Merhabalar, Her zaman ki gibi yeni bir sorum olacak :) Şimdi ben form alanımda Tinymce metin editrü kullanıyorum haliyle o alandaki post edilen veriyi html süzgeçinden geçirmiyorum geçirirsem metin editrü bir boka yaramıyor. Byle olunca dışarıdan post attılar mı html kodları ile siteyi hackleyebilirler diye düşündüm. dışarıdan gelen postu engellemek için token adında bir session oluşturdum gizli bir input içine yazdırdım gnderince session ile formdan gelen token verisi eşleşiyor ise işleme devam ettiriyorum eşleşmiyorsa hata verdiriyorum. Sizce bu yeterli mi? başka ne gibi yntemler kullanabilirim? $_SERVER ; ile referer kontrolü yapıp sadece izin verdiğin domainlerin post atmasına izin verebilirsin istediğin olur ama buda curl vb yntemlerle aşılabilir ZzZzZzZ...!

Tinymce ile <script> tagları gnderilmeyeceği için tavsiyem <script gibi tagları sildirmen. \ /

http://stackoverflow.com/a/31683058 Bu isini gorur muhtemelen Si vis pacem para bellum.

yahu adam ne sormuş siz ne cavaplar vermişsiniz. csrf tokenlar ıvırlar zıvırlar havalarda uçuşmuş. şimdi hocam ben sana şyle açıklayayım. TinyMCE'den veri alıp database'e kaydediyorsan ve sonra bunu biryerlerde ekrana basıyorsan 2 zafiyetin oluşma ihtimali var. SQL Injection XSS Gel gelelim bunlardan korunmaya. SQL Injection; PDO kullan. Yok ben PDO kullanmam mysql_ fonksiyonları kullanıyorum dersen; gelen veriyi "mysql_real_escape_string" fonsksiyonuna al ve o hali ile database'e kaydet. Sonra o veriyi bir yerde ekrana basacaksan db'den çektiğin halini "stripslashes" fonksiyonundan geçirip ekrana bas ki eğer mysql_real_escape_string tırnak gibi karakterlerin nüne ters slash koymuşsa onları düzeltsin diye. XSS; XSS için TinyMCE zaten birşey neriyor. o nerdiği şeyler şu sayfada mevcut: http://archive.tinymce.com/wiki. php/TinyMCE3x:Security Listedekilerden "zend filter input" geçerliliğini yitirdiğinden tavsiyem "htmlawed" kullanman. Ama istersen "HTMLPurifire" da kullanabilrisin. Karar senin.

Merhabalar, Her zaman ki gibi yeni bir sorum olacak :) Şimdi ben form alanımda Tinymce metin editrü kullanıyorum haliyle o alandaki post edilen veriyi html süzgeçinden geçirmiyorum geçirirsem metin editrü bir boka yaramıyor. Byle olunca dışarıdan post attılar mı html kodları ile siteyi hackleyebilirler diye düşündüm. dışarıdan gelen postu engellemek için token adında bir session oluşturdum gizli bir input içine yazdırdım gnderince session ile formdan gelen token verisi eşleşiyor ise işleme devam ettiriyorum eşleşmiyorsa hata verdiriyorum. Sizce bu yeterli mi? başka ne gibi yntemler kullanabilirim? Isi bilen adam hidden inputu da gonderir yaninda client tarafta oldugun icin bi halta yaramaz o :) Html icerisinden problemli olanlari temizlemen lazim her zaman. Script ve meta taglari vs. There are 10 types of people in the world. Those who knows binary and those who dont...

Hocam post ettiğin yer admin tarafı mı. Yoksa halka açık bir yer mi? Admin tarafı ise zaten en başta kullanıcı oturumu kontrol ettiğin için daha post edilmeden sessiona takılır o yüzden kafan rahat olsun. Halka açık bir yerde ise referer veya captcha en sağlıklı çzümdür. Matematikçi ve Yazılımcı. http://www.ontedi.com ve http://www.cizgi.site Siteme beklerim herkesi.

echo htmlbak('<textarea rows="500" cols="500" onmouseover="alert ;">mausu üzerine getir</textarea> '); @arkinfes; bu kodu çalıştırırsan sana cevap verecektir hocam. ayrıca buna gzatabilirsin: http://php.net/manual/en/function.htmlspecialchars. php..

