Php kodlamada güvenlik
Pazartesi, Mayıs 4th, 2009
Arkadaşlar bir sitede PHP de alınması gereken güvenlik önlemleri ile ilgili bir makale okudum ve burada sizlerle paylaşmak istedim.
————–
Basit PHP Güvenliği:
PHP script’lerinizin güvenli olduÄŸundan emin olmanız için ilk olarak temel kuralları yerine getirmeniz gerekiyor: kullanıcı girdilerinin (input) filtrelenmesi ve çıktıların (output) kontrolü. EÄŸer bu ikisini doÄŸru olarak yapmıyorsanız script’leriniz her zaman güvenlik problemleri ile karşı karşıya olacaktır. Bu makale’de bu iki iÅŸlem ile ilgili yapılması gerekenler anlatılıyor.
Bütün Girileri Filtreleyin:
Script’leriniz harici bir kaynaktan girdi okuduÄŸunda, bu verinin tehlikeli olduÄŸu varsayılmalı ve güvenilmemelidir. Güvenilmemesi gereken deÄŸiÅŸkenlerden bazıları: $_POST, $_GET, $_REQUEST ve hatta pek mümkün görünmese de önemli veriler içerebilecek olan $_SERVER .
Tehlikeli bir deÄŸiÅŸkenden gelen veriyi iÅŸlemlere tabi tutmadan önce ilk olarak önce onaylanamanız ve filtrelemeniz gerekmektedir. Onaylama iÅŸlemi ile sadece sizin istediÄŸiniz verileri içerdiÄŸinden emin olabilirsiniz. ÖrneÄŸin bir eposta adresi bilgisi bekliyorsanız, onay fonksiyon’unuz girilen verinin doÄŸru bir eposta adresi olup olmadığını kontrol etmeli.
Hemen basit bir örnekle açıklayalım. Aşağıdaki kodda ilk olarak $_POST değişkeninden e-posta adresini alıyorum ve sonra veriyi onaylama işlemine sokuyorum:
<?php
$eposta = $_POST['eposta']; # Burada veri hala TEHLİKELİ durumda
// Validate e-mail
if (valid_eposta($eposta) == false) {
// Geçerli bir adres değil
die(‘Geçerli bir eposta adresi deÄŸil!’);
}
?> Verimiz daha güvenli olsa da iÅŸimiz daha bitmedi çünkü hala veriyi MySQL veritabanına yerleÅŸtirmek istiyoruz ve bu iÅŸlemden önce de bazı kontroller yapmamız gerekiyor. PHP tüm önemli karakterlerin escape edildiÄŸi mysql_real_escape_string() standart fonksiyon’unu sunar. DiÄŸer bir yöntem ise SQL sorgusunda veriyi her zaman kesme imleri arasına yerleÅŸtirin.
Önceki örneğimize devam edelim:
<?php
$eposta = $_POST['eposta']; # Burada veri hala TEHLİKELİ durumda
// Validate e-mail
if (valid_eposta($eposta) == false) {
// Geçerli bir adres değil
die(‘Geçerli bir eposta adresi deÄŸil!’);
}
// eposta’nın veritabanı için güvenli hale getirilmesi
$eposta = mysql_real_escape_string($eposta);
// Artık güvenli!
?> <?php
$t_eposta = $_POST['eposta']; #Â Tehlikeli
// Onay işlemi
$g_eposta = mysql_real_escape_string($d_eposta);
?> Çıktıların filtrelenmesi
Girdilerde olduğu gibi dışarıya sunulan tüm verilerin de (güvenli olarak filtreleyip veritabanına işlediğiniz verilerin dahi) filtrelenmesi gerekmektedir.
Filtrelenmesi gereken en önemli ÅŸey probleme yol açabilecek olan HTML tag’leridir. Bunu yapmanın en kolay yolu bütün HTML’i escape iÅŸlemine sokan htmlentities() fonksiyon’udur:
<?php
echo htmlentities($_GET['eposta']);
?> <?php
echo htmlentities($_GET['eposta'], ENT_QUOTES, ‘UTF-8′);
?> EÄŸer bütün HTML tag’lerini filtrelemek istemiyorsanız, bazı tag’lere izin vermek istiyorsanız strip_tags() fonksiyon’unu kullanabilirsiniz. Fakat bu, <script> tag’lerini filtreleseniz dahi Javascript ekleme açıklarına karşı bir güvenlik problemi içerebilir. ör ( <div onclick=”alert(’Hi!’);”> .
DiÄŸer bir yöntem de sadece sizin istediklerinizi filtrelemenize yarayacak kendi fonksiyon’unuzu yazmanız (veya internet’teki yüzlerce hazır fonksiyon’dan birini kullanmanız). Bu bazen en iyi yöntem olabilir fakat herhangi bir ÅŸeyi unutmanız durumunda güvenlik problemlerine yol açabilir.
Son olarak, çıktıyı filtrelemenin en iyi yolu, üç argümanı ile birlikte htmlentities() fonksiyonunun kullanımı fakat bununda iÅŸlevi sınırlı (ör: formatlama olmaması) kalabilir. Buna çözüm olarak verileri format’lamanızda kullanılabilecek olan kendi HTML kodunuzu yaratabilirsiniz. Kendi HTML kodunuzu yaratma ile ilgili olarak Create your own BBCode, using PHP dokümanına göz atabilirsiniz.
Sonuç :
Bu makalede PHP programlamının iki temel ilkesi olan girdi filtreleme ve çıktı filtreleme’den bahsettim. EÄŸer bu ikisini doÄŸru olarak yapabilirseniz çok güvenli bir PHP script’ine doÄŸru yola çıkmışsınız demektir.
VerdiÄŸim örnekler çok basit ve hantal. Escape iÅŸlemini otomatikleÅŸtirmeniz iyi olabilir. Bunun için iyi bir yöntem gerekli iÅŸlemleri yapan bir class veya fonksiyon’lar yazmanız.
PHP güvenliği ile ilgili daha fazla bilgiye ihtiyaç duyuyorsanız aşağıdaki sitelerine göz atabilirsiniz:
- PHP Security Consortium - Çok sayıda bilgi içeren mükemmel bir güvenlik rehberi. Mutlaka okunmalı.
- Essential PHP Security - Chris Shiflett’in Essential PHP Security kitabından bilgiler. Kitabın bir kaç bölümü ücretsiz
- Hardened PHP - Güvenlik bültenlerine yer veriliyor
——-
