bugg med .inc-filer

10 svar · 390 visningar · startad av fredrik 3 okt. 2000

fredrikMedlem sedan dec. 19991 072 inlägg

Trådstart3 okt. 2000 08:29#1

Jag vet inte om det har varit uppe tidigare men iaf...

Många lägger sina include filer i ".inc"-filer med bla. aspkod i. Gör inte detta eftersom koden i inc-filer inte exekveras på servern. Detta innebär att om man bara kan sökvägen till filen så kan man se källkoden (inkl. aspkod).

Microsoft har ju själva rekommenderat att använda just inc.filer, men gör det alltså inte.

Det går iof att ställa in på IIS.en vilka filer som ska exekveras, men som default så gör inte .inc-filer det.

VideMedlem sedan dec. 19998 577 inlägg

3 okt. 2000 08:37#2

Bra att du tar upp just detta, för det är något ofta faller bort ur tankeverksamheten...

... och om man verkligen måste (varför man nu skulle göra det), så se till att ha filerna liggandes utanför HTTP-sökväg...

Mvh, Vide

AGMedlem sedan mars 20001 266 inlägg

3 okt. 2000 08:44#3

Jag brukar använda mig av typ en egen filändelse, ofta något i samband med själva projektet, heter typ projektet spelborsen blir det en .sb fil, det krävs då lite chansning för att först gissa namnet och sedan filändelse.
.inc filer har jag gett upp för längesedan, just därför att de är så vanliga. Samma sak med databasnamn i access.

Andreas

@ndersMedlem sedan juni 200032 967 inlägg

3 okt. 2000 08:45#4

får man fråga varför ni inte använder .asp?

fredrikMedlem sedan dec. 19991 072 inlägg

3 okt. 2000 08:59#5

På många sidor kan man om bara vill få ett fel i div. include filer genom att trixa om med olika värden från forms och querystrings. Då uppstår ett fel i filen och så står det "fel i blabla.sb" el. nåt liknande, och så är det bara att klippa och klistra sig till koden...

jispirMedlem sedan maj 20011 343 inlägg

3 okt. 2000 10:16#6

schysst att ni tog upp detta.

Jag hade inte en anning om detta

Men jag ska ta bort alla mina .inc filer och döpa om filändelsen på dem.

bohlinMedlem sedan mars 2000263 inlägg

3 okt. 2000 12:50#7

Jag skulle inte kalla det en bugg. Man kan lägga asp-kod i inc-filer. Men om man skriver urlen till inc-filen så får man se hela filen. Det är ingen "bugg". Det är en inställning i iss, eller nått sånt.

Andreas LMedlem sedan sep. 2000215 inlägg

3 okt. 2000 22:10#8

Kul med en diskussion som behandlar säkerhetsfrågor.
Det har länge talats om en bugg i IIS4 som gör att man kan komma åt källan i ASP-filer. Jag vill minnas att det gick ut på att man trixade med sökvägen till scriptet.

Någon som har djupare kunskaper i ämnet? Artiklar etc.?

bohlinMedlem sedan mars 2000263 inlägg

4 okt. 2000 16:10#9

sök under asp-forumet på "säkerhet", så hittar du säkert nått trevligt.

BenganMedlem sedan juni 2000690 inlägg

4 okt. 2000 19:56#10

Döper alla filer till .asp, har aldrig fattat vitsen med .inc eller nåt annat.

Måste man skilja ut inkluderingsfilerna så kan man ju lägga dem i egna undermappar eller ge dem namn typ inc_namn.asp

Här hittar ni länkar till ev säkerhetshål på serversidan (röda rubriken). De flesta webbserververs bör väl ha skyddat sig för dessa vid det här laget... http://www.4guysfromrolla.com/webtech/LearnMore/Security.asp

tohaMedlem sedan dec. 1999707 inlägg

7 okt. 2000 09:38#11

Har kollat lite på det här och om man vill undvika att man får ut hela texten i include-filen så kan man ställa in att alla .inc-filer skall processas av asp.dll (som asp-sidor med andra ord).

För att ställa in det så öppnar man Internet Information Manager och väljer egenskaperna för sin virtuella katalog. Klickar på knappen "Configuration...". På fliken "App mappings" ställer trycker man på knappen "Add", anger sökvägen till asp.dll (\winnt\system32\inetsrv\asp.dll), skriver in ".inc" som "Extension" och klickar på "Ok".

Tack för att ni uppmärksammade mig på det här.