1

Quiero saber si mi aplicación web corre algún riesgo, ya que estoy haciendo que todas las verificaciones de "permisos" dependan del valor de su $_SESSION[];

En mi caso, uso: $_SESSION['username'], que contiene el nombre de usuario de la persona, y si por ejemplo, va a editar o eliminar algo, compruebo que sea de él mediante la comparación de este valor en la sesión y en la base de datos.

¿Está bien hecho? Un ejemplo de un caso donde uso esto para verificar si se puede editar o no, donde $user es $_SESSION['username'] y $urlID es un $_GET que contiene el ID único del objeto a editar, el cual está totalmente validado contra inyecciones.

$reg = mysqli_query($conn,
    "SELECT urlID, user FROM draws WHERE `urlID`='$urlID' AND `user`='$user'")

Si me devuelve algún resultado (urlID es un valor único que representa el objeto que se va a editar), la página de edición carga, si no, no.

3
  • 1
    El contenido de $_SESSION está accesible en el servidor. Si se tiene acceso al mismo o se puede insertar un código que se ejecute en el mismo... Lo más fácil es que nosotros mismos dejemos agujeros de seguridad sin querer, sobretodo si cargamos código de terceros. Conocer el nombres de usuario de un sistema determinado suele ser fácil. Para lo que planteas se suelen hacer validaciones dobles, por ejemplo nombre de usuario e ID del mismo, no exponiéndose esta a los usuarios del sistema. Es común también la validación con roles, para filtrar el acceso a los diversos recursos...
    – Orici
    Commented el 31 oct. 2018 a las 22:01
  • Entonces, si uso por ejemplo un $_SESSION['myID'] y $_SESSION['username'], y nadie sabe que uso esos, ¿Estaría bastante más seguro? En cuanto a los agujeros de seguridad, valido todos mis campos de formularios y $_GETs que tengo, y casi todas las librerías están en el servidor. Commented el 1 nov. 2018 a las 8:35
  • Eso es, mejor validar la ID y el nombre del usuario. Mira la respuesta de @Bryro, es el motivo para no crear como primer usuario al "admin" (yo no usaría admin como nombre de usuario). También se puede usar una lista blanca de URLs, etc. pero ya entramos en otros temas.
    – Orici
    Commented el 1 nov. 2018 a las 11:17

1 respuesta 1

1

Si no usas un filtro de php; Se puede enviar en get
' or 1=1 and user='admin';--
Esto devolvera true y el usuario admin se agregara al al $_session[] Para mas detalles consuta
Sql injection

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.