Boa noite galera,
desculpem o espaçamento entre os posts.
Ando sem tempo, com alguns projetos em paralelo ( ainda bem ).
Estou participando de um projeto que é desenvolvido em Java e coicidentemente tive que fazer um trabalho para a pós usando o Paradigma Orientado a Objetos e aplicando alguns Design Patterns que foram solicitados pelo professor.
Bom, acho que já deu para perceber que este post vai ser implementado em Java e não em PHP como o de custume. Mais a ideia prevalece em qualquer linguagem que suporte o paradigma O.O.

Em resumo o projeto envolve:

Java/JSP
Design Patterns: Observer, Chain of Responsability,
Facade, Singleton, Service Locator, DAO, Abstract Factory, Strategy e Arquitetura ‘MVC’,
implementando Servlet customizada, Filtros customizados (Autenticação e Autorização),
Pool de Conexões, Padrões de templates e Bootstrap.

É apenas um trabalho com aplicações bobas, nada extraordinário.
Desculpem por não comentar o codigo =/

Espero que gostem.

Download.    (SQL Incluso)

Bom dia a todos, após uma longa batalha com a Uol, consegui finalmente reativar meu dominio. Peço desculpas a quem tentou acessar o site ou me enviar e-mail, estava tudo fora do ar.

Vamos ao que interessa, recebi uma solicitação de um amigo para exemplificar a arquitetura MVC com Inversion of Control (IoC) em PHP. Antes de mais nada gostaria primeiro de dar uma revisada na parte teórica.

Arquitetura de Software: Define os componentes de software, suas estruturas, o relacionamento interno ou externo (componentes de outros sistemas) e suas interfaces.

Padrão Arquitetural MVC (Model-View-Controller):

Visão: É a camada de visualização da sua aplicação, onde ela apenas apresenta o que foi obtido através das outras camadas. Podemos dizer que é o que o usuário final irá visualizar/interagir.

Controle: É a camada responsável por identificar as requisições que foram ou não realizadas* através da camada de visão. Também realiza o gerenciamento da comunicação entre as camadas de visão e de modelo.

Modelo: É o modelo da sua aplicação, onde se define a estrutura das classes que serão utilizadas para armazenamento de valores. Também é na camada de modelo, dentro da camada DAO que é realizada a comunicação com a base de dados. Podemos dizer que o modelo é a camada de negocio da aplicação.

*Pode haver comunicação entre os sistemas, sendo assim o sistema externo não irá se comunicar através da camada de visão, um exemplo de tecnologia onde um sistema realiza a comunicação com outro sistema é o Web Service.

Essas 3 camadas são o alicerce da arquitetura MVC, lembrando que dentro dessas camadas, existem outras. Exemplo: Dentro da camada Model, existe a camada DAO, que é responsável pela comunicação e persistência no banco de dados. Dentro da camada Controller, existe a camada Action, que é responsável pela captura dos dados e comunicação com a camada Model. Dentro da camada Model, existe a camada de Service, que é a camada responsável pelos serviços da aplicação, e por aí vai…

Agora que sabemos o que é arquitetura de software e como é dividida a arquitetura MVC, iremos falar sobre o IoC, que é a inversão de controle da arquitetura MVC.

A figura 1 ilustra a arquitetura MVC padrão.

Figura 1 – Arquitetura MVC

Como vocês podem perceber, a comunicação começa pela camada view, vai para a camada controller e segue para a camada model. O retorno segue caminho inverso.

A figura 2 ilustra a arquitetura MVC IoC (Inversão de Controle).

Figura 2 – Arquitetura MVC IoC

Como vocês podem perceber, a aplicação inicia-se e concentra-se na camada controller e essa é responsável pela comunicação entre as duas camadas constantemente. Além de parecer mais coeso que a arquitetura MVC padrão, temos uma centralização na camada de controller, isso ajuda muito para acrescentar comportamentos que devem ser executados durante o ciclo de vida da aplicação.

Estou disponibilizando um arquivo pdf com a explicação e os arquivos do projeto de exemplo da implementação da arquitetura MVC IoC em PHP.

Download.

O projeto só tem a finalidade de ilustrar a arquitetura MVC IoC.

