к каталогу - вполне есть вероятность. Подстраховаться не помешает.

Хорошо, я напишу такую статью как только буду экспертом и буду разбираться в этом на хорошем уровне

Це дило. Только когда на самом деле будешь хорошо разбираться, поймешь, что это не так то просто.
Но а вдруг... Только удачи остается пожелать.

twin, ну популяй хоть ссылками на свои статьи, раз они есть и полезны. Пожалуйста!

http://phpclub.ru/detail/article/php_security1


http://www.phpfaq.ru/safety

Вась, крутые ссылки, но не все кстати там в норме.

Блин, достали, действительно. Давай уже напишем хотя бы основы....
Я начну завтра, в куче родим чё нить толковое наверно...

Тут еще можно посмотреть: http://www.captcha.ru/articles/antihack/

Накидай главы, будет легче.

Тотальная проверка по регуляркам и типу всех переменных, получаемых от пользователя и все перечисленное выше. Также защита от автоматического заполнения форм, отправки запросов.

Прощу прощения, фу.

Нужная ж ведь тема, пусть будут хотя бы эти основы. Если это будет статья на форуме - то люди смогут чтото спрашивать походу, уточнять. Писать тупо обо всем смысла действительно нету, а то, о чем будут чаще спрашивать - о том и можно подробней расписать. А твину то какая будет толстая ссылка на топ

Ребят! Давайте, ваша работа нужна народу!
Кстати, по теме нашел еще одну очень интересную статью http://webpeeps.ru/article/12/

Загнулось дело?

Что значит загнулось? А это что по твоему?