SQL Injection no PHP

Recentemente tive um site invadido onde o próprio invasor me enviou um e-mail mostrando alguns dados do meu banco e dizendo que poderia corrigir o problema mediante pagamento.
Fiz uma analise procurando saber como o site foi invadido. Depois de muito analizar, chego a conclusão que foi por SQL Injection.
Segue abaixo uma alternativa que evita esse tipo de ataque:

Primeiro crie um arquivo php com o seguinte conteúdo:
funcoes.inc.php

function anti_injection_post($array) {
 foreach ($array as $key=>$value) {
  $array[$key] = preg_replace(sql_regcase("/(from|select|insert|delete|where|drop table|show tables|truncate|#|*|--|\\)/"),"",$array[$key]);
  $array[$key] = trim($array[$key]);
  $array[$key] = strip_tags($array[$key]);
  $array[$key] = addslashes($array[$key]);
   }
 return $array;
}

Posteriormente nos arquivos do site onde você irá usar os arrays $_POST e $_GET use o seguinte no inicio do arquivo:

  
include_once('funcoes.inc.php');  
$_POST = anti_injection_post($_POST);  
$_GET  = anti_injection_post($_GET);  
. . .  

Essa função evita que seja inserido instruções sql em campos ou na barra de endereço do seu site.

é isso ai…

Operador Ternário no PHP

Existe uma forma diferente de se trabalhar com condições no PHP… Se chama Operador Ternário e ele deixa o código mais resumido, e mais otimizado.

O seu uso consiste em agrupar, na mesma linha, a condição, os comandos para true (verdadeiro) e os comandos para false (falso).

Vamos ao velho exemplo de condições (if) que todo mundo já viu:

= 7) {
echo "Você passou!";
} else {
echo "Você não passou!";
}
?>

Agora veja a versão ternária desse mesmo código:

= 7) ? "Você passou!" : "Você não passou!";
?>

A sintaxe do operador ternário é a seguinte:
(< condição >) ? < instruções para verdadeiro > : < instruções para falso >;

Veja outro exemplo de uso do operador ternário:

Não se esqueçam de ver a documentação oficial sobre operadores de comparação, dentre os quais está o operador ternário.

Espero que tenham gostado!

Como perder o seu melhor funcionário de TI

Ignore o que motiva as pessoas em seus trabalhos e elas irão se demitir. Nossa pesquisa salarial de TI fornece dados que você pode usar para cultivar seus melhores talentos

Dois em cada cinco profissionais de TI estão procurando um novo emprego, segundo dados da nossa pesquisa de salário de TI realizada no início de 2012.  O que você está fazendo para manter os seus talentos longe dessa realidade?

Os líderes de TI têm a vantagem aqui, e não apenas por causa do mercado de trabalho instável. A maioria dessas pessoas que procuram emprego de TI está apenas casualmente olhando o mercado, e baseado nos dados colhidos eles valorizam a estabilidade no emprego, portanto eles preferem ficar onde estão.  Então, se os líderes de TI entenderem um pouco deste cenário – elementos críticos de trabalho que são importantes para seus empregados, eles terão boas chances de retê-los.

Então, vamos olhar para dois conjuntos de dados de nossa pesquisa: o que é mais importante para profissionais de TI em seus empregos, e 39% dizem estar ativos ou casualmente procurando um emprego, porque eles estão em busca de novas oportunidades. Vou apenas fazer alguns comentários sobre por que as pessoas saem de seus empregos e o que é mais ou menos importante para eles. Sinta-se livre para partilhar a sua própria análise na seção de comentários.

Seis dicas simples para frustrar os hactivistas

Mais da metade - 58% - de todos os casos de violação de dados em 2011 foram resultado de ataques politicamente motivados. É preciso muio pouco para proteger sua empresa.

Mais dados foram roubados de redes corporativas no ano passado pelos hactivistas do que por criminosos, segundo estudo recente da Verizon que analisou 855 casos de quebras de segurança cibernética em todo o mundo, envolvendo 174 milhões de registros comprometidos. O número é 40 vezes maior que o do ano anterior, quando apenas 3,8 milhões de invasões foram identificadas.

Duas descobertas perturbadoras: 79% das invasões foram oportunistas e 97% eram completamente evitáveis, sem que a empresa tivesse que lançar medidas complexas ou despender grandes quantias. Mais da metade - 58% - de todos os casos de violação de dados em 2011 foram resultado de ataques politicamente motivados e não por ganhos financeiros.

Segundo a Verizon, a maioria das violações poderia ter sido evitada se os gerentes de rede seguissem as melhores práticas em segurança da informação.

