worst 브랜치에서 고쳐야 할 것들

item4 commented 8 years ago

[ ] mod_php가 꺼지는 등의 상황을 대비하기 위해 전체 소스를 public_html이 아닌 다른 곳에 보관 (#7)
[ ] config.php에서 설정값으로 상수 사용 (define)
[ ] register_global 기반의 변수 사용 철폐
[ ] register_global을 재현한다고 extract같은거 쓰지 말기
[ ] $HTTP_GET_VARS같은 옛날 변수 사용 철폐 ($_GET)
[ ] magic_quotes_gpc 의존 중단 (stripslashes)
[ ] DB용으로 addslashes 함수 사용하지 말기 (mysql_real_escape_string)
[ ] SQL Injection 막는다고 '나 --같은 값 입력하지 못하게 하지 않기 (#8)
[ ] mysql_ 함수 시리즈 사용 중단. PDO로 전환
[ ] XSS소지가 있는 출력부분 필터링 (strip_html / htmlspecialchars → filter_input)
[ ] 비밀번호를 생짜로 저장하는걸 변경
[ ] 비밀번호에 base64_encode(@lifthrasiir) md5같은거 쓰지 않기 (password_hash, password_verify, password_need_rehash)
[ ] email 패턴 검사 (filter_var)
[ ] 비밀번호 최대 길이 제한 제거 (#12)
[ ] 비밀번호에 사용 가능한 글자 제한 제거 (#12)
[ ] cookie 대신 session 사용 (session_start)
[ ] session_register 함수 사용하지 않기 ($_SESSION)
[ ] command injection 위험 제거와 더불어 정상적인 파일 목록 접근 (dir)
[ ] 숫자 파라메터 제한 ((int))
[ ] Directory Traversal Attack 대응 (basename, realpath)
[ ] 업로드 파일 필터링 (정규식으로 확장자 검사)
[ ] 정규식 사용시 ereg 시리즈 사용하지 않기 (preg_match)
[ ] 업로드 함수 변경 (copy → move_uploaded_file)
[ ] CSRF 토큰값 발급
[ ] 랜덤 토큰 값에 md5(time())같은거 쓰지 않기 (random_bytes)
[ ] include 대신 require 사용
[ ] 배열 첨자를 문자열로 하기
[ ] 특별한 이유가 없는 한 " "보다 ' '사용
[ ] 변수 비교에 ==, != 대신 ===, !== 사용 (#3)
[ ] 중복 가입 검사에 Exception 이용
[ ] <? 대신 <?php 사용
[ ] ?> 가급적 사용하지 않기
[ ] 비밀번호 찾기시 원본값 돌려주지 말기 (#9)
[ ] 비밀번호 찾기시 고정값 돌려주지 말기 (#9)
[ ] 비밀번호 찾기시 메일주소 앞자리 같은 유추 가능한 값 사용하지 말기 (#9)
[ ] 필요없이 정보를 노출하는 php 파일 삭제 (#10)
[ ] eval 사용하지 않기 (#11)
[ ] 필터링 없는 동적 include 사용하지 않기 (#5)

marnitto commented 8 years ago

동적 include도 때에 따라서 굉장히 위험한데, 이것도 추가하는 건 어떨까요?

ex.

$page = $_GET['p'];
include "pages/$page";

/?p=../../../../etc/passwd

item4 commented 7 years ago

@marnitto 상당히 뒷북이지만 #5 번 이슈로 다루겠습니다

item4 commented 7 years ago

이슈가 너무 길어서 쪼개야 할 것 같은데...

item4 / worst-php-code

worst 브랜치에서 고쳐야 할 것들 #4