emkacf / dogecoins-faucet Goto Github PK

Atakujący może odpowiednio zmanipulować wartość zmiennych $_POST i $_SERVER, aby wsadzić swój kod do zapytania SQL:

https://github.com/Emkacf/dogecoins-faucet/blob/master/src/send.php#L33
https://github.com/Emkacf/dogecoins-faucet/blob/master/src/send.php#L44

Tym samym, może dodawać własne rekordy, edytować czy też usuwać istniejące.

Proponuję do zapytań do bazki użyć biblioteki PDO i prepared statements – wtedy sql injection może wystąpić tylko na wskutek gapiostwa – MySQL sam nas zabezpiecza jeśli mu się powie, gdzie są newralgiczne punkty.

https://github.com/Emkacf/dogecoins-faucet/blob/master/src/includes/config.php

Ten plik jest w repo i ma domyślne wartości ustawień. Jeśli zostanie zedytowany na serwerze produkcyjnym lub lokalnie, to nastąpi konflikt.

Proponuję utworzyć drugi plik, który nie będzie w repo, a który będzie nadpisywał domyślne ustawienia „konkretnymi”.

https://github.com/Emkacf/dogecoins-faucet/blob/master/src/index.php#L103

Zmienna $doge ma wartość na podstawie przesłanego przez użytkownika parametru typu GET i jest wyświetlana w HTMLu.

Atakujący może spreparować linka, pod którego wejdzie użytkownik, a który będzie miał wartość parametru wstawiającą html/javascript działający w przeglądarce.