Первостепенная защита сайта на PHP

Вы не туда идёте. Если у Вас кривая фильтрация входящих данных, тут уже htaccess не помощник.

blacks, как и Вы начал интересоваться вопросами безопасности изучая php. Рекомендую помимо статей и пару книг по веб-безопасности посмотреть, например

М. Низамутдинов "Тактика защиты и нападения на web-приложения", 2005

М. Фленов "PHP глазами хакера", 2005

Хоть 2005г, но много ценных рекомендаций по защите кода и примеров уязвимостей. Если кто сможет подсказать хорошую литературу посвежее буду признателен.

это будет происходить в любом случае. даже если его нет.

мало пользы, потому что можно используя пасхалки узнать что это пхп. И ваще еще по сотне других признаков - хотя бы проверить по айпишнику хостинг и узнать какие тарифные планы они предоставляют, и даже какая версия можно узнать.

лучше запретить их вызов без вашего ведома.

Короче все это конечно хорошо, но от дырок в скриптах не спасает.

Это случаем не известная книга из анекдота? Где первые три главы:

- Что такое PHP?

- Кто такие хакеры?

- Как стать хакером?

:D

По теме: обычно использую следующую защиту входных данных на сайтах...

foreach($_GET as $key => $val) {

    $$key = stripslashes(strip_tags(htmlspecialchars($val, ENT_QUOTES)));

}

foreach($_POST as $key => $val) {

    if (gettype ($val)!='array') {

      $$key = stripslashes(strip_tags(htmlspecialchars($val, ENT_QUOTES)));

    } else {

    foreach($val as $k => $v) {

      $$val[$k] = stripslashes(strip_tags(htmlspecialchars($v, ENT_QUOTES)));

    }

    $$key=$val;

  }

}

<?

$post_arr=implode('.',$_POST);

$get_arr=implode('.',$_GET);

$cook_arr=implode('.',$_COOKIE);

$post_arr_key=implode('.',@array_flip($_POST));

$get_arr_key=implode('.',@array_flip($_GET));

$cook_arr_key=implode('.',@array_flip($_COOKIE));

$other_shtuki=@file_get_contents('php://input');

$cracktrack = strtolower($post_arr.$get_arr.$cook_arr.$post_arr_key.$get_arr_key.$cook_arr_key.$other_shtuki);

$wormprotector = array('union','select','substring','/**/'); //тут дополни по своему вкусу кейворды SQL- и PHP-инжекторов

$checkworm = str_replace($wormprotector, '*', $cracktrack);

if ($cracktrack != $checkworm)

die("");

?>

(c)M4g

такой мудацкий метод что и придумать хуже наверное нельзя.

blacks, не все из этих параметров можно в .htaccess менять, это зависит от настроек хоста. Так что перед тем, как менять проверьте, сработает ли это на вашем хостинге.

Ещё бы тут не запутаться... :D

А вообще, Вам правильно говорят - безопасность в первую очередь зависит от Ваших скриптов, а потом уже от тех настроек, что выставил хостер.

не, это на самом деле самоучитель по PHP для начинающих с упором на безопасность.

Вы о том что загружается через формы на сайт?

Спасибо :)

Придется читать, читать... 🙅 - времени катастрофически не хватает

А если я с помощью htaccess сократил отображение/к-во информации в заголовке

И переписал модреврайтом php на html

- вы про администратора сервера?

- а если он их не закрыл/отключил?

- проверять вкл/выкл через php инфо?

Я с PHP не очень знаком 🙄

Как это применять?

вы про y4b53 ?

Как правильно проверить?