Keywords: Arquitetura de Software, MVC, MVC IoC, PHP, PHP OO, Padrões de Projeto, Desenvolvimento em Camadas, Modelo-Visão-Controle, Model-View-Controller, Inversion of Control, Inversão de Controle, Engenharia de Software.

Author: Rafael Simões Miranda

Boa tarde a todos, este artigo que estou publicando aqui foi um seminário que apresentei no ultimo ano da faculdade no curso de Bacharel em Sistemas de Informação.
Espero que gostem do estudo.

Sumário

1 – INTRODUÇÃO
2 – TÉCNICAS DE ATAQUE
   2.1 – SQL Injection
   2.2 – XSS (Cross-site scripting)
3 – DIMINUINDO A COMPLEXIDADE DO ATAQUE
4 – TÉCNICAS DE DEFESA
CONCLUSÃO

Lista de siglas

HTTP – Hypertext Transfer Protocol
SSL – Secure Socket Layer
PHP – Hypertext Preprocessor
IP – Internet Protocol
FAI – Centro de Ensino Superior em Gestão, Tecnologia e Educação
XSS – Cross-site scripting
SGBD – Sistema Gerenciador de Banco de Dados

1 – INTRODUÇÃO

Hoje em dia é crucial para a segurança das instituições ocultarem suas informações sensíveis, principalmente via internet.
Informações como versões de serviços rodando em servidores, para pessoas que têm interesse em prejudicar determinada instituição, é um belo convite para fazê-lo.
Alem de se preocupar com as informações, deve se preocupar com o tratamento das informações que são inseridas pelo usuário, já que hoje a internet é uma grande aliada na comunicação entre as empresas e os clientes.
Existem muitas maneiras de ataques, o estudo em questão envolve duas delas.

2 – TÉCNICAS DE ATAQUE

2.1 – SQL INJECTION
A técnica de ataque SQL Injection consiste em injetar código SQL em aplicações para manipular o SGBD.
Nas aplicações de hoje em dia, uma das rotinas mais comuns são as de acesso ao banco de dados, muitas vezes essas rotinas são chamadas e, como parâmetros são passados valores que são recebidos de determinados campos da aplicação web.
Através desses campos, são passados comandos em SQL para parecerem como parte da aplicação, porém, foram inseridos pelo usuário mal intencionado.

Um exemplo comum e extremamente básico é sobre o controle de acesso de usuário e senha.

Geralmente no meio da rotina de acesso ao banco de dados, existem condições, como:

User (Campo na tabela do banco de dados que armazena o valor do usuário)

$Usuario (Digitado pelo usuário no campo de usuário)

$Senha (Digitada pelo usuário no campo de senha)

Pass (Campo na tabela do banco de dados que armazena o valor da senha do usuário)

Geralmente para se validar se o usuário é mesmo quem diz ser, deve-se fazer uma condição para saber se a senha digitada pelo usuário é igual a senha armazenada no banco de dados para o mesmo usuário em questão.

Exemplo:

Select * from usuarios where user=’$usuario’  and pass=’$senha’

Se fosse inserido em $usuario o valor: administrador e em $senha fosse inserido o valor: ‘ or ‘1=1

O comando processado pelo SGBD seria:

Select * from usuários where user= ’administrador’ and pass=’’ or ‘1=1’

Sendo assim, 1 é igual 1, acesso permitido sem mesmo colocar senhas validas.

Podemos observar que essa é uma maneira bem simplificada de usar essa técnica, pode-se utilizar para manipular dados, criar procedures, descobrir estrutura de tabelas, usuários, depende da imaginação e do conhecimento de quem a usa.

2.2 – XSS (Cross-site scripting)
Consiste em injetar código client-side em Aplicações Web.
Muitas aplicações hoje em dia, permitem com que o visitante deixe uma mensagem em seus conteúdos (Posts/Produtos/etc.) para melhorar a comunicação com o cliente, o que acontece é que o usuário mal intencionado pode inserir nesses campos códigos client-side que, no momento em que outros usuários forem visualizar o conteúdo dessas mensagens, o browser irá interpretar aquela mensagem (código injetado) como um código da aplicação em questão.

