ru.website

 
 - RU.WEBSITE -------------------------------------------------------------------
 From : Igor Cherkaev                        2:5006/18.6    13 Nov 2000  07:46:48
 To : Konstantin Riabitsev
 Subject : Hа: вставка файла
 -------------------------------------------------------------------------------- 
 

 
 
 12  оя 00 19:52, Konstantin Riabitsev wrote to "Max Kuriloff":
 
  MK>> virtual="${QUERY_STRING}"--> Кстати, вопрос ко всем: насколько это
  MK>> безопасно?
  KR> Очень плохо. Если я знаю что ты это используешь, то я могу запросто
  KR> считать любой файл с твоей системы (к которому имеет доступ процесс
  KR> веб-сервера).
 
 такое в апаче видели?
 === Cut ===
 # User/Group: The name (or #number) of the user/group to run httpd as.
 #  . On SCO (ODT 3) use "User nouser" and "Group nogroup".
 #  . On HPUX you may not be able to use shared memory as nobody, and the
 #    suggested workaround is to create a user www and use that user.
 #  NOTE that some kernels refuse to setgid(Group) or semctl(IPC_SET)
 #  when the value of (unsigned)Group is above 60000;
 #  don't use Group nogroup on these systems!
 #
 User nobody
 Group nogroup
 === Cut ===
 
  KR> Hапример, запустив:
 
  KR> http://your.site/your.shtml?/etc/passwd
 
  KR> Я получу твои системные пароли (конечно, если они доступны).
 
 угу, если они еще и не в шадоу :)
 
  KR> Даже если ты использовал virtual, вместо file, то я все равно могу
  KR> уволочь какие-нибудь htaccess-ы или файлы с паролями из-под рута
 
 ну никогда еще апач не веpтелся с суид'ным битом ;) если только из-за
 кpивоpукости админа? у меня вот ни одного пpоцесса такого нету :)
 
  KR> твоего серверa. Лучше что-нибудь вроде:
 
  KR> <!--#include virtual="${QUERY_STRING}.inc"-->
 
  KR> Так хоть будет доступ только к файлам с расширением ".inc".
 
 ну еще можно и chmod'ом поигpаться ;)
 
                                                   IC.
 e-mail: lake@ogel.zsmk.nvkz.kuzbass.net
 
 --- FastEcho 1.46
  * Origin:  (2:5006/18.6)
 
 

Вернуться к списку тем, сортированных по: возрастание даты  уменьшение даты  тема  автор