Aqui estão seis dicas que a Verizon considera que podem ajudar os CIOs a evitarem ataques feitos por hactivistas:

1. Proteja seus servidores

A Verizon descobriu que 94% de todos os dados comprometidos no ano passado estavam em servidores atacados, em vez de dispositivos finais como laptops ou smartphones. Assim, enquanto os CIOs estão preocupados com o gerenciamento de dispositivos móveis e as políticas de BYOT, deveriam estar prestando mais atenção à segurança física e cibernética dos servidores que contêm informações de identificação pessoal ou de propriedade intelectual.

2. Livre-se de dados desnecessários

As corporações tendem a coletar dados muito sensíveis, e quase sempre não conseguem eliminá-los quando não precisam mais deles. Todas as organizações precisam ter políticas rígidas para manter o mínimo de dados necessários para atender às exigências regulamentares. Precisam saber quais dados devem ser mantidos, e onde estão localizados, para que possam mantê-los seguros.

3. Olhe para seus registros

Muitas empresas têm software de segurança que geram logs de acesso à rede, e de outras atividades, mas não têm ferramentas automatizadas para analisar os logs e encontrar vulnerabilidades ou falhas. 

Os CIOs precisam alocar recusos humanos para monitorar e explorar os logs de eventos e identifcarem evidências de ataques à rede ou aos servidores.

Atividades incomuns na rede podem ser sinal de presença de um malware que coleta, monitora e registra as ações dos usuários, logins e senhas. O monitoramento também pode identificar ataques de injeção de SQL, que visam os sites web apoiando-se em bases de dados relacionais. Uma das formas mais comuns de hackear sistemas é a inserção de códigos SQL em formulários web para atingir os bancos de dados escritos nessa linguagem.

4. Use autenticação de dois fatores

Ter um sistema de autenticação de dois fatores para controle de acesso - como senhas e um cartão de acesso - reduz o risco de hackers invadirem servidores com nomes de usuário e senhas roubados. 

Também é importante ter políticas estritas de senhas, como o uso de senhas complexas, a obrigatoriedade de mudança da senha regularmente e a adoção de mecanismos para limitar as tentativas de login. Outra sugestão é o uso de listas negras de IP para restringir o acesso aos servidores.

5. Cuidado com o PCAnywhere

Ferramentas que permitem o acesso remoto a sistemas pesoais, como o PCAnywhere, são comumente usados ​​por hackers para criar backdoors desbloqueadas em sistemas corporativos.

Gerentes de rede podem usar listas negras de IP para bloquear que os sistemas tenham acesso a estas ferramentas, bem comofiltros que evitem que informações confidenciais fluam para fora de uma rede corporativa. O uso de sistemas de prevenção de perdas de dados e de detecção de intrusão também podem ajudar.

6. Treine seus funcionários

Muitas vezes os hackers empregam truques que tiram proveito de “vulnerabilidades humanas” apelando para emoções ou incitando a curiosidade para levar as pessoas a clicarem em links maliciosos, baixarem programas ou darem informações confidenciais como senha da rede corporativa, do e-mail, etc. As empresas precisam investir na formação contínua para manter funcionários constantemente conscientes das ameaças desses ataques de engenharia social.

Segundo a Verizon, embora algumas vítimas tenham estimado suas perdas em centenas de milhões de dólares, a maioria sugere um valor bem menor. A rigor, grande parte dos ataques sequer causou algum dano monetário às companhias.”

Mais do que nunca, informações pessoais se tornaram alvo de cibercriminosos. Por volta de 95% dos registros copiados ano passado continham dados como nome de usuário, endereço de e-mail e número de segurança social.

13 erros comuns de ERP e como evitá-los

A intenção é ajudá-lo a garantir que a sua implementação de ERP seja um sucesso, ou que você, ao menos, possa minimizar os problemas potenciais.

Em qualquer lugar do mundo eles custam entre centenas de milhares de dólares a milhões de dólares, e exigem centenas de horas de trabalho para implementar. Os sistemas de Enterprise Resource Planning (ERP) são investimentos que dispendem muito dinheiro, tempo e recursos. E, enquanto uma implementação de ERP bem sucedida pode ajudar sua organização a racionalizar os custos de fluxo de trabalho, uma implementação mal planejada e realizada pode levar a perdas de produtividade e atrasos.

Para ajudar a garantir que a sua implementação de ERP seja um sucesso, ou pelo menos minimizar os problemas potenciais, a CIO.com ouviu dezenas de especialistas de ERP (executivos de TI, consultores e fornecedores de ERP), e pediu a cada um deles para descrever os erros mais comuns e como fazer para evitá-los ou resolvê-los.