arkinfes bunu yazdı Merhabalar, Her zaman ki gibi yeni bir sorum olacak :) Şimdi ben form alanımda Tinymce metin editrü kullanıyorum haliyle o alandaki post edilen veriyi html süzgeçinden geçirmiyorum geçirirsem metin editrü bir boka yaramıyor. Byle olunca dışarıdan post attılar mı html kodları ile siteyi hackleyebilirler diye düşündüm. dışarıdan gelen postu engellemek için token adında bir session oluşturdum gizli bir input içine yazdırdım gnderince session ile formdan gelen token verisi eşleşiyor ise işleme devam ettiriyorum eşleşmiyorsa hata verdiriyorum. Sizce bu yeterli mi? başka ne gibi yntemler kullanabilirim? Isi bilen adam hidden inputu da gonderir yaninda client tarafta oldugun icin bi halta yaramaz o :) Html icerisinden problemli olanlari temizlemen lazim her zaman. Script ve meta taglari vs. Hocam işte zararlı olan kodlar hangileri yardımcı olursanız fonksiyon ile süzeyim @SinusX bişey anlamadım hocam :S Do majr soylu ve açık szlü, Do minr patetik, Re majr parlak, Re minr melankolik, Mi bemol majr soylu ve patetik, aydinlik ama soylu ve karamsar tonmu lazim ozaman; mi majr, Mi minr doğanin ilk minr tonu olmasina karsin biraz melankoliktir, Fa majr karışıktır, Fa minr hepsinden patetiktir, Fa Diyez majr iste güçtür çünkü degiştirgeçlerle asiri yuklenmistir, Si majr parlak ve oyun bozannn :))

fiki bunu yazdı yahu adam ne sormuş siz ne cavaplar vermişsiniz. csrf tokenlar ıvırlar zıvırlar havalarda uçuşmuş. şimdi hocam ben sana şyle açıklayayım. TinyMCE'den veri alıp database'e kaydediyorsan ve sonra bunu biryerlerde ekrana basıyorsan 2 zafiyetin oluşma ihtimali var. SQL Injection XSS Gel gelelim bunlardan korunmaya. SQL Injection; PDO kullan. Yok ben PDO kullanmam mysql_ fonksiyonları kullanıyorum dersen; gelen veriyi "mysql_real_escape_string" fonsksiyonuna al ve o hali ile database'e kaydet. Sonra o veriyi bir yerde ekrana basacaksan db'den çektiğin halini "stripslashes" fonksiyonundan geçirip ekrana bas ki eğer mysql_real_escape_string tırnak gibi karakterlerin nüne ters slash koymuşsa onları düzeltsin diye. XSS; XSS için TinyMCE zaten birşey neriyor. o nerdiği şeyler şu sayfada mevcut: http://archive.tinymce.com/wiki. php/TinyMCE3x:Security Listedekilerden "zend filter input" geçerliliğini yitirdiğinden tavsiyem "htmlawed" kullanman. Ama istersen "HTMLPurifire" da kullanabilrisin. Karar senin. @fiki Hocam ilk ncelikle allah razı olsun :) zaten PDO kullanıyorum eskiden Mysql_ kullanırdım bu sefer ki projemde PDO ya geçtim ve biraz zorlandım en nemlisi Bind etmeyi falan hiç anlamadım direkt normal ekliyorum sisteme tabi nce yazdığım fonksiyonda geçiriyoum üstüne mysql_real_escape_string den geçiriyorum. Google captcha kullanmayı planlıyrorum o çzüm olur gibime geliyor. Sizden tek istediğim hangi kodları süzmem gerekiyor? sedece script yeterli mi? Bu fonksiyon yeterli mi?: function htmlbak Hayır hocam bu kod yeterli değil. Zira @lepusmorris hocamın rneğini verdiği gibi birçok xss e sebebiyet verecek yntem mevcut. <img src=x onerror=alert(2)> vs gibi. Xss için çzümü ilk yorumumda sylemiştim tekrarlayayım "Listedekilerden "zend filter input" geçerliliğini yitirdiğinden tavsiyem "htmlawed" kullanman. Ama istersen "HTMLPurifire" da kullanabilrisin. Karar senin.".

Php de amatrüm ama diyelim bir. php uzantılı dosyamızı admin isminde bir klasrün içine koyduk. Admin dizininede herkes erişemiyor olsun. Bu durumda bu. php uzantılı dosyamıza istek atılablir mi? Bu php de authentication olayını klasr bazlı yapıyoruz dimi yoksa farklımı yapıyoruz?

session'da aşılabilir hocam. sen mutlaka pdo kullan. kaydederken de strip_tags ile html kodlarını kontrolden geçirebilirsin. bylece metin editrünü de devre dışı bırakmamış olursun. tabiki bu da yeterli değil. bence bir fonksiyon oluşturup, zararlı olabileceğini düşündüğün bütün kodları içerisinde aratabilirsin. bunu da kendi ihtiyacına gre şekillendirmen gerekiyor. nasıl bir function kullanacağın da datayı nasıl ve nerde kullanacağına bağlı. ..

