Varias formas de sanitizar datos de formulario
<?php
$htmlentities = htmlentities($name);
$addslashes = addslashes($username);
$onlywords = preg_replace("/\d/", "", $username);
$onlynumbers = preg_replace("/\D/", "", $username);
$email = filter_var($email, FILTER_SANITIZE_EMAIL);
$sanitize_int = filter_var($age, FILTER_SANITIZE_NUMBER_INT);
Vayaaaa!!! Se me hacía raro que estaban estos temas pendientes, la verdad que son temas muy importantes, además el profe es un crack y sabe explicar.
Hay varias maneras de sanitizar datos de formulario en PHP para evitar ataques de inyección de código y proteger la seguridad de la aplicación. A continuación, se presentan algunas opciones:
Utilizar la función htmlspecialchars(): esta función convierte caracteres especiales en entidades HTML, evitando así que se interpreten como código. Por ejemplo: $name = htmlspecialchars($_POST['name']);
Utilizar la función strip_tags(): esta función elimina todas las etiquetas HTML y PHP de una cadena, lo que impide que se ejecute código malicioso. Por ejemplo: $comment = strip_tags($_POST['comment']);
Utilizar la función intval(): esta función convierte una variable en un entero y elimina cualquier valor no numérico. Por ejemplo: **$id = intval($_POST['id']); **
Utilizar la función filter_var(): esta función permite filtrar una variable a través de diferentes tipos de filtros, como filtros de correo electrónico, URL o entero. Por ejemplo: $email = filter_var($_POST['email'], FILTER_SANITIZE_EMAIL);
Utilizar expresiones regulares: las expresiones regulares (regex) son una herramienta muy potente para validar y sanitizar datos de formulario. Por ejemplo, para permitir solo números y letras en un campo de texto, se puede utilizar la siguiente expresión regular: /^[a-zA-Z0-9]+$/
Es importante tener en cuenta que la sanitización de datos no es suficiente en sí misma para proteger la aplicación de ataques de inyección de código. También es necesario validar los datos de formulario para asegurarse de que cumplen con los requisitos de la aplicación y utilizar consultas preparadas y parámetros con marcadores para proteger las consultas a la base de datos.
La sanitización de datos en PHP es el proceso de limpiar y validar los datos de entrada para asegurarse de que sean seguros, confiables y adecuados para su procesamiento y almacenamiento. El objetivo principal de la sanitización es prevenir ataques y vulnerabilidades relacionados con la seguridad, como inyecciones de SQL, ataques de scripts entre sitios (XSS), entre otros.
La sanitización de datos implica aplicar diversas técnicas y filtros a los datos de entrada para asegurarse de que cumplan con ciertas reglas y estándares antes de ser utilizados en tu aplicación. Esto ayuda a evitar que los datos maliciosos o no válidos afecten la funcionalidad y seguridad de tu aplicación.
Algunas de las técnicas y métodos comunes de sanitización de datos en PHP son:
filter_var() y filter_input().Recuerda que la sanitización de datos es una parte esencial del desarrollo seguro de aplicaciones web. Dependiendo de las características de tu aplicación y los datos que manejas, es posible que necesites implementar diversas técnicas de sanitización para garantizar que tus datos sean seguros y confiables.
Escapar caracteres significa anteponer un carácter especial llamado "carácter de escape" a otro carácter o conjunto de caracteres dentro de una cadena de texto o en algún contexto específico en un lenguaje de programación. Este carácter de escape le indica al lenguaje que el carácter que sigue inmediatamente después debe ser tratado de manera literal y no en su función normal o especial.
A lo que vimos creo que se llama ataque XSS, el template engine twig lo soluciona pero tambien vimos como evitar SQL Injection
En php 8, tenemos algunos ejemplos para sanitizar:
Enteros:
filter_input(INPUT_POST, 'name_input', FILTER_SANITIZE_NUMBER_INT);
Textos:
filter_input(INPUT_POST, 'name_input', FILTER_SANITIZE_FULL_SPECIAL_CHARS);
Float:
filter_input(INPUT_POST, 'name_input', FILTER_SANITIZE_NUMBER_FLOAT);
Correo:
filter_input(INPUT_POST, 'name_input', FILTER_SANITIZE_EMAIL);
Yo he leido mucho sobre >Buenas Practicas de ciberSeguridad para Desarrollo Web SEGURO Prevenir Ataques de Injeccion de codigo Maligno { HTML , CSS , JSS injection } , SQL Injection , Command injection y todo mas aaun, desde el Lado del >Pentester \nAhora Yo lo veo desde Lado del Desarrollador para prevencion [ Blue Team ] y me ha Gustado mucho esta clase, RetMaster lo hizo muy bien explicandose Sanitizacion de inputs y formularios para prevenir que codigo corrupto llegue al ServerSide y es muy revelador y mas Facil de Prevenirlo que lo esperado gracias a Funciones como php_Filter_var() lo que elimina tags, ", ' $, { }: || && ( ) y regexp con un clasico \/ \n Yo lo veo ahora y me inspirado a ser mejor Desarrollador \nComo Leccion :: Nunca Confiar en los Usuarios \nLamentablemente hay que asumir lo Peor del >Usuario cundo se Programa / Desarrolla una Aplicacion Web \n Vivimos en un Mundo donde la Maldad esta en todos lados y debemos combatir 'Las Artes Oscuras de la Web ' \nLos Hacker nunca descanas y re reInventas nuevas tecnicas d'Ataques mas sofisiticadas todo los dias ; \nSiempre habra un Desarrollador Seguro y un Hacker Malgino que quiere vulnerar a la menor oportunidad que le demos en un sitio web No Seguro \n El Lado Oscuro de la tecnologia es grande y lucrativo tambien y debemos luchar contra ellos que usan sus conocimientos para el Mal['Shame'] .
