Medidas Preventivas:

1) Não confie em nenhum dado que seja enviado aos seus scripts, não importando se eles chegam por POST, GET ou Cookies.

2) Use e abuse das funções preg_match, ereg, strstr que podem ser usadas para detectar dados maliciosos.

3) É de grande importância executar as funções strip_tags e htmlentities já que elas neutralizam o código script malicioso fornecido pelo usuário, antes de apresentar quaisquer informações fornecidas pelos mesmos.

4) Quando for escrever seu codigo SQL sempre use '' em torno de informações fornecidas pelos usuários, com o objetivo de se proteger de SQL Injection.

5) Use e abuse do uso de casts (int) e (float) quando estiver esperando inteiros ou números de ponto flutuante, para se assegurar que o usuário está submetendo o que vc está esperando. Por exemplo:


O código acima garante que o usuário está enviando um inteiro.

Podemos resumir isso tudo em uma única frase - Nunca confie em dados vindos do usuário (sempre use a função htmlentities). Assim você estará evitando a maior parte dos ataques XSS.

Se você quiser saber mais sobre SQL Injection e XSS visite os links abaixo:

- http://www.usatoday.com/life/cyber/tech/2001-08-31-hotmail-security-side.htm
- http://www.perl.com/pub/a/2002/02/20/css.html
- http://www.cert.org/advisories/CA-2000-02.html
- http://www.cert.org/tech_tips/cgi_metacharacters.html
- http://eyeonsecurity.net/papers/passporthijack.html
- http://www.spidynamics.com/papers/SQLInjectionWhitePaper.pdf

Nós como programadores temos que entender a fundo estas táticas para que possamos combatê-las da forma mais eficaz, evitando assim que informações vitais de nossos clientes fiquem em risco.

Estou a disposição para qualquer dúvida. Enviem comentários abaixo!