[fx.php_list] Re: [OFF] "SQL injection may be possible" ?

  • From: Joel Shapiro <info@xxxxxxxxx>
  • To: fx.php_list@xxxxxxxxxxxxx
  • Date: Wed, 28 Mar 2018 10:18:16 -0700

Hi Richard

Thanks for the reply.  Please see my responses below:


On Mar 27, 2018, at 1:06 PM, Richard DeShong <richard@xxxxxxxxxxxxxx> wrote:

Hi Joel,

For best practice, use isset(), empty() and other tests to verify that you 
are getting everything that you should get (from $_POST or $_GET, and 
$_SESSION).  And then return an appropriate error if not.

[JOEL] : This page does first check the $_POST with isset() — as well as that 
the ‘submit’ value is what is expected — before proceeding to process the 
submission.


If their test is hitting your web server with a url using GET variables, and 
your php is expecting POST variables, then your form ($_POST) variables would 
be !isset().  This goes for $_SESSION var's that you are expecting to be set. 

[JOEL] : This seems to be the issue…  that the page checks for the appropriate 
POST submissions but does not check for any GET submissions, and it appears 
that by not checking for GET causes the warning in the penetration testing.


Verifying "what you got" should happen before any other processing.  
Certainly before you talk to the db.

[JOEL] : And it seems that the penetration testing wants the page to verify 
“what it got” via GET even though it neither expects nor acknowledges any GET 
input.  This is what I’m now trying to determine… How to acknowledge any 
unexpected input and deal with it sufficiently to not cause a Warning from 
testing.

Best,
-Joel





On 3/27/2018 12:15 PM, beverlyvoth wrote:
Reassurance = good. I have clients that have IT that read every error/event 
log. I still try to prevent.
Beverly
On Mar 27, 2018, at 1:52 PM, Joel Shapiro <info@xxxxxxxxx> wrote:

Thanks Richard

Yes, that was the first thing I told them.

Still, I wanted to see what's needed to pass the penetration testing 
without getting those warnings, since this is the first I’d run into it.  
(you know, best practices and whatnot ;-)

Thanks,
-Joel
_____________________________________________________________________
     FX.php Official Web Site -- http://fx.iviking.org/
FX.php Official Mailing List -- //www.freelists.org/list/fx.php_list
     (Subscribe, unsubscribe, and more at the mailing list site!)

                  FX.php_List@xxxxxxxxxxxxxxxx


-- 
Richard DeShong
Logic Tools
510-642-5123 office
925-285-1088 cell

_____________________________________________________________________
   FX.php Official Web Site -- http://fx.iviking.org/
FX.php Official Mailing List -- //www.freelists.org/list/fx.php_list
   (Subscribe, unsubscribe, and more at the mailing list site!)

                FX.php_List@xxxxxxxxxxxxxxxx


Other related posts:

  1. Home
  2. fx.php_list
  3. Archive
  4. 03-2018