Whitelists und Verifikation

echo · 04.01.2009, 23:00

Hallo,

Manko10 hat mir eine tolle Buchempfehlung gegeben: PHP-Sicherheit

Jetzt hab ich mich als Newbie - längst überfällig - endlich auch mal mit dem Thema PHP-Sicherheit beschäftigt.

Zum Thema Whitelists eine Frage: Ist das ein Sicherheitsproblem, wenn ich eine Whitelist-Vailidierung von $_POST-Parametern durch eine Funktion, die über ein require-Script aufgerufen wird, durchführe oder sollte die Validierung lieber direkt im verarbeitenden Skript statt finden?

Bsp. für eine Whitelist-Validierung eines <select>-Feldes aus einem Formular:

Mein Sicherheitsscript:

PHP-Code:

  function WL_ob_sel($x)
{
$select_ar = array("bla", "bla2", "bla3")
  
if (!in_array($x, $select_ar))
  {
  @ session_destroy();

die ('<h1>Fehler!</h1>
<p>Aus Sicherheitsgründen wurde die Anwendung beendet. Sie wurden ausgeloggt. Ihre IP</p>
<h3>'.$_SERVER['SERVER_ADDR'].'</h3>
<p>und Ihre letzte Aktion wurden gespeichert!</p>
');
  }
}

Mein Anwendungsskript:

PHP-Code:

  require_once('req.security_funcs.php');
WL_ob_sel($_POST['select_feld']);

David · 04.01.2009, 23:19

Das ist an der Stelle egal.
Ein Problem ergäbe sich ja nur, wenn (Web-)Benutzer den Inhalt von req.security_funcs.php ändern könnten.
Und dann hast Du ein größeren Problem als require oder nicht-require

echo · 04.01.2009, 23:54

Danke David.

Zitat:

Zitat von David

Ein Problem ergäbe sich ja nur, wenn (Web-)Benutzer den Inhalt von req.security_funcs.php ändern könnten.

ja, da muss ich aufpassen!

Aber mein $select_ar oder gar die gesamte WL_ob_sel($x)-Funktion ist, wenn ich da richtig durchblicke, nicht durch einen Angreifer via $_POST-Parameter-Mainipulation definierbar, da es durch meine Funktion ja schon vor der $_POST-Abfrage durch die kleine Funktion definiert wurde, oder?

David · 05.01.2009, 05:54

Ja, das Ändern des Inhalten von req.security_funcs.php würde (wenn) über eine andere Lücke entstehen. Und die wäre dann Dein Problem. Das require ist an der Stelle kein Problem.

nikosch · 05.01.2009, 17:24

Zitat:

Ist das ein Sicherheitsproblem, wenn ich eine Whitelist-Vailidierung von $_POST-Parametern durch eine Funktion, die über ein require-Script aufgerufen wird, durchführe oder sollte die Validierung lieber direkt im verarbeitenden Skript statt finden?

Ganz einfache Antwort: Nein, solange Du das korrekte Einbinden der Includedatei garantieren kannst (bzw. im gegenteiligen Fall das Script abbrichst). Gefährlich wirds, wenn man Dir bspw. durch eine Pfadmanipulation eine gefakte Validierungsfunktion unterschieben könnte.

Themen-Optionen
Druckbare Version zeigen Jemanden per E-Mail auf dieses Thema hinweisen
Thema bewerten
Thema bewerten:

04.01.2009, 23:00
echo Benutzer Registriert seit: 20.09.2008 Beiträge: 91 PHP-Kenntnisse: Anfänger	Whitelists und Verifikation Hallo, Manko10 hat mir eine tolle Buchempfehlung gegeben: PHP-Sicherheit Jetzt hab ich mich als Newbie - längst überfällig - endlich auch mal mit dem Thema PHP-Sicherheit beschäftigt. Zum Thema Whitelists eine Frage: Ist das ein Sicherheitsproblem, wenn ich eine Whitelist-Vailidierung von $_POST-Parametern durch eine Funktion, die über ein require-Script aufgerufen wird, durchführe oder sollte die Validierung lieber direkt im verarbeitenden Skript statt finden? Bsp. für eine Whitelist-Validierung eines <select>-Feldes aus einem Formular: Mein Sicherheitsscript: PHP-Code: `function WL_ob_sel($x) { $select_ar = array("bla", "bla2", "bla3") if (!in_array($x, $select_ar)) { @ session_destroy(); die ('<h1>Fehler!</h1> <p>Aus Sicherheitsgründen wurde die Anwendung beendet. Sie wurden ausgeloggt. Ihre IP</p> <h3>'.$_SERVER['SERVER_ADDR'].'</h3> <p>und Ihre letzte Aktion wurden gespeichert!</p> '); } }` Mein Anwendungsskript: PHP-Code: `require_once('req.security_funcs.php'); WL_ob_sel($_POST['select_feld']);`


Mister Ad PHP Code Flüsterer Registriert seit: 21.08.2005 Beiträge: 4682 PHP-Kenntnisse: Fortgeschritten

04.01.2009, 23:19
David Erfahrener Benutzer Registriert seit: 05.09.2007 Beiträge: 5.044	Das ist an der Stelle egal. Ein Problem ergäbe sich ja nur, wenn (Web-)Benutzer den Inhalt von req.security_funcs.php ändern könnten. Und dann hast Du ein größeren Problem als require oder nicht-require

05.01.2009, 05:54
David Erfahrener Benutzer Registriert seit: 05.09.2007 Beiträge: 5.044	Ja, das Ändern des Inhalten von req.security_funcs.php würde (wenn) über eine andere Lücke entstehen. Und die wäre dann Dein Problem. Das require ist an der Stelle kein Problem.