PHPのセキュリティ対策について教えてください。

Question

以下のようにIDをGETで渡して該当ページを表示させる場合ですが、
http://***/page.php?id=112

・IDが存在しない場合は404ページを返す
・IDの値を数値か否か確認し、数値でなければ404ページを返す
以外に、考えられる対策はありますでしょうか？

IDの値を細工されると、DBを操作される可能性があるとのお話しで、少し心配になりました。
PHPは5.1.6です。

該当ページ「page.php?id=112」の内容は、DBに書き込まれた情報を表示するのみです。

お手数ですが、宜しくお願いいたします。

Answer 1

IPA 安全なwebサイトの作り方
にとてもよくまとまっているので一通り読んでチェックされることをお勧めします。

ご質問のへの回答としては、
入力時のバリデーションとしてはその通りでいいのですが、

原理的にSQLインジェクション（入力値によるDBの不正な操作）を防ぐには
SQL実行時に
・プリぺアードステートメントによって変数をバインドし、原理的にSQLインジェクションが発生しないようにする
それが出来ない場合
・mysql_real_escape_stringもしくはmysqli_real_escape_stringで変数をエスケープしてからSQLに組み込み、必要に応じてさらにシングルクオートで囲む
のどちらかが必要です。

また、PHPが古すぎてセキュリティ上大きな問題になるので（OSによってはバックポートされてるかも）
参考URLご確認の上、出来る限り最新の状態にされることをお勧めします。

Comments

[退会済みユーザー]

ありがとうございます。
大変参考になります。

[tanat]

OSについての記述がありませんでしたが、
PHPでどんなに頑張ってもOSに脆弱性があるとどうにもならないので、
こちらも出来る限り最新にアップデートされることをお勧めします。

[退会済みユーザー]

ありがとうございます。調べてみます。

Answer 2

GETでパラメータをもらって、DBへアクセスする際に最も注意すべきは、SQLインジェクションへの対策だと思います
とりあえず、IPAの以下のドキュメントを一読してはいかがでしょうか？

SQLインジェクション対策について

Comments

[退会済みユーザー]

ありがとうございます。

Answer 3

予想外の値を入れられてエラー内容を表示させないように

.htaccess に
php_flag display_errors Off
を記載してエラー内容を表示しないようにする。

簡単な対策の一つとしてこういったものがあります。

Comments

[退会済みユーザー]

ありがとうございます。
これは出来ています。