Hola:
La inyección se refiere a que un hacker podría, por ejemplo, en el campo donde debe poner su nombre, escribir
echo "Mi nombre es tanto"; y PHP lo ejecutaría sin más, pues las variables no han sido filtradas. Esto no hará ningún daño, pero si escribiera, por ejemplo, DROP TABLE usuarios; y esta tabla realmente existiera, entonces se borraría toda la información (si estuvieras recién comenzando el sitio daría igual, pero ¿te imaginas perder la información recopilada durante años por no filtrar las variables?).
Esta bien que hayas validado con Javascript pero, ¿que pasa si el usuario tiene deshabilitado Javascript? Los datos serán enviados al servidor sin validar.
Entonces, para prevenir este tipo de ataques, siempre debes validar que lo ingresado sea lo que necesitas por el lado del
servidor, o sea, si necesitas una cadena, entonces asegurarte que lo ingresado sea una cadena; si necesitas un número (de teléfono, por ejemplo), asegurarte de que este sea un número, etc., y para ello existen varias formas:
Las funciones is_xxx( $variable ) que puedes ver
aquí.
Expresiones regulares
La función filter_var();
Esta última es la que más utilizo. Para validar los campos para enviar un email, lo mínimo que necesitas es el mensaje y el email del remitente, pues sin este a quién le respondes, ¿no? Entonces, limpiando las variables quedaría así:
// Yo utilizo $flags para los strings. Estas "banderas" le dicen a filter_var que codifique el caracter ampersand (&) y los caracteres (basándose en [URL="http://en.wikipedia.org/wiki/ASCII#ASCII_printable_characters"]ASCII[/URL])
// mayores a 127 y menores a 32:
$flags = FILTER_FLAG_ENCODE_AMP & FILTER_FLAG_ENCODE_LOW & FILTER_FLAG_ENCODE_HIGH;
// $out lo utilizo para mostrar un mensaje con los errores
$out = '';
// SIEMPRE valida el ingreso
// Con lo siguiente harás que todos los campos sean obligatorios.
// Si quieres que alguno NO sea obligatorio, entonces quítalo del if:
if( isset( $_POST['nombre'] ) &&
isset( $_POST['apellidos'] ) &&
isset( $_POST['dni'] ) &&
isset( $_POST['mail'] ) &&
isset( $_POST['telefono'] ) &&
isset( $_POST['direccion'] ) ) {
// Ya que no existe un estandar para los nombres, no se puede validar, pero sí puedes obligar al usuario a poner algo, isset( $variable ) se encarga
// de que exista contenido en la variable:
$nombre = filter_var( $_POST['nombre'], FILTER_SANITIZE_STRING, $flags );
// Lo mismo para los apellidos:
$apellidos = filter_var( $_POST['apellidos'], FILTER_SANITIZE_STRING, $flags );
// El DNI tiene un formato especial, el cual deberías validar. Busca en google como hacerlo (si es que no sabes), pues yo sólo se validar el RUT chileno.
$dni = $_POST['dni'];
if( ! funcion_validar_dni( $dni ) )
$out .= '<p>El DNI ingresado no es válido';
$mail = $_POST['mail'];
if( filter_var( $mail, FILTER_VALIDATE_EMAIL ) ) // Si es válido
$mail = filter_var( $mail, FILTER_SANITIZE_EMAIL ); // Se limpia
else
$out .= '<p>El email no es válido.</p>'; // De lo contrario se añade un error.
// El teléfono también se puede validar, solo que a través de Expresiones Regulares.
$min_len = 6;
$max_len = 9;
// Esta expresión regular validaría un número telefónico cuyo
// largo mínimo sería $min_len y el máximo $max_len. Debe comenzar con uno o dos números y puede incluir o no un guión
// Ej.: 02-1234567, sería un número válido
$regex = '/^(\d){1,2}-?(\d){' . $min_len . ',' . $max_len . '}$/';
$telefono = $_POST['telefono'];
if( ! preg_match( $regex, $telefono ) )
$out .= '<p>Ingrese un número de teléfono con el siguiente formato: 00-1234567';
// La dirección también se podría validar con expresiones regulares, pero es algo arriesgado
// pues cualquier excepción a la regla impediría que el usuario pueda ingresar su dirección:
$direccion = filter_var( $_POST['direccion'], FILTER_SANITIZE_STRING, $flags );
if( empty( $out ) ) { // Si $out esta vacío, entonces se envia el email, pues significa que no hay errores (en teoría).
$ip = $_SERVER['REMOTE_ADDR'];
$header = 'From: ' . $mail . " \r\n";
$header .= "X-Mailer: PHP/" . phpversion() . " \r\n";
$header .= "Mime-Version: 1.0 \r\n";
$header .= "Content-Type: text/plain";
$mensaje = "Este mensaje fue enviado por " . $nombre . ", con apellidos " . $apellidos . " \r\n";
$mensaje .= "Condiciones: " . $_POST['condiciones'] . " \r\n";
$mensaje .= "Su e-mail es: " . $mail . " \r\n";
$mensaje .= "Dni: " . $_POST['dni'] . " \r\n";
$mensaje .= "Teléfono: " . $_POST['telefono'] . " \r\n";
$mensaje .= "Dirección: " . $_POST['direccion'] . " \r\n";
$mensaje .= "Su ip: " . $ip . " \r\n";
$mensaje .= "Enviado el " . date('d/m/Y', time());
$para = '[correo eliminado]';
$asunto = 'Cliente nuevo';
if( mail($para, $asunto, utf8_decode($mensaje), $header) )
$out = 'Mensaje Enviado';
else
$out = 'Ocurrió un error al enviar el mensaje';
}
} else {
$out = '<p>Por favor, llene todos los campos marcados con un asterisco.</p>';
}
echo $out;
De esta forma tendrás un formulario para enviar email con menos probabilidades de ser "atacado". Obviamente hay que tener en cuenta que, dependiendo de la fama de tu sitio web, este puede o no ser atacado, por lo que si estas recién comenzando es MUY poco probable que seas objetivo de un hacker.
Espero te sea de ayuda, sino... escribí en vano XD.
Saludos :D.
