Hola, tengo una página web en PHP que ataca a una base de datos MYSQL recuperando datos sensibles, es decir, datos personales de personas.
Esta página aún no está abierta públicamente, no hasta que le pase algún testeo, con testeo me refiero a sql inject, etc.
De este tema se poco, y es por eso el que pregunto aquí que testeo podría meterle a esta página para ver que es segura.
He utilizado funciones de PHP para mantener seguridad como el scape, etc.
Podríais guiarme un poquito?, gracias!
yo no tengo mucha idea, pero me imagiino que puedas pasarle algún escáner de vulnerabilidades como el SSS.
Yo he entendido que quiere que le digamos comandos o sentencias para atacar su web, para ver si es segura. Creo que esto no se puede pedir aquí...
No he entendido nada pero con poner en google "Escaner de vulnerabilidades PHP" tienes un monton de entradas relacionado con esto y con SW dedicado al analisis de XSS, SQL Inject, etc...
#1 Si la información es REALMENTE importante, en absoluto te sirve con lo que te han dicho más arriba.
- No utilices ni mysql_escape_real_string, ni strip_tags, ni addslashes ni porquerías. Utiliza PDO.
- Si el contenido de la BBDD no es HTML, pásale htmlentities() a cada output de texto.
- Controla perfectamente qué tipo de dato esperas Input/Output y qué obtienes.
- Regenera la ID de la sesión de cuando en cuando.
- No guardes información relevante en las cookies.
- Utiliza tokens en formularios para evitar ataques CSRF (entre otros, formularios ilegitimos).
- En la página de login, pon un CAPTCHA para evitar sacar las credenciales por fuerza bruta.
- Integra un certificado SSL para cifrar la información.
Entiendo que como no eres un banco, eso es lo básico que debes hacer. Si el tema es más gordo, hay mucho mucho más que se debe hacer.