Возвращаясь к моему запросу...

$result=mssql_query("SELECT * FROM dbo.user WHERE id='".@$user."'");

Если у меня числовой параметр, то необходимо поставить:

$user=isset($_POST['user'])?(int)$_POST['user']:0; 

а если текстовый?

_____________

Что ты сделал сегодня - для завтра?
"Приидите ко Мне вси труждающиеся и обремененнии и Аз упокою вы, возмите иго Мое на себе и научитеся от Мене яко кроток есмь и смирен сердцем и обрящете покой душам вашим, иго бо Мое благо и бремя Мое легко есть."(Мф. 11:28-30)

Если текстовый

$a = addslashes($a);

Вообще, попробуйте выучить какую-нибудь библиотку типа PEAR:: DB, а лучше какую-нибудь ORM. В них фильтрация вставляемых параметров происходит автоматически.

Kuzya, большое спасибо Вам, что сказали что лучше учить - пошла искать документацию


_____________

Что ты сделал сегодня - для завтра?
"Приидите ко Мне вси труждающиеся и обремененнии и Аз упокою вы, возмите иго Мое на себе и научитеся от Мене яко кроток есмь и смирен сердцем и обрящете покой душам вашим, иго бо Мое благо и бремя Мое легко есть."(Мф. 11:28-30)

zvezda_t - лови: http://phpforum.ru/index.php?showtopic=19168

_____________
Если не говорить пользователям, что Linux это "Сложно и страшно", то им совершенно всё равно, в чём не разбираться

Может кто то подскажет какую либо литературу или ресурсы на эту тему?

te0203
у Kuzya в подписи

_____________

twin
возник такой вопрос: допустим, есть необходимость хранить в сессии некие потенциально небезопасные данные (знаю, что это не гуд). Что делать? Как уберечься от CSRF ?
Выдумывать свой аналог сессии?
И еще один вопрос: я так понимаю, что идентификатор сессии передавать в куках тоже плохо с точки зрения безовасности, лучше в гет-параметрах?

_____________

Профессиональная разработка на заказ

Я на GitHub | второй профиль

$_SESSION['authorisation'] = true;
$_SESSION['role'] = 'admin';

Вы форум вообще не читаете прежде чем написать сообщение? Уже в паре тем точно пришли к тому, что для защиты от таких вещей необходим привязывать сессию к IP и браузеру.
К тому же обсуждаете вы XSS, а не CSRF. С помощью CSRF никто сессии не угоняет, они для подделки запросов нужны.

Белый Тигр

здесь ты что-то напутал, имхо.. 

Объясните пожалуйста, где я чего напутал?
http://ru.wikipedia.org/wiki/%D0%9F%D0%BE%...%81%D0%BE%D0%B2

http://ru.wikipedia.org/wiki/XSS

С помощью CSRF код не выполняется, следовательно ни о каком угоне cookies не может быть и речи - эту возможностью дают XSS.

Белый Тигр
спасибо за ссылки, но все это просто термины, тут я напутал, каюсь =)
От того что я напутал со смыслом терминов, проблема не улетучивается. Насколько я понял, к айпи привязывать нужно. Буду думать

_____________

Профессиональная разработка на заказ

Я на GitHub | второй профиль

Здравствуйте сторожилы форума, привет чесной народ )))
Безопасности уделяю должное внимание и рекомендации ув. Твина .... как оказалось выполняю.
Однако всегда обнаруживается какое то нубство ... и недавно в себе такую часть к неудовольствию открыл. Каким то образом считал, что безопасность Хоста всегда находится во владении сисадмина, а не скромного программиста сайта, а мне тут забили в голову гвоздь ....

1. Разворачиваем на локальной машине LOCALHOST.
2. Запускаем простейший файлик PHP с формой и одним полем INPUT на передачу файла.
3. Выбираем необходимый файл hack.php (допустим) ... и спокойненько засылаем его в каталог на нашем хосте. Допустим тот, с которым работает пользователь, отсылающий на сервер фотографии.
4. Выполняем ....
5. The end .... ))))))

Кажется выше в этой теме я увидел что то похожее и возможно механизм, который я описал называется Эксплоит ....
Верно или нет, просветите пожалуйста, знатоки .... что то не могу ничего нарыть в эту тему ....

Если вопрос ламерский (уж совсем ламерский и никому не будет это интересно) .... тогда по душе вашей доброй ткните носом в ссылку, где можно прочесть про это и как от этого защититься ...

ты прав, это как раз такое и есть и так и называется! Нужно проверить вложенные файлы. Либо это фотография, тогда GD библиотекой пытаешься считать картинку, если архив - тогда читаешь архив. В целом по этой самой причине файловые хостинги разрешают именно архивы хранить на сайте.
Вот ссылка: http://irbis-team.com/15/13/2
Устанавливай допустимые типы файла, потом проверяй, точно ли это данный тип.

_____________
Обучаю веб-программированию качественно и не дорого: http://school-php.com
Фрилансер, принимаю заказы: PHP, JS, AS (видео-чаты). Писать в ЛС (Личные сообщения на phpforum).