¿Sirve este código para evitar XSS y SQLi?
Publicado por Damian (6 intervenciones) el 07/09/2018 19:12:09
Buenas
Estoy intentando hacer que mi página no sea vulnerable, y programé el siguiente código para evitar ataques XSS e inyecciones:
Si en la busqueda se detecta algún comando extraño, lo notifica y se vacía la variable .
La función "corregir" quita otros caracteres extraños (por ejemplo "<" y ">", "/" "\") y demás
Soy novato en cuanto a seguridad en aplicaciones web y si tienen algun consejo estaría muy pero muy agradecido.
PD: El código funciona, es decir, si intento insertar alguna de las cadenas que aclaré en el condicional aparece la alerta y no busca nada. Pero quiero saber si me falta algo. Desde ya muchas gracias
Estoy intentando hacer que mi página no sea vulnerable, y programé el siguiente código para evitar ataques XSS e inyecciones:
1
2
3
4
5
6
7
$busqueda = trim($_POST['busqueda']);
if((strpos($busqueda, '<script>') !== false) OR (strpos($busqueda, "<h1>") !== false) OR (strpos($busqueda, "OR '1'='1'") !== false) OR (strpos($busqueda, "OR '1' = '1'") !== false))
{ echo "<script>alert('se ha detectado un intento de XSS');</script>";$busqueda = "";
}$busqueda = corregir($busqueda);
Si en la busqueda se detecta algún comando extraño, lo notifica y se vacía la variable .
La función "corregir" quita otros caracteres extraños (por ejemplo "<" y ">", "/" "\") y demás
Soy novato en cuanto a seguridad en aplicaciones web y si tienen algun consejo estaría muy pero muy agradecido.
PD: El código funciona, es decir, si intento insertar alguna de las cadenas que aclaré en el condicional aparece la alerta y no busca nada. Pero quiero saber si me falta algo. Desde ya muchas gracias
Valora esta pregunta
0