Gente, seria mais seguro utilizar expressão regular para detectar a injeção? Nos formularios de Login.

Recentemente peguei um site para reconfigurar no servidor, e esse site estava com várias falhas na programação, inclusive tinha vírus. Porvavelmente eles virus foram gravados nos arquivos php em forma de iframes, que chamava uma página com virus, logo abaixo de uma include.


Alguém tem idéia de como fazer segurança nesse sentido? os arquivos incluidos não vem do GET
tipo

include("pasta/".$_GET['pagina']);


Usei expressões regulares para validar as variáveis vindas do GET e também usei expressões regulares para validar os Formularios.

Eu passei o controle pra duas funções e criei um base de dados com as sequencias e palavras reservadas do sql. Acho que poderia ser filtrado na tabela ainda. mas foi um passo pra aprimorarmos a nossa defesa.

Lauro, muito interessante essas 23 palavras adicionadas! Valeu.

incorporei estas 23 palavras no script e forcei a entrada para caixa baixa pra não ficar repetindo as mesmas palavras.

O script está funcionando perfeitamente a conforme forem surgindo mais palavras bastará criarmos novos arrays.

Eu tentei utilizar o sistema de guardar ID dos forms em sessions para verificação posterior mas comecei a ter problemas. Tive vários relatos de usuários que não conseguiam se logar ou se cadastrar pois por alguma razão, o ID do form não batia com o ID da session e o script fazia o die informando a tentativa de invasão, o que não era verdade. Teoricamente isso deveria funcionar sem problemas e seria uma segurança simples mas eficaz, já que os javascript não deixariam entrar codigos maliciosos nos forms, o usuario teria que salvar os forms e submetê-los offline.

Eu garimpando pelo google, encontrei 23 palavras utilizadas neste tipo de ataque e incorporei no script.

Gostaria de propor uma mudança nesse script:

if($txt){
if(validatxt(STRTOLOWER($txt))){
echo("caracteres ou palavra inválida");
}else{
echo("ok!");
}
}

Se o cara entrar com o comando SQL em MAIÚSCULO ele vai conseguir entrar.

Realmente eu tive um problema no mês passado e graças a Locaweb eu consegui restaurar a minha base de dados. Criei vários scripts de validação para barrar esse tipo de ataque e um deles foi colocar um script de validação em javascript nos forms de cadastros com um diferencial. Antes de montar o form, o sistema gera um número de ID randomico com 10 digitos e coloca como hidden e salva em session. Quando o form é submetido, essa chave e comparada e caso sejam diferentes, o script é imediatamente encerrado. Note que como o javascript vai brecar todo caractere inválido, o invasor teria que salvar a pagina do form, alterar e tentar fazer o submit off-line, assim o Id salvo em session na hora da geração do form jamais vai se repetir e portanto o form vai ser desconsiderado. Essa técnica também foi utilizada nos forms de login onde o javascript so aceita caracteres a..z e 0..9.

Valeu

Gosttei muito da contribuição.
Valeu!!