echo "Nunca Pares d'Aprender\n";
Excelente explicación, gran curso. Me ha cambiado mucho la mentalidad de estudiar en Platzi y cada día quiero seguir aprendiendo más con este profesor.
Cuando el profesor realiza la sanitización del email, aquí en la documentación de PHP, se encuentran el listado de todos los filtros y que cosas pueden hacer, Filtros de saneamiento
Hola, una pregunta, a que se refiere con "ESCAPAR UN CARACTER"? en la documentación dice que es por motivos de seguridad que se utiliza esta función pero para evitar vulnerabilidades en la base de datos. La función no reemplaza el caracter que puede dar problemas, como la comilla simple o doble, entonces, exactamente en qué ayuda insertar backslashes en el formulario?
La necesidad de escapar caracteres surge cuando quieres representar ciertos caracteres especiales o evitar que ciertos caracteres sean interpretados de manera incorrecta en un contexto específico. Algunos de los casos más comunes de escapar caracteres incluyen:
Cadenas con comillas: En muchos lenguajes de programación, como PHP, JavaScript y otros, debes escapar comillas simples (') o comillas dobles (") dentro de una cadena si la cadena misma está delimitada por comillas del mismo tipo. Por ejemplo, en PHP:
$cadena = "Esto es un ejemplo de \\"cadena escapada\\".";
Esto asegura que las comillas dobles dentro de la cadena se traten como caracteres literales y no como el delimitador de la cadena.
Caracteres de control: Los caracteres de control, como saltos de línea (\n), retornos de carro (\r) o tabulaciones (\t), se pueden escapar para representarlos de manera explícita en una cadena en lugar de que sean interpretados como caracteres de formato.
Caracteres de escape: Si deseas representar el propio carácter de escape en una cadena, debes escaparlo. En muchos lenguajes, se utiliza \\ para representar una barra invertida literal.
Interpolación de variables: En algunos lenguajes, como PHP, para interpolar variables en una cadena delimitada por comillas dobles, debes escapar el signo de dólar ($) para evitar que se interprete como una variable. Por ejemplo:
$nombre = "Juan";
$saludo = "Hola, \\$nombre";
Esto produce la cadena "Hola, $nombre" en lugar de "Hola, Juan".
Evitar inyecciones de código: En contextos como la construcción de consultas SQL o la generación de HTML dinámico, es fundamental escapar caracteres especiales para prevenir ataques como la inyección de SQL o el cross-site scripting (XSS).
La escapada de caracteres es una práctica importante para garantizar la seguridad y la integridad de los datos, así como para controlar la interpretación de ciertos caracteres en diferentes contextos de programación.
htmlentities() es una función en PHP que se utiliza para convertir caracteres especiales y etiquetas HTML en entidades HTML. Su función principal es evitar problemas de seguridad y mejorar la seguridad al mostrar contenido en una página web. También puede utilizarse para asegurarse de que el contenido se muestre correctamente en navegadores cuando contiene caracteres que normalmente serían interpretados como etiquetas o entidades HTML.
Aquí hay un ejemplo de cómo usar htmlentities():
$texto = "<p>Este es un <strong>texto</strong> con caracteres especiales como & y <.</p>";
$texto_sanitizado = htmlentities($texto);
echo $texto_sanitizado;
En este ejemplo, la función htmlentities() se utiliza para convertir los caracteres especiales y las etiquetas HTML en entidades HTML. El resultado es que el contenido se mostrará como texto plano y no se interpretará como etiquetas HTML en el navegador. Esto es útil para evitar ataques de inyección de código y para garantizar que el contenido se muestre correctamente en la página web, especialmente cuando se trata de contenido generado por el usuario.
