1

En mi pagina web quiero evitar estos tipos de ataques, necesito de su ayuda ya que no se como mitigar inyeciones de html u otras formas de cambiar el html para realizar peticiones por deajo.

Cabe destacar que el web service se creó con php y lo estoy consumiendo con angular js. ¿La seguridad debe ir del lado del servidor?

1 respuesta 1

1

La seguridad siempre debe de ir en la parte del servidor. Si también añades comprobaciones en la parte del cliente (Javascript) mejor, pero la del servidor es la importante.

Para evitar los XSS

Puedes utilizar la función htmlentities() o htmlspecialchars() cada vez que devuelvas un texto generado por el usuario (insertado por un usuario en alguna parte de la aplicación). Si el texto es generado por tí, y el usuario no lo puede cambiar obviamente no hace falta escaparlo.

También hay que tener en cuenta que no hace falta hacerlo en todos los campos. Si son numéricos o campos muy pequeños (<15 carácteres) no es necesario ya que no cabe un ataque.

Estas funciones lo que hacen es escapar los carácteres < y >, además de otros, que son los que pueden inyectar javascript en la web.

Para evitar el Cross-Site Request Forgery (CSRF)

En toda página que reciba parámetros (solamente por GET, ya que si recibe parámetros por POST tu script debería dar error porque le falta dicho parámetro) debes de comprobar el referer del navegador, y que este sea de dentro de tu web. En php el referer que envía el navegador se almacena en $_SERVER['HTTP_REFERER']

Sería tal como:

if( parse_url($_SERVER['HTTP_REFERER'], PHP_URL_HOST) != $_SERVER['HTTP_HOST']) die('Anti-CSRF');

NOTA IMPORTANTE
Con éste código estamos obligando a que el navegador envíe un referer si o sí. Por lo tanto sólo debe utilizarse en páginas a las que el navegador acceda desde otra página de nuestra web.
Obviamente no podemos colocarlo en la primera página a la que se accede a nuestra web (index.php o similar), ya que si el usuario a escrito la dirección a mano en la barra del navegador no se enviará referer ninguno y saltará el sistema.

2
  • Hey bro eres muy inteligente, puedo subir mi codigo a un github y tu me dices que me le falta en ese aspecto por que la verdad no sabria donde colocar el parse_url... Commented el 28 jun. 2017 a las 14:23
  • El parse_url se puede colocar al principio del php. Piensa que sólo deberá saltar cuando alguien intente acceder directamente a la página en cuestión sin venir de otra página de tu web. Eso sí, recuerda que sólo se debe de poner en ficheros PHP cuya página sea accedida desde otra página de tu sitio web. Queda fuera siempre como es normal, la página inicial de tu sitio web.
    – NetVicious
    Commented el 29 jun. 2017 a las 6:38

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.