Librería Security en CodeIgniter parte 2 Curso completo y práctico

Introducción

En el desarrollo de aplicaciones web con CodeIgniter, la seguridad es una preocupación primordial para proteger nuestros sitios contra ataques comunes que pueden comprometer datos y la integridad de la aplicación. La librería Security de CodeIgniter nos ofrece herramientas potentes para mitigar estas amenazas de forma sencilla y eficiente.

Este artículo profundiza en funcionalidades avanzadas de esta librería, como la limpieza de nombres de archivos con sanitize_filename() y la protección contra ataques de tipo CSRF (Cross-Site Request Forgery). Además, abordaremos cómo implementar controles personalizados para reforzar la seguridad y cómo estas estrategias se aplican en escenarios reales de desarrollo.

¿Por qué es vital la seguridad en CodeIgniter?

Las vulnerabilidades en aplicaciones web pueden provocar desde pérdida de datos hasta accesos no autorizados y ataques masivos a la infraestructura. CodeIgniter, siendo un framework PHP popular y ligero, cuenta con una librería específica para afrontar estas amenazas directamente desde el núcleo del desarrollo.

Comprender y utilizar adecuadamente la librería security es fundamental para proteger desde pequeñas aplicaciones hasta sistemas empresariales que manejan información sensible.

Limpieza de nombres de archivos con sanitize_filename()

El riesgo de nombres de archivos maliciosos

Cuando aceptamos nombres o rutas de archivos desde un formulario, el riesgo de ataques como el recorrido de directorios es alto si no validamos los datos. Un atacante podría intentar enviar un nombre con caracteres que permitan acceder a archivos fuera del área permitida, comprometiendo el sistema.

Es esencial limpiar estos datos para garantizar que solo se acepten nombres de archivo seguros y legítimos.

Funcionamiento y uso del método sanitize_filename()

CodeIgniter proporciona la función sanitize_filename() dentro de la librería security, diseñada para eliminar caracteres inválidos y peligrosos en nombres y rutas.

• Elimina caracteres invisibles o no imprimibles que puedan ser utilizados para ocultar comandos maliciosos.
• Restringe caracteres que permiten recorridos como ../ o ./, evitando la navegación hacia directorios superiores.
• Permite un segundo parámetro booleano para habilitar o deshabilitar el permiso de rutas relativas.

Ejemplo básico para limpiar un nombre de archivo recibido desde un formulario:

public function limpiar_nombre() { $nombre_archivo = $this->input->post('nombre_archivo'); $nombre_limpio = $this->security->sanitize_filename($nombre_archivo); echo "Nombre limpio: " . $nombre_limpio; } 

Buenas prácticas para la limpieza de nombres

• Usar siempre este método antes de procesar cualquier entrada que involucre archivos.
• Combinar con validaciones adicionales sobre extensiones permitidas o formatos específicos.
• No confiar únicamente en el frontend; la limpieza y validación debe hacerse en el servidor.

Protección contra ataques CSRF con CodeIgniter

¿Qué es un ataque CSRF?

El Cross-Site Request Forgery consiste en que un atacante induce a un usuario autenticado a ejecutar acciones no deseadas en una aplicación web donde está logueado. Esto puede provocar modificaciones indeseadas, como cambiar contraseñas o eliminar registros.

Estos ataques utilizan la confianza que la aplicación tiene sobre el navegador del usuario, por lo que prevenirlos es crucial en cualquier desarrollo serio.

Implementación automática con la librería Security

CodeIgniter incorpora protección CSRF de forma automática a partir de configuraciones en el archivo config.php. Se generan un token aleatorio por sesión que se incluye en los formularios y que debe coincidir con una cookie. Si no coinciden, la acción se bloquea.

Guía completa para construir backdoors con metasploit paso a paso

• Activar la protección estableciendo $config['csrf_protection'] = TRUE;
• CodeIgniter añade automáticamente el campo oculto al formulario y la cookie con el hash.
• Si la validación falla, se muestra un error indicando que la solicitud no fue permitida.