En resumen, htmlentities() se utiliza para convertir caracteres especiales y etiquetas HTML en entidades HTML, lo que mejora la seguridad y evita problemas de interpretación de contenido en páginas web.
addslashes() es una función en PHP que se utiliza para escapar caracteres especiales en una cadena de texto. Su propósito principal es preparar una cadena para su inserción segura en una consulta SQL o en algún otro contexto en el que se necesite evitar problemas de seguridad, como la inyección de SQL.
La función addslashes() agrega una barra invertida (\) delante de ciertos caracteres que pueden tener significados especiales en una consulta SQL. Estos caracteres incluyen comillas simples ('), comillas dobles ("), barras invertidas (\), entre otros.
La sintaxis básica de addslashes() es la siguiente:
string addslashes ( string $string )
$string: La cadena de texto que deseas escapar.Aquí tienes un ejemplo de cómo se usa addslashes() para escapar una cadena antes de usarla en una consulta SQL:
$usuario = "usuario";
$contrasena = "'; DROP TABLE usuarios; --";
$contrasenaEscapada = addslashes($contrasena);
$sql = "SELECT * FROM usuarios WHERE usuario='$usuario' AND contrasena='$contrasenaEscapada'";
En este ejemplo, $contrasena contiene una cadena potencialmente maliciosa que podría utilizarse para una inyección de SQL. Al usar addslashes(), se agrega una barra invertida antes de las comillas simples, convirtiendo la cadena en '\'; DROP TABLE usuarios; --'. Esto hace que la cadena sea segura para usar en una consulta SQL porque cualquier comilla simple dentro de la cadena se tratará como un carácter literal y no como el delimitador de la consulta.
Es importante destacar que, en aplicaciones modernas, se recomienda utilizar consultas preparadas y vinculación de parámetros en lugar de addslashes() para proteger contra la inyección de SQL, ya que es una técnica más segura y efectiva. Las consultas preparadas aseguran que los datos ingresados por el usuario no puedan alterar la estructura de la consulta SQL.
preg_replace() es una función en PHP que se utiliza para realizar sustituciones de patrones regulares en cadenas de texto. Su nombre proviene de "preg" que es una abreviatura de "Perl-Compatible Regular Expression", lo que significa que es compatible con expresiones regulares similares a las que se utilizan en el lenguaje de programación Perl.
La función preg_replace() se utiliza comúnmente para buscar un patrón específico en una cadena de texto y reemplazar todas las ocurrencias de ese patrón con otro texto o con el resultado de una función.
Aquí hay un ejemplo de cómo se utiliza preg_replace() para reemplazar todas las ocurrencias de una palabra en una cadena de texto:
$texto = "El perro marrón es un perro feliz. El dueño del perro también es feliz con su perro.";
$nuevoTexto = preg_replace('/perro/', 'gato', $texto);
echo $nuevoTexto;
En este ejemplo, preg_replace() busca todas las ocurrencias del patrón /perro/ (que es la palabra "perro") en la cadena $texto y las reemplaza por "gato". El resultado será:
El gato marrón es un gato feliz. El dueño del gato también es feliz con su gato.
preg_replace() es especialmente útil cuando se trabaja con cadenas de texto que siguen un patrón específico y se desea realizar modificaciones en esas cadenas de manera eficiente y flexible. Se utiliza en una variedad de casos, como la manipulación de contenido web, análisis de texto, procesamiento de datos y mucho más.
filter_var() es una función en PHP que se utiliza para validar y filtrar datos de entrada. Su principal propósito es ayudar a asegurar que los datos cumplan con ciertos criterios antes de ser utilizados en una aplicación. Esta función es especialmente útil para validar datos ingresados por usuarios y garantizar que se ajusten a formatos y tipos específicos, mejorando la seguridad y la integridad de la aplicación.
La función filter_var() se basa en el concepto de "filtros" que se aplican a los datos para verificar si cumplen con un conjunto de reglas específicas. Los filtros pueden validar datos como direcciones de correo electrónico, URLs, números enteros, direcciones IP, entre otros.
La sintaxis básica de filter_var() es la siguiente:
mixed filter_var ( mixed $variable , int $filter [, mixed $options ] )
$variable: La variable o valor que deseas validar.$filter: El filtro que se aplicará a los datos. Esto puede ser una de las constantes predefinidas que especifican el tipo de filtro a aplicar.$options (opcional): Un parámetro opcional que puede proporcionar opciones adicionales según el filtro seleccionado.Algunos ejemplos de uso de filter_var() incluyen:
Validación de direcciones de correo electrónico:
$email = "usuario@example.com";
if (filter_var($email, FILTER_VALIDATE_EMAIL)) {
echo "La dirección de correo electrónico es válida.";
} else {
echo "La dirección de correo electrónico no es válida.";
}
Validación de números enteros:
$numero = "123";
if (filter_var($numero, FILTER_VALIDATE_INT)) {
echo "El número es un entero válido.";
} else {
echo "El número no es un entero válido.";
}
Filtrado de datos HTML no seguros:
$input = "<script>alert('¡Hola!');</script>";
$filtro = filter_var($input, FILTER_SANITIZE_SPECIAL_CHARS);
echo $filtro; // Muestra el texto sin interpretar las etiquetas HTML.