Htaccessden istisna tanımlamadıysan apache başka domainden veri girişini engeller zaten.

yahu adam ne sormuş siz ne cavaplar vermişsiniz. csrf tokenlar ıvırlar zıvırlar havalarda uçuşmuş. şimdi hocam ben sana şyle açıklayayım. TinyMCE'den veri alıp database'e kaydediyorsan ve sonra bunu biryerlerde ekrana basıyorsan 2 zafiyetin oluşma ihtimali var. SQL Injection XSS Gel gelelim bunlardan korunmaya. SQL Injection; PDO kullan. Yok ben PDO kullanmam mysql_ fonksiyonları kullanıyorum dersen; gelen veriyi "mysql_real_escape_string" fonsksiyonuna al ve o hali ile database'e kaydet. Sonra o veriyi bir yerde ekrana basacaksan db'den çektiğin halini "stripslashes" fonksiyonundan geçirip ekrana bas ki eğer mysql_real_escape_string tırnak gibi karakterlerin nüne ters slash koymuşsa onları düzeltsin diye. XSS; XSS için TinyMCE zaten birşey neriyor. o nerdiği şeyler şu sayfada mevcut: http://archive.tinymce.com/wiki. php/TinyMCE3x:Security Listedekilerden "zend filter input" geçerliliğini yitirdiğinden tavsiyem "htmlawed" kullanman. Ama istersen "HTMLPurifire" da kullanabilrisin. Karar senin. @fiki Hocam ilk ncelikle allah razı olsun :) zaten PDO kullanıyorum eskiden Mysql_ kullanırdım bu sefer ki projemde PDO ya geçtim ve biraz zorlandım en nemlisi Bind etmeyi falan hiç anlamadım direkt normal ekliyorum sisteme tabi nce yazdığım fonksiyonda geçiriyoum üstüne mysql_real_escape_string den geçiriyorum. Google captcha kullanmayı planlıyrorum o çzüm olur gibime geliyor. Sizden tek istediğim hangi kodları süzmem gerekiyor? sedece script yeterli mi? Bu fonksiyon yeterli mi?: function htmlbak arkinfes tarafından 26/Mar/17 14:42 tarihinde düzenlenmiştir Do majr soylu ve açık szlü, Do minr patetik, Re majr parlak, Re minr melankolik, Mi bemol majr soylu ve patetik, aydinlik ama soylu ve karamsar tonmu lazim ozaman; mi majr, Mi minr doğanin ilk minr tonu olmasina karsin biraz melankoliktir, Fa majr karışıktır, Fa minr hepsinden patetiktir, Fa Diyez majr iste güçtür çünkü degiştirgeçlerle asiri yuklenmistir, Si majr parlak ve oyun bozannn :))

beyler curl ile bir çok yntem aşılabiliyor. bana gre en sağlıklı yntem captcha. Google captcha kullanabilirsin. hidden token kolaylıkla okunabilir. Referer kontrolüde çzüm değil. veya filtreleme olayına girersin belli html taglarına izin verebilirsin. <p> <br> <img gibi SPY-CX5 tarafından 25/Mar/17 23:21 tarihinde düzenlenmiştir

Merhabalar, Her zaman ki gibi yeni bir sorum olacak :) Şimdi ben form alanımda Tinymce metin editrü kullanıyorum haliyle o alandaki post edilen veriyi html süzgeçinden geçirmiyorum geçirirsem metin editrü bir boka yaramıyor. Byle olunca dışarıdan post attılar mı html kodları ile siteyi hackleyebilirler diye düşündüm. dışarıdan gelen postu engellemek için token adında bir session oluşturdum gizli bir input içine yazdırdım gnderince session ile formdan gelen token verisi eşleşiyor ise işleme devam ettiriyorum eşleşmiyorsa hata verdiriyorum. Sizce bu yeterli mi? başka ne gibi yntemler kullanabilirim? Do majr soylu ve açık szlü, Do minr patetik, Re majr parlak, Re minr melankolik, Mi bemol majr soylu ve patetik, aydinlik ama soylu ve karamsar tonmu lazim ozaman; mi majr, Mi minr doğanin ilk minr tonu olmasina karsin biraz melankoliktir, Fa majr karışıktır, Fa minr hepsinden patetiktir, Fa Diyez majr iste güçtür çünkü degiştirgeçlerle asiri yuklenmistir, Si majr parlak ve oyun bozannn :))