Erro # 1:: Falta de planejamento 
O planejamento é absolutamente necessário se você quiser que o projeto de ERP seja um sucesso.

Kevin Beasley, CIO da VAI, fornecedora de software ERP, concorda. "Muitas organizações não fazem planejamento prévio antes de começarem uma avaliação das soluções de ERP", diz ele. "Isso muitas vezes leva à confusão, porque não entendem plenamente os seus processos atuais e como eles deverão evoluir para maximizar os benefícios de negócios."

Para resolver este problema, as organizações devem realizar uma auditoria interna de todos os seus processos e políticas antes de escolher um sistema de ERP. Além disso, Beasley recomenda montar uma equipe de avaliação do sistema de ERP composta por todos os interessados em seu uso, também nas áreas de negócios. E, se você sente que não tem capacidade in-house para avaliar adequadamente os sistemas de ERP, considere a contratação de um terceiro, mais experiente na implementação de soluções de ERP em empresas do seu setor.

Erro # 2:: Não habilitar adequadamente os fornecedores de ERP 
"Muitos dos meus melhores clientes compram o que a equipe de marketing do fornecedor vende, mas uma terminada a implementação, eles são surpreendidos por restrições de funcionalidade dos sistemas, falta de recursos, bem como o impacto negativo sobre as melhores práticas internas", diz Shawn Casemore, presidente da Casemore & Co. , que ajuda os clientes a melhorarem seu desempenho operacional.

Seu conselho: sempre pedir referências. Solicitar os nomes de pelo menos três empresas "que estão em  setores de negócios com as mesmas características que o seu", que você possa entrar em contato e discutir o uso do software e, em seguida, discutir características, funcionalidades e desafios com o próprio fornecedor escolhido", diz ele. E se o fornecedor não puder fornecer pelo menos três nomes? "Caia fora", a menos que você queira ser uma cobaia.

Windows 7 no netbook via pen drive

Quer instalar o Windows 7 em seu netbook, mas não tem um drive de DVD externo? Uma saída é mandar o sistema para um pen drive. Será preciso ter um modelo com, no mínimo, 4 GB de espaço e formatado no padrão NTFS. Conecte o pen drive ao PC. No Windows XP ou Vista, abra o Prompt de Comando ou a caixa Executar e tecle diskpart. Na janela que surge, digite list disk. Localize o número correspondente ao pen drive e digite os comandos abaixo, substituindo K pelo número do pen drive:

select disk K

clean

create partition primary

select partition 1

active

format fs=NTFS

assign

exit

Depois, abra o Prompt de Comando e navegue à pasta boot no DVD do Windows 7. Rode o comando bootsect /nt60 K:, substituindo K pela letra que identifica o pen drive. Depois, é só copiar o conteúdo do DVD do Windows 7 para o pen drive e fazer o boot por meio dele no netbook.

Rumo à modernização do ERP

Grandes empresas passaram a usar o primeiro ERP há mais de uma década. Agora, uma em cada quatro PMEs planeja atualizar ou implementar um novo.

Eles não podiam esperar mais tempo. O sistema ERP do Electric Power Research Institute (EPRI) tinha chegado ao fim de sua vida útil. Não foi surpresa. O EPRI, instituto de pesquisas californiano que realiza estudos sobre produção, distribuição e uso de energia elétrica para concessionárias nos estados e proximidades, implementou o sistema de gestão empresarial em 1999.

A plataforma tinha sido projetada, usando uma combinação de mainframes, microcomputadores, sistemas cliente/ servidor e desktops, um ambiente legado difícil de gerenciar. Pior, o fornecedor do ERP foi engolido pelo concorrente e o suporte chegou ao fim.

Era hora de fazer uma escolha dolorosa. Mas, ao contrário do que aconteceu em 1990, o EPRI tinha muitas opções para avaliar no mercado. A companhia poderia escolher um fornecedor de grande porte como Oracle ou SAP. Ou ainda optar por uma solução no modelo software como serviço (SaaS), mas ágil. Ou também partir para uma solução on premise [hospedada e gerenciada por um terceiro]. 

A última opção foi a escolhida e optou-se ainda por um mix de fornecedores para disponibilizar a tecnologia. O motivo? “A solução tinha um diferencial: contava com um módulo de gerenciamento de ciclo de vida do produto, tudo o que precisávamos”, resume Michael Dotson, gerente sênior de operações comerciais do EPRI. Além disso, diz, a empresa de hospedagem tinha mais experiência com o software. “Identificamos que isso nos ajudará a ter uma implementação mais rápida e se quiséssemos customizar a tecnologia mais tarde seria mais simples”, completa.