Мои предложения

1)Прежде всего нужно проверять вводимые юзером данные и чистить их от html, могу посоветовать вместо $data = htmlspecialchars(stripslashes($data)) использовать $data = htmlentities(stripslashes($data)). Отличие htmlentities от htmlspecialchars состоит в том, что она преобразует ВСЕ сииволы для которых есть html аналоги. Обрезать строки и проверять тип данных в них.
2)Нужно перед обработкой проверить откуда пришли данные и сравнить с адресом серва
3)Обеспечить безопасность файловой системы проверкой валидности имен файлов. Если, конечно,
такие функции имеются
4)Хешировать пароли юзеров! Любым алгоритмом (DES, md5...)
5)Как можно меньше инфы передавать через POST и GET(особенно важной). Использовать сессии, cookies. Сносить сессии по завершению скрипта(Защита от кражи сессионного идентификатора)
6)Всеми возможными способами избежать попадания сообщений об ошибках от интерпритатора в browser
Это лишь малая, но на мой взгляд необходимая последовательность.
P.S. Без базы данных mySQL. Там совсем другая история.

Так по подробнее со 2 пункта пожалуйста.
Может тут где нить на сайте откроем школу программиста PHP+files и PHP+MySQL???
А? Кто чем может тот если не жалко пусть делится.
Нам beginner`ам будет и приятно и полезно.

Хотелось бы увидеть примеры защит и обсудить их приимущества по сравнению друг с другом.

ice-w-ind, 5 вопрос слишком буквально могут писать... и все начнут что ни поподя пихать в сессии что тоже неверно...

djibo, конечно я имел ввиду действительно важные данные! Такие как UIN пользователя + "флажок" входа в систему данные самого пользователя и тд. Разумеется просто дико пихать данные из форм и все остальное в сессии или cookie

Ну попорядку так по порядку Тока не все сразу. Начнем со второго пункта

Код:

не так быстро плиз, я записываю
И все так просто???
надо в заметки? ctrl+c ctrl+v.
Теперь вопрос.
Когда я локально администрю сайт и тестю всякую хрень на нем. я в адресе пишу такую хрень : http://armageddon/board/index.php то что ты предложил меня деморализует этим : Haker? :) - а как обойти? через II

Код:

WR, что значит примеры защит? Ты говоришь, так, как-будто это какаято вакцина одна "защита" на все скрипты. КАЖДЫЙ СКРИПТ ИНДЕВИДУАЛЕН. И нужно к каждому подбирать свою защиту.
ps например в форуме есть код "защит"(так называемых). Которые вообще не понадобятся.
ice-w-ind, здесь ты говоришь о "защите". Так что-же ты не сделал нормальную "защиту"(ткнз) для скрипта on-line?

Carl_F, да я даже не думал что его будут ломать. Да и не скрипт это, а 10 мин. работы. Я же предупредил. А насчет индивидуальности, ты прав, конечно, но есть несколько основных, не зависящих от конкретного скрипта шаблонов для xss атак.

Ясно. ОК. Только без обид .

Да ладно. Какие там обиды. Наоборот хорошо что ты его проверил!

Ребята, не знаю, по теме ли... У меня каждый день в гостевой wr появляются сообщения (в день от 10 до тридцати сразу) с указанием ссылок на сайты, то есть чистый "спам" в своем роде (можете посмотреть здесь http://www.randewy.ru/guestbook/index.php). Замучился чистить гостевую! Что нужно сделать? Подскажите, пожалуйста!