sartorial

Hi zusammen!

Ich hätte da eine Frage: Wie sicher ist die Übergabe von Variablen per $_POST. Kann da jemand die Variablen und deren Inhalte abfangen? Irgendwie sollte dies ja möglich sein, da ja der Browser die Variablen an der Server schickt (kein HTTPS).

Ich frage, weil ich eine kleine Anwendung geschrieben habe und nicht will, dass jemand sein eigenes Formular schreibt und von Extern auf die Anwendung zugreift.

Herzlichen Dank für eure Hilfe!
Grüsse sartorial

Mister Ad

poli-tik

Verwendet du kein HTTPS und verschlüsselst auch sonst nicht, sind die Daten unsicher.
Und unabhängig davon, ob du verschlüsselst oder nicht verschlüsselst, übergebene Daten müssen grunsätzlich immer in PHP validiert werden. Das gilt für $_GET genauso wie für $_POST.

nikosch

Das sind zwei völlig verschiedene Themen. Man-in-the-middle hat nichts mit Formular-nachbauen zu tun.

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--

PHPascal

Ja, die können mit einer Sniffer-Software (z. B. Wireshark) abgefangen und ausgelesen werden, wenn Du sie nicht vorher schon verschlüsselt hast und kein HTTPS benutzt. Absniffern ist aber illegal!

ChrisB

Jeder HTTP-Zugriff auf eine Webapplikation ist „von extern“.

Du kannst natürlich die Verarbeitung von Daten davon abhängig machen, ob der Nutzer sich vorher eine Session „geholt“ hat, oder von einem vorher vom Server ausgegebenen Token o.ä.

__________________
RGB is totally confusing - I mean, at least #C0FFEE should be brown, right?

Knutschi

Muss da auch mal nachhaken.

Mal davon abgesehen, dass ich nie groß über meine Anfangskenntnisse hinaus gekommen bin, bastel ich gerade ne kleine Mitgliederverwaltung die evtl. je nach Gefallen, lokal zum Einsatz kommen soll.

Wie darf ich nun die Validierung von $_POST verstehen?
Das einzigste was ich gerade am Umsetzen bin, ist ein Affenformular und hier gehts mir im Moment nur ob Eingabefelder für Zahlen, auch nur Zahlen enthalten.

Gegen was sollte ich $_POST-Variablen sonst nocht validieren?
Dazu bräuchte ich doch dann im entsprechenden Script ne Variable die ich dann vergleichen könnte.

__________________
B.L.U.B. -> Biohazard Liquid Undefinied B.L.U.B.

eagle275

nun die Hinweise standen ja schon in den Posts "weiter oben" -

- bitte kein $_SERVER["PHP_SELF"] innerhalb von <form-Action ..
- erzeuge ein Token (irgendeine ZeichenKette), bette das Token in dein Formular mit ein,
- arbeite mit Zeitstempeln, um die Zeit zum Ausfüllen "im Blick" zu haben ...

- Validierung der Daten ist auch Pflicht - hier insbesondere auch von Feldern, deren Antworten normalerweise "nicht variabel" sind ... also Radiobuttons / Checkboxen / Select-Listen .. geh stattdessen erstmal davon aus, dass ein "Hacker" dein Formular nachgebaut hat - aber überall mit <input type="text" arbeitet, um selbst Daten eintippen zu können und so Schwachstellen zu finden ...

- https mit gültigem Zertifikat ...

__________________
"Irren ist männlich", sprach der Igel und stieg von der Drahtbürste

mepeisen

Zu dem Roten: Das ist leider vollkommener Blödsinn. Zumindest als so pauschaler Satz. Denn das kommt stark darauf an, wer wessen Daten und warum belauscht und was das für Daten sind. Bitte aber nicht weiter vertiefen, denn a) sind wir keine Rechtsberatung und b) sollte dies hier kein Forum werden mit Anleitungen, wie das geht. Das müsste man teilweise ausführen bei der Frage nach der Legalität

@Knutschi: Grundsätzlich validiere immer alles, was vom Browser kommt. Niemals Annahmen treffen. Wenn in einem FOrmularfeld eine Zahl drin stehen soll, muss das in PHP geprüft werden. Wenn es gefüllt sein soll, muss dies in PHP geprüft werden. Wenn man sich auf "login.php" einloggen muss um "secret.php" zu sehen, musst du auf secret.php prüfen ob der User eingeloggt ist und ob er der Admin ist, der es sehen darf oder ein normaler User.
Wenn der User einen Eintrag in der Db löschen will, musst du prüfen, ob der Eintrag exisiert und ob er das Recht hat, diesen zu löschen. usw.
Es gibt eine Grundregel: Vertraue NIEMALS NIE dem Browser.

__________________
www.php-maven.org PHP und Maven vereint: Build/Deploy/Produktion/Konfiguration, Projekt Management, CI, PHPUnit, zahlreiche Frameworks
Twitter @ https://twitter.com/#!/mepeisen und Facebook @ http://t.co/DZnKSUih

Knutschi

das verstehe ich nun nicht genau.
In dem aktuellen Formular sollen alle Eingaben geprüft werden, auch um bei unbeabsichtigten versenden eines leeren Formulars keine leeren bzw. unvollständigen DB-Einträge zu generieren die man dann später sichten muss.

Um mal speziell auf die Radio/Checkboxen zu gehen:
Ich verwende gerade ne Checkbox um im weiteren Schritt dann, ein weiteres Formular aufzurufen um hier einen Erziehungsberechtigten einzupflegen falls dies notwendig ist. Wozu müsste ich den nun validieren?
Bzw. Checkboxen usw. allgemein, mit meinem beschränkten wissen, geh ich mal davon aus, das man hier nichts manipulieren könnte.
Aber dies scheint ja wohl nicht der Fall zu sein sonst würde es ja nicht erwähnt werden.

Wie könnte jemand da was drehen?
Könnt ihr mir ein paar Tutorials bzw. Seiten oder auch speziell Bücher empfehlen?

__________________
B.L.U.B. -> Biohazard Liquid Undefinied B.L.U.B.

nikosch

Hier lang bitte:

http://www.php.de/wiki-php/index.php/Validierung
http://www.php.de/wiki-php/index.php...von_Formularen

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--