5 svar · 201 visningar · startad av Andreas L
Hej!
Jag har vid ett fler än ett tillfälle varit med om att ett webhotell som stödjer ASP inte har någon begränsad åtkomst för FilesystemObject.
Nu senast då jag skulle lägga upp en ny sida på ett webhotell så gjorde jag en snabb check och upptäckte att jag kunde accessa serverns kataloger och sedan kopiera filer i mappar som jag inte borde ha tillgång till alls.
En sådan brist gör det förståss möjligt för nästan vilken ASP-kodare som helst att ställa till en massa problem på servern, men medför även en risk att man själv blir drabbad av andra personers illvilliga upptåg.
I ett sånt här fall så går det ju för vem som helst -med ett konto på server- utmärkt att komma åt källkod i ASP-dokument, lösenord m.m
Jag kontaktade förståss webhotellet och påpekade problemet och de åtgärdade saken mycket snabbt, men jag kan lova att de var ganska tysta när de förstod vidden av vad detta kunde innebära.
För er som vet vad jag pratar om: Om ni inte redan gjort det, så kolla detta på erat webhotell och påpeka ev. problem innan ni själva blir drabbade.
-Är problemet vanligare än vad man tror?! Jag menar; att vara servertekniker innebär ju inte automatiskt att man knackar asp.
[Redigerat av Andreas L den 17 jan 2002]
Är problemet vanligare än vad man tror?! Jag menar; att vara servertekniker innebär ju inte automatiskt att man knackar asp.
Förmodligen beror det inte på att det inte är aspkodare som jobbar som servertekniker, utan att det inte är servertekniker som jobbar som servertekniker...
------------------
Before you criticize someone, walk a mile in his shoes. That way, if he gets angry, he'll be a mile away - and barefoot.
Du kan inte begränsa tex WINNT katalogen.
Alla måste ha minst ändra i den för att kunna tex logga in, använda sig av adodb komponenten, asp komponente etc.
Så, antingen tillåter man FSO och då kan man i stort sett lista hela serverns innehåll ...
Det man gör är att begränsa de kataloger som kan begränsas, tex de andra kundernas kataloger m.m som ej har med systemet att göra.
Har själv försökt att ställa in servern så att man inte kan lista filer och kataloger som finns i WINNT med FSO från en website men ej lyckats ej heller hittat information om hur man kan åstadkomma det.
Så, finns det ngn som har lyckats så kan den personen lägga ett inlägg här och förklara huuuur man skulle kunna göra det, väldigt tacksam för det.
cya,
PatrikB
------------------
-=* IF there is a wrong way to do something, then someone will do it *=-
[Redigerat av PatrikB den 17 jan 2002]
Om man skapar ett nytt konto för varje kund som i sin tur enbart har tillgång till sin mapp så ska dom inte kunna få fram eller ändra i andras kataloger eller system kataloger. Använd det kontot för anonym åtkomst till siten! Då kan kunden enbart köra FSO på dom mapparna du har gett skrivrättigheter med det kontot.
Problemet är att man måste ha en client licens för varje kund, Microsoft har en licens som tillåter obegränsat antal clienter, kostar ca 20 000:-
------------------
Data-Doktorn
Min egen musik!
Mitt coverband
[Redigerat av aleborg den 17 jan 2002]
jo, jag vet, kan oxå begränsa alla andra kataloger förutom system katalogen.
Tar jag bort <alla> eller ändra rättigheterna från "ändra" som är standard så kan man inte tex skapa anslutningar till en databas, ja, inte ngnting, även om varje site har sitt eget konto.
Har licens för att ha unlimited accounts, men får det faaaan inte att funka.
cya,
PatrikB
------------------
-=* IF there is a wrong way to do something, then someone will do it *=-
På min Winnt katalog har mina "Webbkunder" inga rättigheter alls, det funkar utmärkt, däremot så har dom det på vissa DLL filer
------------------
Data-Doktorn
Min egen musik!
Mitt coverband
