-
ID:BBrs/z さんの質問

PHPファイルに関する質問です。

長らくHTMLでホームページを運営してきたのですが、外部ブログをサイト上に表示させるGoogle Feed API が終了してしまい、今更ではございますが、PHPファイルを用意してそこで外部ブログの情報を受け取ってから、個人のサイト上に表示させるということを試そうかなと思っています。

以下が、実行しようとしている方法です。
http://on-ze.com/archives/5062

ただ、上記の方法を行う上で、1点心配があります。

PHPファイルはセキュリティ的に危ないと、よく友人から聞くのですが、

例えばワードプレスの大事な情報が載っているPHPファイルは厳重に管理しないとまずいというのはすごく理解できるのですが、

外部ブログを読み込むためのPHPや、例えばお問い合わせフォームで使うようなPHPに、大きなリスクというものはあるのでしょうか。

パーミッションで守るくらいではだめなのでしょうか。

今までPHPを使うことに特に何も感じなかったのですが、ふと心配になり、質問致します。

どなた様か、どうか宜しくお願いいたします。

みんなの回答 6 件

ID:blxzRW さんの回答

お問い合わせフォームは大きなリスクあるぞ。フォームから悪意のあるデータを送信される可能性があるし、ログ保存してたらデータ流出の危機もある。
PHPファイルの実行とて同じ。PHPファイルはサーバ上で実行するわけだから、セキュリティ関係の対処をしていない場合は、サーバが攻撃される。サーバ上のファイルをすべて削除されたり、サーバから無差別にメール送信されたりな。(自分が加害者になる)

ID:Riv89r

> PHPファイルはサーバ上で実行するわけだから、セキュリティ関係の対処をしていない場合は、サーバが攻撃される。
php関係なくない?

ID:BBrs/z

お返事有難うございます。

なかなか難しいですね。。

もっともっと研究いたします<(_ _)>

ID:blxzRW

> ID:Riv89rpydQFZ
関係ある。PHPファイル側で正しくプログラミングしていないと、サーバが攻撃される。詳しくはググれ。

ID:Riv89r さんの回答

phpでhtml吐き出すだけなら大丈夫だと思いますけど、ログインとか問い合わせフォームはXSSやSQLインジェクション対策してないと、入力した情報が漏れる可能性がありますね。

ID:BBrs/z

お返事有難うございます。
とてもわかりやすく教えて頂き、感謝申し上げます。

www.php-factory.net/mail/01.phpのフォームを使っているのですが、htmlspecialcharsというもので最低限の対策は行ってくださっているみたいでした。

セキュリティは難しいですね。。

ID:NCYDwu さんの回答

回答がバガばっかりで笑うわこんなんwww

ID:U.lO1B

↑回答が誤字ばっかりで笑うわこんなんwww

ID:BBrs/z

お返事有難うございます。

さしつかえなければ、回答もぜひ頂けましたら幸甚に存じます。

ID:Ysrrd1

ガバガバじゃねーか

ID:CaAVia さんの回答

言葉は悪いがバカ回答ばかりってのはなんか解る(笑)。
PHPそのものは別にセキュリティに弱いという事はない。もしそうならYahoo!は使ってないよ。セキュリティに弱いプログラミングをするなって事。理解できないようなら手を出さないのが懸命だが、外部のRSSフィードを読むぐらいで何の不安があるのかはよく解からん。

ID:AQcOOp

↑バカ回答をバカにするバカwww

ID:BBrs/z

では、お問い合わせフォームもhtmlspecialcharsなどの対策を行っておれば、そこまで心配はなさそうでしょうか・・・?
初心者な質問ですみません。
ただ、どうしてもお問い合わせフォームくらいは必要でして。。

ID:CaAVia

フォームの仕様が解からんので何とも。その関数が何をしてくれて、結果どうなるか、しなかったら何がどうなるか、希望の仕様を実現するのに他に何が必要か、を判断できないなら手を出さない事。
ひとつおっさんが説教するが、「初心者なので」は言い訳にならない。技術者に必要なのは技術じゃなく、「必要な情報を自分で探し出す能力」なんだ。

ID:BBrs/z

おじ様、有難うございます。

ちょっと、いろいろと頑張ってみます<(_ _)>

ID:CaAVia

さんざん調べた結果解らなくて人に聞くのはいいけど、あまりにも初歩的だからね。これで仕事するのは危険だよ。

ID:blxzRW

>PHPそのものは別にセキュリティに弱いという事はない。
頼むからググれや・・。セキュリティ警告が毎年結構な割合で出てるだろ・・・

ID:CaAVia

逆に聞くが、完璧なセキュリティを誇る言語って何?

ID:9MWiob

コメ主アタマ固すぎでしょ。いかにも分かってそうなセリフ吐いてるのに、聞き返す質問のレベル低すぎ。

ID:ViMmwi さんの回答

とりあえずやってみたらいいよ
やんないとわかんないもんね

ID:DlWfaG

ホントそう。米Yahooでも攻撃されて何億ってアカウント情報抜かれてるし。考え過ぎはキリがない。

ID:jI8RNE さんの回答

友人がphp云々いってるのはallow_url_fopenの脆弱性、というか危険性のことじゃない?
RSS取得するぐらいならJavaScriptでやったらいいと思うよ(詳細はggrks)。
あとhtmlspecialcharsは正露丸じゃないんでセキュリティ関係は徳丸本読んで勉強してくださいな。

ID:HZu2Rm

jsはクロスドメインできるっけ?

ID:jI8RNE

できるよ

最終更新日:2017-04-10 (1,788 views)

関連するトピックス

ページ上部に戻る