1

estuve viendo mi sitio web y estaba viendo que tenia varios errores de seguridad al usar $_GET.

Mi problema es el siguiente, cuando cliqueo sobre un jugador me lleva a la ID que me muestra

Entonces -> la url seria

Como veran al hacer click en el player muestra la ID que se enviara

http://localhost/ffrank/player.php?id=1

introducir la descripción de la imagen aquí

Pero si le cambio el número del ID a uno que no esta en la base de datos por ejemplo

http://localhost/ffrank/player.php?id=4

Error al cambiar el ID por Get

Mi código PHP en donde se obtiene los datos por $_GET

<?php include_once "head.php" ?>
<?php  
    
    $id = filter_var($_GET['id'], FILTER_SANITIZE_NUMBER_INT);
    $query = "SELECT * FROM ct_datos WHERE idRegistro = ?;";
    $sentencia = $db_ffa->prepare("SELECT * FROM ct_datos WHERE idRegistro = ?;");
    $sentencia->execute([$id]);
    $player_ffa = $sentencia->fetch(PDO::FETCH_OBJ);

    $query2 = "SELECT * FROM csstats WHERE id = ?;";
    $sentencia2 = $db_ffa->prepare("SELECT * FROM csstats WHERE id = ?;");
    $sentencia2->execute([$id]);
    $player_csstats = $sentencia2->fetch(PDO::FETCH_OBJ);

    $query3 = "SELECT * FROM admins WHERE id = ?;";
    $sentencia3 = $db_ffa->prepare("SELECT * FROM admins WHERE id = ?;");
    $sentencia3->execute([$id]);
    $player_admin = $sentencia3->fetch(PDO::FETCH_OBJ);
    //print_r($player_ffa);

?>  

Me olvide de colocar como es el envio

<td><?php echo $datos_ffa->idRegistro ?></td>
<td><a href="player.php?id=<?php echo $datos_ffa->idRegistro ?>">
    <?php echo $datos_ffa->Personaje ?></a>
</td>
4
  • 2
    Tu código debería de utilizar empty e isset para validar el estado de la variable ya que ese error es por que si colocas uno que no existe (id) no tiene con que construir la consulta y por ende el resto del código de la consulta fallará
    – user128299
    el 7 jul. 2020 a las 22:59
  • Claro, al dejarlo en empy arroja error y si colo algún ID que no este dentro de las ID de la columna idRegistrado automaticamente arroja error
    – Joaqho C
    el 7 jul. 2020 a las 23:03
  • Entonces deberías verificar todos esos puntos en tu código
    – user128299
    el 7 jul. 2020 a las 23:06
  • Si, gracias por tu comentario, pero necesito un poco más de guía para ver como puedo hacerlo :).
    – Joaqho C
    el 7 jul. 2020 a las 23:16

2 respuestas 2

3

El problema de seguridad no es por usar $_GET, sino por la falta de validaciones:

  1. Primer error: Enviar salida HTML antes de las validaciones
  2. Segundo error: No estás validando que ID esté presente en $_GET y no sea igual o menor que cero
  3. Segunda validación: Que el ID exista en la base de datos
  4. Tercera validación: ¿Quién puede acceder a la página?
  5. Otro error: Abrir y cerrar etiquetas PHP
  6. Otro posible error: ¿Dónde inicializas sesión?
<?php
// Lo primero que se debe hacer es inicializar sesión
session_start();
// Aquí deberías incluir el archivo que estalece la conexión a base de datos
// Y no debe realizar salida HTML

// Obtener ID con asignación ternaria
// (Si existe en $_GET) ? entonces asignar : si no poner en cero
$id = (isset($_GET['id'])) ? filter_var($_GET['id'], FILTER_SANITIZE_NUMBER_INT) : 0;

// Validar que ID no sea menor o igual que cero
if($id <= 0) {
    // Puedes finalizar el script con un mensaje
    die('Usuario inválido');
    // O, mejor aún, redirigir a otra página (quitando la línea de arriba)
    header('Location: pagina-de-error.php');
    exit; // Fin del script
}
$sentencia = $db_ffa->prepare("SELECT * FROM ct_datos WHERE idRegistro = ?;");
$sentencia->execute([$id]);
// Validar que el usuario existe
if($sentencia->rowCount() != 1) {
    // No existe el usuario
    die('Usuario inválido');
}
$player_ffa = $sentencia->fetch(PDO::FETCH_OBJ);

$sentencia2 = $db_ffa->prepare("SELECT * FROM csstats WHERE id = ?;");
$sentencia2->execute([$id]);
$player_csstats = $sentencia2->fetch(PDO::FETCH_OBJ);

$sentencia3 = $db_ffa->prepare("SELECT * FROM admins WHERE id = ?;");
$sentencia3->execute([$id]);
$player_admin = $sentencia3->fetch(PDO::FETCH_OBJ);

// En este punto debes verificar si quien está ingresando puede ver la página
// Ya sea que se trate del mismo usuario o de un administrador
// De lo contrario, cualquiera puede ingresar

// Después de las validaciones, ya puedes iniciar la salida HTML
include_once "head.php"

Una duda: ¿Por qué haces 3 consultas, no hay forma de usar JOIN para leer todo en una sola? Como en todas usas el mismo filtro, puedo suponer que SÍ se puede hacer en una consulta, pero habría que ver la estructura de las tablas, por si hay nombres de campo repetidos.

Ya para terminar: ¿Necesitas realmente todos los campos de cada tabla?

2
  • Aunque no lo crea no es para sesiones, es una pagina para mostrar datos arenagames.pro aquí dejo la pagina para que la pueda verificar aun no he subido los últimos retoques.
    – Joaqho C
    el 7 jul. 2020 a las 23:36
  • Agradezco tu ayuda @Triby ya me salvaste la parte de seguridad !
    – Joaqho C
    el 7 jul. 2020 a las 23:36
0

hace mucho que no uso PHP pero primero antes de nada porque no usas un framework PHP como laravel? que es uno de los mas famosos , porque tu codigo aparte que no tiene ni una validacion de datos primero no tiene session_start() como tu sabes inicia una sesion para obtener los get

creates a session or resumes the current one based on a session identifier passed via a GET or POST request, or passed via a cookie.

session_start - Docs PHP in english

desde aqui deberias de tener problemas en tu codigo porque no inicias session_start por lo cual tu codigo no podria devolver un GET de manera correcta.

en la parte de:

    $query = "SELECT * FROM ct_datos WHERE idRegistro = ?;";

te sugiero que no crees una BD de esa manera, te recomiendo que uses algo como:

DataBaseJugadores

o algo similar en mi punto personal es mas limpio y evitas errores en el futuro.

porque no usas empty para validar si no existe un query sin datos porque literalmente puedes devolver un valor null en tu consulta que puede devolver un error , el empty se utiliza para validar si la query no esta vacia.

una pregunta? porque creas muchas query en el mismo archivo deberias de tener diferentes modulos/archivos para las secciones te lo recomiendo porque de esa manera sera mas facil mantener tu codigo para el futuro.

1
  • y igualmente porque no usas OOP si deseas usar PHP puro
    – simon
    el 7 jul. 2020 a las 23:32

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.