Filterung von Benutzereingaben mit PHP
PHP hatte früher selbst einmal einen pauschalen Ansatz verfolgt, die Magic Quotes. Magic Quotes ist ein Prozess, der eingehende Daten automatisch an das PHP-Skript weiterleitet und mit „magischen“ Anführungszeichen Steuerungszeichen markiert. Diese Funktion ist inzwischen von PHP als veraltet markiert und wird in zukünftigen Versionen entfernt werden.
Allgemein sind Filterungen nie ein guter Weg, da hier eine Liste mit nicht erlaubten Zeichen durchgegangen und überprüft wird, ob diese in einem zu untersuchenden String vorhanden sind. Hierbei ist das Problem, dass vielleicht nicht alle Zeichenkombinationen beachtet wurden und jede Art der Verarbeitung unterschiedlicher Zeichen erlaubt oder verbietet wurde.
Um einen Angriff durch bösartigen Code zu vermeiden, sollten stattdessen alle Daten aus externen Quellen durch die dafür passenden Funktionen verarbeitet werden. Dadurch erfolgt eine Überprüfung gemäß der Syntax der entsprechenden Sprache. Wenn beispielsweise ein String in eine MySQL Abfrage eingebunden wird, müssen die Zeichen mit der dafür von MySQL bereitgestellten Funktion mysqli_real_escape_string verarbeitet werden. Oder wenn eine andere Datenbank verwendet wird, dann mit der jeweils dafür vorgesehenen Funktion.
Ein weiteres Beispiel ist die Verarbeitung von HTML in PHP. Wenn ein String in HTML einbettet wird, müssen diese Zeichen mit der PHP-Funktion htmlspecialchars verarbeitet werden. Das bedeutet eigentlich, dass jeder einzelne echo oder print Befehl htmlspecialchars verwendet werden muss. Das nächste Beispiel ist die Verarbeitung von Benutzerdaten bei Shell-Befehlen. Wenn hier ein externer String bzw. ein Argument in einem Befehl eingebettet und mit exec aufrufen wird, dann müssen die Eingaben mit escapeshellcmd und escapeshellarg verarbeitet werden.
Diese Systematik kann für alle anderen Verarbeitungsmethoden weitergesponnen werden. Wichtig ist auch daran zu denken, dass dieses Thema nicht nur für Benutzereingaben relevant ist, sondern für jede Art von externen Daten. Dazu zählen zum Beispiel auch API Aufrufe, Texterkennung, Barcodescanner und so weiter. Jede Verarbeitung von externen Daten muss also entsprechend abgesichert werden.
