PHP는 안전하게 $ _GET 변환/$ _POST 배열

Question

내가 취약점에 대한 내 스크립트를 확인하고 있었고, 매우 불안하다 내가 과거에 수행하는 데 사용되는 방법을 충격을 받았다

:

foreach ($_GET as $key => $value){ 
    $$key = $value; 
} 

이하

extract($_GET); 

스크립트에서 사용 된 이름과 일치하도록 일부 POST/GET 변수를 방화 광으로 변경했습니다. 이름을 올바르게 추측 할 수 있다면 덮어 쓸 수 있습니다 ().

그래서 나는이 같은 이름 개별적으로 그것을 할 수 있다고 생각 : $ allowed_vars는 =

$allowed_vars = array("time","hotfile","netload","megaupload","user","pfda","xyz","sara","amount_needed"); 
    foreach ($_GET as $key => $value) 
     { 
      if (in_array($key,$allowed_vars)) 
       { 
        $$key = $value; 
       } 
     } 

이 방법은 개별적으로 명명 이상의 시간을 절약 할 수 있습니다.

어떤 종류의 자동화가이 용도로 사용해야합니까?

Answer 1

나는 어떤 종류의 자동문도 사용하지 않습니다.
요청 변수를 전역 변수에 자동으로 할당하는 일은 없습니다.
변수가 하나 또는 두 개이면 수동으로 처리 할 수 ​​있습니다.
더 많은 정보가 있으면 편리하게 처리 할 수 ​​있도록 배열 멤버로 유지해야합니다.

그러나 나는 당신과 비슷한 일종의 허용 목록 접근 방식을 사용하고 있습니다. 하지만 POST 데이터에서 전역 변수를 작성하지 않고 SQL 조회에 해당 데이터를 추가하십시오.

function dbSet($fields) { 
    $set=''; 
    foreach ($fields as $field) { 
    if (isset($_POST[$field])) { 
     $set.="`$field`='".mysql_real_escape_string($_POST[$field])."', "; 
    } 
    } 
    return substr($set, 0, -2); 
} 

$id  = intval($_POST['id']); 
$fields = explode(" ","name surname lastname address zip fax phone"); 
$query = "UPDATE $table SET ".dbSet($fields)." stamp=NOW() WHERE id=$id"; 

Answer 2

내 경험상 $_REQUEST 배열의 데이터를 $$을 사용하여 변수로 변환하면 현재 범위 내에있는 변수를 덮어 쓸 가능성이 있기 때문에 변형해서는 안됩니다.

대신 데이터를 필터링하고 필요한 명명 된 변수에만 액세스하는 요청 개체 또는 배열을 고려해야합니다. 이렇게하면 허용 된 변수 이름을 계속 확장 할 필요가 없으며 보안을 유지할 수 있습니다.

예제의 ZF는 요청 객체를 가지고 있으며,이 데이터를 작업 할 때 그들이 입력 필터를 사용하는 것이 좋습니다 : http://framework.zend.com/manual/en/zend.filter.input.html

Answer 3

당신은보다 안전한 방법으로 추출 기능을 사용할 수 있습니다 :

extract($_REQUEST, EXTR_SKIP); 

이것은 코드에 이미있는 변수를 덮어 쓰지 않습니다. 사용할 수있는 다른 매개 변수에 대해서는 here을 참조하십시오.

Answer 4

조정하지 않고 더 많은 시간을 절약 할 수 있습니다. 그냥 $ _GET 배열에서 사용하십시오. 이 기능의 장점은 스크립트 변수와의 충돌을 피하는 것이 아니라 요청 매개 변수를 추가 할 때 "자동"을 업데이트 할 필요가 없다는 것입니다.

나는 폼으로, POST 데이터로 작업하고, 나는 종종 각 명시 적으로 처리 :이 방법으로

$data = array(); 
$data['field1'] = someSaniFunction($_POST['field1']); 
$data['field2'] = someOtherFunction($_POST['field2']); 
... 

내가 각 필드가 제대로 처리되었는지 확인하고 내가 기대 필드 만이 감동을 .