вот мой сайт имеет такой вид:

сайт обращается к бд bd_risunki. В ней только одна таблица - list. В таблице 3 поля: id, pole1, pole2.

Переменные передаются методом GET. Вопрос - я вот организовал вроде фильтрацию символов. Правильно ли я ее организовал?
Еще вопрос - какие рекомендации будут еще по защите этого сайта?
Благодарен за любые рекомендации.

Это сообщение отредактировал(а) Teleport - 25.9.2008, 15:49

Да тут враг не пройдёт...
Тут же нужная страница выбирается с помощью switch($_GET['pshow']) case...
Даже если кто-то введёт в $_GET['pshow'] что-то гадкое, то оно все равно не совпадёт ни с одним из case.

Тут и защищать то нечего пока...
Тов. Teleport наврядли сможет объяснить зачем тут ему код: 

2 teroni  - я новичек. Выполняю сайт на заказ для фирмы. проблем с выполнением сайта под их требования вроде нету. Но вот защитить охота этот сайт...  Получается моя фильтрация лишняя?

Добавлено через 3 минуты и 59 секунд
2 source777  - данный код я взял отсюда защита.
Это рассматривалось для $_POST. Но говорилось, что для $_GET тоже можно использовать. Что делает этот код я знаю. 

Ну так я так и понял, что это бездумный Copy-Paste, а вот тебе надо подумать зачем оно тут тебе? Что измениться, если этот код убрать?

2 source777 - продуманный или бездумный  - тебе это точно не видно   
Я могу думать не совсем правильно - вот это верно. А бездумно я не делаю. Прошу иметь это ввиду.
Вопрос в том, что я не знаю, как можно ломануть мой сайт. Поэтому и ищу разную инфу по инету по защите сайта. 
Вот в строку броузера  можно вводить символы, а символы могут представлять опасность, значит их надо фильтровать... Вот так я и думал.  В чем же моя ошибка? Укажи, пожалуйста 

Тогда ответь на поставленный вопрос: Что изменится, если этот код убрать?


Если не знаешь, то либо ломать нечего, либо не сможешь защититься, третьего не дано.

нужно знать всего две функции:

1. при организации запросов к БД вставлять пришедшие переменные в функции mysql_real_escape_string($x);
$sql = 'select * from table where id='.mysql_real_escape_string($_GET['id']);

2. при выводе данных в браузер htmlspecialchars(); чтобы не проскочили всякие тэги
echo htmlspecialchars($perem);

ну и где явно должно быть int для ввода в базу

2 source777 я считаю, что этот код просто защищает от интерпритации опасных символов. Если его убрать, то защиты не будет. Я так думаю. 

Так я и не спорю. Вот я и пытаюсь защититься. Если эта защита неправильна, то ведь можно просто пояснить. А не вопросом на вопрос... :(

Добавлено через 4 минуты и 40 секунд
2 bars80080 - да, читал неоднократно. я вроде так и сделала на своем сайте - 


2 americanets - а твой ответ я вообще не понял...

более менее внятный ответ дал bars80080. Но правильно ли я применяю эти функции?

Это сообщение отредактировал(а) Teleport - 25.9.2008, 18:49

Это неправильно. В данном конкретном случае он просто бесполезен и если его убрать - то ничего не поменяется.

teroni - ясно. Спасибо. 
А, например, защитить от дефейса? У меня на главной страничке много рисунков... А не просто надпись ведь - Главная страница.
Вообще какими спсобами можно навредить данному сайту? Хотя бы основные укажите? От чего следует защищаться?
У меня уже складывается впечатление, что я написал просто невзламываемый сайт....



Это сообщение отредактировал(а) Teleport - 25.9.2008, 19:35

 stripslashes - функция для уборки лишних слэшей, при выемке данных из БД, причём только в том члучае, если при внесении данных была применена функция addslashes. при чтении приходящих переменных - она только навредит. (к примеру, пользователь в текстовом поле упомянул ссылку http:// , а ты не собираешься заносить данные в БД, а решишь их вывести в браузер - тогда она будет жёстко урезана. в случае обратной ситуации, лишним оказывается htmlspecialchars)

нужно последовательно работать с данными. при внесении данных - только mysql_real_escape_string,
при выдаче в браузер - только htmlspecialchars
и проблем не будет

Только что проверил:

выводит без изменений