Exemplo:

Se colocar o código:

<script language=”JavaScript”>location.href=”http://www.rafaelsm.com.br”</script>

em um comentário relacionado a um post, assim que você apertar F5 e for listar todos os comentários, quando chegar nessa mensagem o browser irá entender como sendo parte da aplicação web e irá interpretar (redirecionar a pagina para http://www.rafaelsm.com.br) e assim irá ocorrer com todos os usuários que tentarem visualizar os comentários relacionados àquele post. Podemos observar que essa é uma maneira bem simplificada de usar essa técnica, pode-se utilizar para manipular cookies, dados, depende da imaginação e conhecimento de quem a usa.

3 – DIMINUINDO A COMPLEXIDADE DO ATAQUE

Como é inviável você tentar utilizar todas as técnicas em todos os campos, variáveis de entrada existentes de uma aplicação web, informações como versões de servidores HTTP, SSL, PHP, números de IPs internos, a estrutura de diretórios dentre outras informações, facilitam e muito a vida do atacante.

4 – TÉCNICAS DE DEFESA

Tais erros podem ser corrigidos:
1-) Tratamento de variáveis que são de entradas, tanto strings como int etc.

2-) Redirecionamento para paginas default em casos de não localização de determinados recursos.

3-) Tratamento para erros, como falta de parâmetros (utilizar técnica de redirecionamento para paginas default).

4-) Ocultamento de informações sensíveis.

5-) Desabilitacão da indexação dos web-crawlers de conteúdo administrativo.

6-) Desenvolvedores devem sempre utilizar ferramentas que ‘caçam’ vulnerabilidades na hora de desenvolver suas aplicações.

CONCLUSÃO

Não são empregados e definidos estudos e práticas na segurança das aplicações web no desenvolvimento, pois demanda muito tempo, conhecimento especializado e acarreta em custos elevado no desenvolvimento da aplicação web, muitas vezes as instituições não levam a segurança das aplicações web como deveriam levar.

Boa tarde a todos, sei que faz muito tempo que não posto nada aqui, queria pedir desculpas e dizer que o tempo ta faltando.
Hoje vou disponibilizar para vocês um mini-projeto( é um pedaço de um projeto ) CMS, foi desenvolvido utilizando-se PHP orientado a objeto e seguindo o padrão de arquitetura MVC.
O template é só para vocês poderem visualizar o projeto funcionando, fiquem à-vontade para editar, copia, colar, excluir e etc…. assim como os outros arquivos.
O arquivo Artigo.zip contém 20 Pastas e 60 Arquivos, esse é o projeto com funcionalidade de cadastro de um conteúdo (inicial), contato, cadastro de leitores( para trabalhar com newsletter ), Painel administrativo e envio de newsletters.

Lembre-se de criar a base de dados, executar o script.sql e configurar o arquivo BaseConnection.php.
Enjoy!
Download

Boa noite a todos, em primeiro lugar gostaria de agradecer pelos mais de 1000 usuários que já passaram pelo site e aproveitaram( ou não rsrs ) do conteúdo aqui disposto, pode não parecer muito para sites de noticias, blogs de comedias, blogs a onde o publico alvo é muito abrangente, mas lembre-se que esse site é para um publico muito especifico, então, eu acredito que essa marca de 1000 é um grande feito.

Gostaria de ressaltar que qualquer duvida, critica ou sugestão, envie e-mail ou comentem no tópico referente a duvida/critica/sugestão e também gostaria de pedir as pessoas que utilizarem os códigos do site, por favor, comentem para que e como ficou a solução, se modificou e qualquer outra coisa, “devemos compartilhar, para melhorar!” agradeço desde já.

Bom, vamos falar sobre o que interessa, O Projeto.

Como eu havia falado, implementei uma solução para o mecanismo de busca e paginação do sistema que vínhamos desenvolvendo ao longo de alguns posts.

Linguagens utilizadas:

HTML, CSS, PHP e SQL

Segue o link para download dos arquivos do sistema.

Download

Olá pessoal, estou começando com o blog e por enquanto ficaremos com esse template/theme ate que o design do meu template esteja pronto para aparecer rsrs…

Bom, vamos falar sobre o blog, o mesmo só terá a função de passar tutoriais e codigos prontos, com um simples e único objetivo: disponibilizar informações de graça na web.

Espero que todos gostem, obrigado.

Att,

Rafael Simões Miranda