Validación de direcciones IP:
$ip = "192.168.1.1";
if (filter_var($ip, FILTER_VALIDATE_IP)) {
echo "La dirección IP es válida.";
} else {
echo "La dirección IP no es válida.";
}
En resumen, filter_var() es una función en PHP que permite validar y filtrar datos de entrada de manera eficaz, lo que es esencial para garantizar la seguridad y la integridad de una aplicación web al procesar datos ingresados por usuarios o recibidos de otras fuentes.
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<meta http-equiv="X-UA-Compatible" content="ie=edge">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>Sanitizar datos de un formulario</title>
</head>
<body>
<!-- Formulario -->
<form action="server.php" method="post" enctype="multipart/form-data">
<!-- Input simple -->
<label><b>Datos usuario</b></label><br>
<label for="nombre">Nombre:</label>
<input type="text" name="nombre" id="nombre" placeholder="Nombre"><br>
<label for="apellido">Apellido:</label>
<input type="text" name="apellido" id="apellido" placeholder="Apellido"><br>
<label for="edad">Edad:</label>
<input type="number" name="edad" id="edad" placeholder="Edad"><br>
<label for="email">Email:</label>
<input type="email" name="correo" id="correo" placeholder="Correo"><br>
<!-- Reset -->
<input type="reset" value="Limpiar">
<!-- Envio -->
<button name="enviar" type="submit">Enviar</button>
</form>
</body>
</html>
<?php
// // Truco para debugear y ver lo que llega por POST
// echo "<pre>";
// var_dump($_POST); // Recupera la información que se envía por POST
// var_dump($_FILES); // Recupera la información que se envía por FILES
// echo "</pre>";
// Recuperar datos del formulario
$nombre = $_POST["nombre"];
$apellido = $_POST["apellido"];
$edad = $_POST["edad"];
$correo = $_POST["correo"];
// Algunas formas de sanitizar los datos del formulario
$nombre_sanitizado = htmlentities($nombre); // Esta función convierte caracteres especiales en entidades HTML, evitando así que se interpreten como código.
$apellido_sanitizado = addslashes($apellido); // Esta función agrega barras invertidas delante de los caracteres que necesitan ser escapados. Estos caracteres son la comilla simple ('), comilla doble ("), barra invertida (\) y NUL (el byte NULL).
$solo_palabras = preg_replace("/\d/", "", $nombre); // Esta función elimina los números del string.
$solo_numeros = preg_replace("/\D/", "", $nombre); // Esta función elimina las letras del string.
$correo_sanitizado = filter_var($correo, FILTER_SANITIZE_EMAIL); // Esta función filtra una variable con el filtro que se indique. En este caso, el filtro FILTER_SANITIZE_EMAIL elimina todos los caracteres excepto letras, dígitos y !#$%&'*+-/=?^_`{|}~@.[].
$int_sanitizado = filter_var($edad, FILTER_SANITIZE_NUMBER_INT); // Esta función filtra una variable con el filtro que se indique. En este caso, el filtro FILTER_SANITIZE_NUMBER_INT elimina todos los caracteres excepto dígitos y + -.
$float_sanitizado = filter_var($edad, FILTER_SANITIZE_NUMBER_FLOAT); // Esta función filtra una variable con el filtro que se indique. En este caso, el filtro FILTER_SANITIZE_NUMBER_FLOAT elimina todos los caracteres excepto dígitos, + - y los separadores decimales.
?>
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>Datos del usuario</title>
</head>
<body>
<h2>Datos del usuario sin sanitizar</h2>
<p>Nombre: <?php echo $nombre; ?></p>
<p>Apellido: <?php echo $apellido; ?></p>
<p>Edad: <?php echo $edad; ?></p>
<p>Correo: <?php echo $correo; ?></p>
<h2>Datos del usuario sanitizados</h2>
<p>Nombre: <?php echo $nombre_sanitizado; ?></p>
<p>Apellido: <?php echo $apellido_sanitizado; ?></p>
<p>Edad: <?php echo $int_sanitizado; ?></p>
<p>Correo: <?php echo $correo_sanitizado; ?></p>
<h2>Datos del usuario sin números</h2>
<p>Nombre: <?php echo $solo_palabras; ?></p>
<h2>Datos del usuario sin letras</h2>
<p>Nombre: <?php echo $solo_numeros; ?></p>
<h2>Datos del usuario numeros</h2>
<p>Edad: <?php echo $int_sanitizado; ?></p>
<p>Edad: <?php echo $float_sanitizado; ?></p>
</body>
</html>