10 svar · 369 visningar · startad av fredrik
Jag vet inte om det har varit uppe tidigare men iaf...
Många lägger sina include filer i ".inc"-filer med bla. aspkod i. Gör inte detta eftersom koden i inc-filer inte exekveras på servern. Detta innebär att om man bara kan sökvägen till filen så kan man se källkoden (inkl. aspkod).
Microsoft har ju själva rekommenderat att använda just inc.filer, men gör det alltså inte.
Det går iof att ställa in på IIS.en vilka filer som ska exekveras, men som default så gör inte .inc-filer det.
------------------
Fredrik Klarqvist
fredrik.klarqvist@swipnet.se
http://server.webwerkstaden.se/fredde/
Bra att du tar upp just detta, för det är något ofta faller bort ur tankeverksamheten...
... och om man verkligen måste (varför man nu skulle göra det), så se till att ha filerna liggandes utanför HTTP-sökväg...
Mvh, Vide
------------------
Kom hem till mig...
Jag brukar använda mig av typ en egen filändelse, ofta något i samband med själva projektet, heter typ projektet spelborsen blir det en .sb fil, det krävs då lite chansning för att först gissa namnet och sedan filändelse.
.inc filer har jag gett upp för längesedan, just därför att de är så vanliga. Samma sak med databasnamn i access.
Andreas
får man fråga varför ni inte använder .asp?
------------------
<A HREF="http://cartman.nu" TARGET=_blank>
where do you want to go to die?</A>
På många sidor kan man om bara vill få ett fel i div. include filer genom att trixa om med olika värden från forms och querystrings. Då uppstår ett fel i filen och så står det "fel i blabla.sb" el. nåt liknande, och så är det bara att klippa och klistra sig till koden...
------------------
Fredrik Klarqvist
fredrik.klarqvist@swipnet.se
http://server.webwerkstaden.se/fredde/
schysst att ni tog upp detta.
Jag hade inte en anning om detta ;)
Men jag ska ta bort alla mina .inc filer och döpa om filändelsen på dem.
------------------
www.webtomten.com
Jag skulle inte kalla det en bugg. Man kan lägga asp-kod i inc-filer. Men om man skriver urlen till inc-filen så får man se hela filen. Det är ingen "bugg". Det är en inställning i iss, eller nått sånt.
------------------
/bohlin
kaffe är djävulens dryck
glögg är guds dryck
Kul med en diskussion som behandlar säkerhetsfrågor.
Det har länge talats om en bugg i IIS4 som gör att man kan komma åt källan i ASP-filer. Jag vill minnas att det gick ut på att man trixade med sökvägen till scriptet.
Någon som har djupare kunskaper i ämnet? Artiklar etc.? :q
------------------
"Life's a bitch who sucks... then you marry one who dosn't"
sök under asp-forumet på "säkerhet", så hittar du säkert nått trevligt.
------------------
/bohlin
kaffe är djävulens dryck
glögg är guds dryck
Döper alla filer till .asp, har aldrig fattat vitsen med .inc eller nåt annat.
Måste man skilja ut inkluderingsfilerna så kan man ju lägga dem i egna undermappar eller ge dem namn typ inc_namn.asp
Här hittar ni länkar till ev säkerhetshål på serversidan (röda rubriken). De flesta webbserververs bör väl ha skyddat sig för dessa vid det här laget... http://www.4guysfromrolla.com/webtech/LearnMore/Security.asp
------------------
MvH
/Bengan
www.bengan.com
"Your mouse has moved. Windows will now restart to accept the changes."
Har kollat lite på det här och om man vill undvika att man får ut hela texten i include-filen så kan man ställa in att alla .inc-filer skall processas av asp.dll (som asp-sidor med andra ord).
För att ställa in det så öppnar man Internet Information Manager och väljer egenskaperna för sin virtuella katalog. Klickar på knappen "Configuration...". På fliken "App mappings" ställer trycker man på knappen "Add", anger sökvägen till asp.dll (\winnt\system32\inetsrv\asp.dll), skriver in ".inc" som "Extension" och klickar på "Ok".
Tack för att ni uppmärksammade mig på det här.
------------------
/ Torbjörn Hansson, webbutvecklare
Endero Sverige
