Какие шаги я должен предпринять, чтобы защитить свой сайт от внедрения скрипта?

Question

Привет всем

Будучи новичком в атаках javascript и всех других видах предотвращения и ухода за атаками, я хотел бы получить некоторую информацию о том, как сделать свой сайт более защищенным от атак.

Мы запускаем новый веб-сайт на арабском языке (utf8). На нашем веб-сайте есть поле ввода, которое берет строку поиска у пользователей и отображает эту строку с результатами. Также эта строка вставляется в нашу базу данных mysql для отслеживания того, что ищут люди.

То, что я сделал на бэкэнде, это поместил strip_tags, mysql_real_escape_string в строку поиска. Я попытался использовать функцию escape javascript для входной поисковой строки, но это полностью испортило арабский текст и не может использовать эту строку для поиска в бэкэнде или даже для отображения искомой строки во внешнем интерфейсе. Могу ли я сделать что-нибудь еще на переднем или заднем плане, чтобы сделать сайт более защищенным от атак?

Благодарю вас Имран

Answer 1

Я бы настоятельно рекомендовал не делать какие-либо побеги на стороне клиента.Вы не можете полагаться на тот факт, что экранирование действительно происходит, потому что злоумышленники могут модифицировать скрипт на своем конце, чтобы обойти экранирование, и потому, что старые браузеры (или браузеры с блокировщиками скриптов) могут в конечном итоге препятствовать запуску скрипта.Как правило, никогда не доверяют любым данным, которые поступают от клиента, даже если вы предприняли попытку очистить их на стороне клиента.

Что вы делаете наКонец сервера кажется благими намерениями.Без большего доступа к коду, я не думаю, что мы сможем подтвердить, что вы используете эти функции правильно, но вы по крайней мере на правильном пути для их использования.

Удачи на сайте,кстати!

Answer 2

Вы можете избежать проблемы, изменив дизайн.Оставьте поле ввода нетронутым и не возвращайте строку поиска в результате.

Для списка, который вы храните в своей БД, если вы не показываете его пользователю на веб-странице.нет риска для внедрения скрипта.