Discussion :

[JackBeauregard]

Bonjour,

Je dois sécuriser un formulaire.
Pour certains champs je sais le type de données attendues, donc c'est très bien j'utilise les expregs.
Mais pour le textarea, je ne sais pas ce que l'on peut m'envoyer et je ne peux pas interdire de caractères.

Donc comment le filtrer au mieux ?
Je peux faire ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

htmlentities(mysql_real_escape_string($textarea))

Mais est-ce suffisant et sinon que faire d'autre ?

Merci de votre aide

[druidev]

Salut,

tu veux le sécuriser contre quoi (certains mots,...) ?

[JackBeauregard]

Non contre les attaques xss, injections sql et autres joyeusetés. Les mots doivent rester libres et je ne peux pas bloquer les caractères spéciaux.

[Fladnag]

alors...

si tu veux faire un bon filtrage :

1)
* Verifier en php le reglage des magicquotes (avec get_magic_quotes_gpc())
* Si activé alors stripslashes sur la variable

=> Tu obtiens dorenavant un champ qui correspond exactement a ce que l'utilisateur a tapé !!

Ensuite, le traitement a faire depend de l'utilisation :

2)
* pour inserer dans une base de données :
mysql_real_escape_string
* pour afficher sous forme de texte :
htmlentities
* pour afficher dans un value de formulaire ou un autre attribut d'une balise html :
addslashes

Ensuite, ton traitement est sécurisé... a condition que :
* dans toutes les requetes qui travaillent sur le champs utilisé pour stocker l'info tu utilise des quotes autour du champs : SELECT ... champ = '$champ', etc...
* chaque fois que tu récupere l'info depuis la base, tu dois refaire le traitement en fonction de l'utilisation a partir du point 2

Dans la pratique, je te conseille de tester TOUT tes champs avec le crash test suivant :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

a'a"a/a\a<b>a</b>a<br>a

si cette chaine se réaffiche exactement telle qu'elle a été tapée partout sans faire aucune erreur, il y a de grande chance que ton code soit a peu pres correct ;o)
(et quand je dis exactement, c'est exactement ! pas de \ en trop, pas de \ en moins, pas de "a" en gras ou de retour chariot interprété avec <br>, et les tests sont a faire en affichage, creation, modification et suppression de ton objet)

Je crois que j'ai fait le tour, j'ai oublié qqchose ? ;o))

[JackBeauregard]

salut Fladnag, merci pour cette réponse complète.

Alors une question déjà :

Ensuite, ton traitement est sécurisé... a condition que :
* dans toutes les requetes qui travaillent sur le champs utilisé pour stocker l'info tu utilise des quotes autour du champs : SELECT ... champ = '$champ', etc...

Je fais ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

SELECT...champ='.$champ.'

ça revient au même, qu'est ce que t'en pense ? Et au fait, pourquoi les quotes sont un support contre les injections sql ?

Sur un autre post, j'ai lu cette phrase :

D'ailleurs, faire un "mysql_real_escape_string" sur une variable placé directement dans une requête sans apostrophe n'empêche pas le "piratage".

ça semble confirmer. Mais alors pourquoi mysql_real_escape_string() + apostrophes dans la requête = sécurité et pourquoi sans les apostrophes ça ne l'est plus ?

[Fladnag]

Je fais ça :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

SELECT...champ='.$champ.'

ça revient au même, qu'est ce que t'en pense ? Et au fait, pourquoi les quotes sont un support contre les injections sql ?

C'est justement ce qu'il faut eviter ;o)

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
SELECT ... champ=\''.$champ.'\'....
ou 
SELECT ... champ='".$champ."'...

est correct.

ta requete va construire :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

SELECT champ=$champ

donc imaginons une requete :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

SELECT * FROM membres WHERE login=$login AND password=$password

maintenant, je rentre comme login : $login="admin--"

la requete devient :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

SELECT * FROM membres WHERE login=admin-- AND password=

manque de bol pour toi, -- veux dire que le reste de la ligne de la requete SQL est un commentaire... donc on ne fait aucune verification sur le mot de passe !

Si tu met des quotes, tu obtient comme requete :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

SELECT * FROM membres WHERE login='admin--' AND password=''

et là mysql va bien comprendre que c'est la chaine "admin--" qu'il faut verifier.

Ce n'est qu'un exemple de ce qui est possible. Si le sujet t'interesse, je te conseille de lire les articles sur l'injection sql disponible sur ce site : http://www.phpsecure.info/v2/zone/pArticle
ce n'est pas un panel exhaustif de ce qui est possible, mais c'est une tres bonne introduction, et ca permet en principe de se rendre compte de la fragilité d'un script php mal codé ;o)