PHP y HTML5 como protegerse xd

[Hinami]

Buenas estoy haciendo una página web con php html y css + mysql

Y pues tengo duda de que y como debo proteger mi página, es decir trabajo con una base de datos y para las inyecciones use escape_string de mysqli, y me gustaría saberYaprender de que cosas me debo proteger y como.

pregunto porque vi que destro inyectaba código al foro entonces me dio curiosidad saber.

Gracias por leer el tema.

[LuKks]

http://php.net/manual/es/mysqli.quicksta...ements.php
https://amxmodx-es.com/Thread-GUIA-MySQL...preparadas

Todavía quedaría investigar sobre CSRF, XSS y DDoS al menos.

[Hinami]

y en XSS yo guarde un código de destro, pero como se donde se puede insertar? ( osea que etiquetas se deben proteger? )

porque trate de insertarlo en un comentario <p>code...</p> y no anduvo

Pero si lo inserto en un IMG o A ahí si funciona porque carga la url guardada
quedo así
<a href="code..."></a>

a nada ya leí un poco más y si logre insertar más scripts xd

[OsweRRR]

remplaza los <> por &alt; algo así o también existe unas funciones en php strip_tags/htmlspecialchars con eso puedes evitar el XSS, hablando del tema voy corriendo a fixear unos detalles

[Hinami]

remplaza los <> por &alt; algo así o también existe unas funciones en php strip_tags/htmlspecialchars con eso puedes evitar el XSS, hablando del tema voy corriendo a fixear unos detalles

si ya había visto eso de strip_tags/htmlspecialchars gracias a lukks
&alt; es para proteger o atacar? xd ahora que leo bien xd

[totopizza]

remplaza los <> por &alt; algo así o también existe unas funciones en php strip_tags/htmlspecialchars con eso puedes evitar el XSS, hablando del tema voy corriendo a fixear unos detalles

si ya había visto eso de strip_tags/htmlspecialchars gracias a lukks
&alt; es para proteger o atacar? xd ahora que leo bien xd

&lt; para <
&gt; para >
&nbps; espacio
&ntilde; ñ
&Ntilde; Ñ

$ = vocal xd (a, e, i, o, u)
&$acute;
ejemplo:
&aacute; = á
&Uacute; = Ú

&copy; es ©
Si o si debe llevar el & al incio y ; al final.

https://ascii.cl/htmlcodes.htm

[Niper.-.]

Lo que hizo Destro es XSS [Demostracion]
Básicamente para evitar esto, podes usar $_POST en vez de $_GET y ocultar el "?Get=exploit."

[Hinami]

Lo que hizo Destro es XSS [Demostracion]
Básicamente para evitar esto, podes usar $_POST en vez de $_GET y ocultar el "?Get=exploit."

a muchas gracias, eso si no lo sabía!
aunque no capte esto 'Get=exploit'

remplaza los <> por &alt; algo así o también existe unas funciones en php strip_tags/htmlspecialchars con eso puedes evitar el XSS, hablando del tema voy corriendo a fixear unos detalles

si ya había visto eso de strip_tags/htmlspecialchars gracias a lukks
&alt; es para proteger o atacar? xd ahora que leo bien xd

&lt; para <
&gt; para >
&nbps; espacio
&ntilde; ñ
&Ntilde; Ñ

$ = vocal xd (a, e, i, o, u)
&$acute;
ejemplo:
&aacute; = á
&Uacute; = Ú

&copy; es ©
Si o si debe llevar el & al incio y ; al final.

https://ascii.cl/htmlcodes.htm

eso es si no uso 'strip_tags/htmlspecialchars' ?

[totopizza]

Lo que hizo Destro es XSS [Demostracion]
Básicamente para evitar esto, podes usar $_POST en vez de $_GET y ocultar el "?Get=exploit."

a muchas gracias, eso si no lo sabía!
aunque no capte esto 'Get=exploit'

remplaza los <> por &alt; algo así o también existe unas funciones en php strip_tags/htmlspecialchars con eso puedes evitar el XSS, hablando del tema voy corriendo a fixear unos detalles

si ya había visto eso de strip_tags/htmlspecialchars gracias a lukks
&alt; es para proteger o atacar? xd ahora que leo bien xd

&lt; para <
&gt; para >
&nbps; espacio
&ntilde; ñ
&Ntilde; Ñ

$ = vocal xd (a, e, i, o, u)
&$acute;
ejemplo:
&aacute; = á
&Uacute; = Ú

&copy; es ©
Si o si debe llevar el & al incio y ; al final.

https://ascii.cl/htmlcodes.htm

eso es si no uso 'strip_tags/htmlspecialchars' ?

Sí, pero de igual forma, utiliza esas funciones, son mas seguras.

Y también para HTML, porque a veces las tildes no salen entonces tu solamente colocas: Verificaci&oacute;n

[Niper.-.]

lo de Get es igual a exploit es por esto. Te hago un ejemplo:

Código PHP:

//Ejemplo, un plugin de sXeBans, en el cual pones el nombre, te da como resultado el baneado con su información. 
$_GET['sXeBan']; //Code de PHP usando GET.
//En nuestra url de la pagina sería..
//www.example.com?sXeBan=PEPE; 
//Entonces, PEPE es un ya "baneado" del servidor y con ese url, tendríamos la información de su ban. Ahora, aplicando el exploit..
//www.example.com?sXeBan=(<script>alert("Exploit")</script>); //Ejecutamos XSS 


$_POST (Como se usa)
$_GET (Como se usa)

[Neeeeeeeeeel.-]

Investigá sobre DDoS sobre capa 7 también.