Ejemplo práctico: uso del helper Form con protección CSRF

Al utilizar los helpers de formulario en CodeIgniter, se simplifica la implementación de protección CSRF:

echo form_open('controlador/method'); // ... campos del formulario echo form_close(); 

Este método añade automáticamente un campo oculto con el token CSRF vigente, haciendo que la protección sea transparente para el desarrollador.

Validación manual del token CSRF

En algunos casos querrás implementar una validación propia para mayor control o aprendizaje. La idea general es la siguiente:

• Generar un token único (por ejemplo, usando md5(uniqid()) o bin2hex(random_bytes())).
• Almacenar este token en una cookie del navegador.
• Agregar el token como campo oculto dentro del formulario.
• Al recibir el formulario, verificar que la cookie y el token enviado coincidan.
• Si no coinciden o alguno falta, denegar la operación.

Esto garantiza que la petición proviene efectivamente del usuario a través de nuestra aplicación.

Ejemplo simple de implementación manual CSRF

public function index() { $token = bin2hex(random_bytes(32)); setcookie('token', $token, time() + 3600, '/'); $data['token'] = $token; $this->load->view('form_view', $data); } public function recibir_formulario() { $token_cookie = $_COOKIE['token'] ?? ''; $token_post = $this->input->post('token'); if (!$token_cookie || !$token_post || $token_cookie !== $token_post) { show_error('Petición no permitida.', 403); } // Procesar formulario ... } 

Comparativa de protección automática vs manual CSRF

Invisible Characters y Sanitización interna en la librería Security

Una funcionalidad clave de la librería security es la eliminación de caracteres invisibles que puedan afectar el procesamiento o generar vulnerabilidades. Esto incluye espacios invisibles, caracteres Unicode especiales o control.

El método remove_invisible_characters() es utilizado internamente para garantizar que dichos caracteres no interfieran al pasar datos desde formularios.

Esta operación es vital especialmente en campos que pueden contener datos como nombres de archivos o rutas.

Configuración global de filtrado XSS

En el archivo config.php, existe la opción $config['global_xss_filtering'], la cual si se activa en TRUE limpia todas las entradas recibidas por cualquier método (POST, GET, COOKIE) contra ataques XSS.

Sin embargo, se recomienda usarla con precaución, ya que puede generar sobrecarga y afectar rendimiento. Lo ideal es aplicar el filtrado de forma selectiva y explícita en los controladores donde sea necesario.

Protección contra ataques XSS (Cross-Site Scripting)

Los ataques XSS consisten en insertar scripts maliciosos en páginas web para ejecutar código malicioso en el navegador del usuario. La librería security nos ofrece varias funciones para mitigar estas amenazas:

• xss_clean(): limpia cadenas de caracteres eliminando scripts y etiquetas HTML peligrosas.
• Escapado de salida: aplicar htmlspecialchars() o similares para mostrar datos seguros.

Es muy recomendable realizar siempre un saneamiento de los datos tanto al recibirlos como antes de mostrarlos en vistas.

Cómo crear paletas de color atractivas y efectivas para diseño

Ejemplo práctico paso a paso: Evitando ataques CSRF y XSS en un formulario

Supongamos que queremos crear un formulario para subir el nombre de un archivo y agregar un artículo a una base de datos, cuidando la seguridad.

1. Preparar la vista con form helper y token CSRF

<?php echo form_open('seguridad/agregar_articulo'); ?> Nombre de archivo:   <?php echo form_close(); ?> 

2. Controlador: limpiar nombre y validar token CSRF

public function agregar_articulo() { // Validación CSRF automática por CodeIgniter // Limpiar nombre de archivo recibido $nombre_archivo = $this->input->post('nombre_archivo'); $nombre_limpio = $this->security->sanitize_filename($nombre_archivo); // Validación adicional XSS $nombre_limpio = $this->security->xss_clean($nombre_limpio); // Aquí se procesaría el guardado en base de datos u otra acción echo "Archivo procesado: " . $nombre_limpio; } 

3. Comprobación y pruebas

• Intentar enviar nombres con caracteres peligrosos: ../../etc/passwd,
  Subscribe

  Deja vacío este campo si eres humano: