说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

用Delphi编写CGI程序(五)

HTML文档下载 WORD文档下载 PDF文档下载
用Delphi编写CGI程序(五)

CGI 程 序 的 功 能 是 强 大 的

但 正 是 因 为 如 此 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话,将 使 您 的 系 统 千 疮 百 孔。 本 篇 就 CGI的 安 全 性 问 题 做 一 讨 论。

3 、 CGI 的 安 全 性

CGI 程 序 的 功 能 是 强 大 的 , 它 不 仅 可 以 具 有 普 通 程 序 的 功 能 , 而 且 可 以 将 程 序 的 结 果 发 布 在 WEB 上 。 但 正 是 因 为 CGI 程 序 的 功 能 如 此 强 大 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话 , 将 使 您 的 系 统 千 疮 百 孔 , 让 一 些 非 法 用 户 有 机 可 乘 。

这 里 所 讲 到 的 安 全 性 并 不 是 CGI 规 范 引 起 的 , 而 是 编 程 和 系 统 设 置 不 当 引 起 的 。 CGI 规 范 使 用 户 可 以 利 用 服 务 器 的 计 算 能 力 , 是 在 服 务 器 上 的 计 算 不 当 导 致 了 系 统 的 安 全 漏 洞 。 下 面 我 给 出 一 个 在 UNIX 系 统 上 的 一 个 CGI 安 全 漏 洞 , 这 个 漏 洞 是 非 常 常 见 的 。

# !/usr/local/bin/perl

# formmail.cgi

require "cgi.pl";

# Launch e-mail application "/bin/mail" with Subject: header from the "formname" field

open (MAIL

|/bin/mail -s '

.$input{"formname"}."' webweave");

# Add send "formcontents" field as the body of the message

print MAIL $input{"formcontents"};

close(MAIL);

exit(0);

在 这 个 例 子 中 , CGI 程 序 将 表 单 的 信 息 提 交 给 /bin/mail , 并 发 送 到 webveave 服 务 器 上 去 。 在 大 多 数 情 况 下 这 个 CGI 程 序 可 以 正 常 完 成 任 务 , 但 此 CGI 程 序 未 过 滤 用 户 在 WEB 表 单 中 输 入 的 信 息 , 因 此 留 下 了 安 全 隐 患 。 当 用 户 或 别 有 用 心 的 人 输 入 了 错 误 的 数 据 可 能 导 致 系 统 错 误 或 得 到 不 应 有 的 权 限 。

例 如 用 户 在 WEB 表 单 的 "formname" 中 填 写 下 面 的 内 容 :

ls /etc/passwd 'cracker@illegal.org #'    在 用 户 的 WEB 浏 览 器 中 就 会 显 示 出 /etc/passwd 的 内 容 , 若 此 UNIX 系 统 的 passwd 文 件 没 有 shadow , 用 户 就 可 以 利 用 此 内 容 , 使 用 crack jack 或 crack john 就 可 以 试 图 破 解 密 码 !    前 面 已 经 提 到 , CGI 的 安 全 是 程 序 员 和 系 统 管 理 员 都 应 负 责 的 , 下 面 我 就 分 别 讲 一 讲 二 者 应 注 意 的 事 :    系 统 管 理 员 的 工 作 :    1 、 与 程 序 员 合 作 , 共 享 有 关 服 务 器 安 全 的 信 息 , 同 时 互 相 检 查 代 码 , 及 时 发 现 代 码 中 的 安 全 问 题 。    2 、 使 用 好 的 服 务 器 软 件 , 经 常 去 服 务 器 软 件 的 WEB 站 点 了 解 最 新 的 信 息 。    3 、 将 服 务 器 的 用 户 限 制 在 特 定 的 网 络 主 机 上 , 使 用 服 务 器 的 安 全 管 理 功 能 、 设 置 路 由 存 取 控 制 等 。    4 、 对 CGI 功 能 进 行 限 制 , 部 分 高 级 服 务 仅 限 于 信 任 的 用 户 , 将 测 试 中 的 CGI 程 序 的 使 用 限 制 在 开 发 人 员 中 , 只 提 供 给 用 户 经 过 测 试 的 CGI 程 序 。    5 、 在 使 用 其 他 人 的 CGI 程 序 时 , 仔 细 检 查 代 码 。    6 、 将 CGI 程 序 的 使 用 限 制 在 受 保 护 的 环 境 中 , 服 务 器 设 置 成 非 特 权 用 户 访 问 , 并 为 CGI 程 序 专 门 设 立 一 个 运 行 帐 户 或 组 。    7 、 将 运 行 CGI 程 序 的 服 务 器 设 置 在 防 火 墙 外 , 这 一 点 一 定 要 注 意 , CGI 程 序 的 服 务 器 必 须 设 置 在 防 火 墙 外 , 如 果 设 置 在 防 火 墙 内 , 一 旦 非 法 用 户 找 到 了 CGI 程 序 服 务 器 的 安 全 漏 洞 , 他 就 可 以 控 制 在 防 火 墙 内 的 所 有 主 机 !    8 、 降 低 CGI 程 序 的 运 行 优 先 级 , 防 治 用 户 恶 意 运 行 大 量 的 CGI 程 序 导 致 服 务 器 过 载 。    9 、 订 阅 有 关 网 络 安 全 性 的 邮 件 , 参 加 网 络 安 全 性 的 新 闻 组 。    CGI 程 序 员 的 工 作 :    1 、 同 系 统 管 理 员 合 作 , 了 解 系 统 的 安 全 信 息 , 相 互 检 查 代 码 。    2 、 使 用 可 靠 的 库 程 序 , 检 查 库 程 序 的 源 代 码 。    3 、 从 REMOTE_HOST 中 得 到 客 户 机 名 , 将 一 些 高 级 功 能 限 制 在 受 信 任 的 客 户 机 。    4 、 如 果 WEB 服 务 器 提 供 HTTP 口 令 确 认 , 使 用 HTTP 口 令 来 限 制 访 问 。    5 、 过 滤 用 户 的 输 入 , 去 除 非 法 的 输 入 数 据 。    6 、 限 制 输 入 数 据 的 大 小 , 防 止 恶 意 用 户 输 入 大 量 数 据 使 服 务 器 过 载 。    7 、 避 免 传 递 用 户 数 据 到 其 他 应 用 程 序 , 以 免 用 户 调 用 命 令 解 释 器 或 利 用 其 他 应 用 程 序 的 安 全 漏 洞 。    8 、 发 现 了 CGI 程 序 的 漏 洞 时 , 不 要 对 任 何 人 讲 , 更 不 要 在 程 序 中 注 释 说 明 , 您 应 该 作 的 就 是 立 刻 修 补 漏 洞 。    9 、 学 作 攻 击 者 , 找 出 CGI 程 序 的 安 全 漏 洞 。

GitHub迁移数据库,借助MySQL大行其道! 实例亲授:教你如何创建AR应用 iOS七年,苹果都为开发者准备了哪些工具? TIOBE 2014年9月编程语言排行榜:Java、C++跌至历史最低点 如何甄别具有软实力的IT应聘者? 避免关注底层硬件,Nvidia将机器学习与GPU绑定 盘点MIT Demo Day上4个最有前途的创业点子 IDF 2014第一天纵览:智能设备唱主角 时尚化才是可穿戴的未来 ASP.NET之父Scott Guthrie:借技术之力铺平未来之路 两年测试,NSA或将让其数据中心洗上油浴 【云先锋】数云:另类淘宝创业,瞄准背后百万卖家的数据挖掘 Xcode 6 GM、6.1齐出,Swift终迎1.0版! 我眼中的Devops——倍道而进! 英特尔物联网世界:提供开发工具包,实现万物互联 三十功名尘与土——我的程序员生涯自白 触摸未来:为什么说AR是未来最重要的人机界面? 科普:谈云计算中间件理念 能准确“猜透”玩家心理,深度学习让游戏更智能 阿里过程改进专家:看板核心在于拉动式管理过程+数据化支持改进 英特尔Edison全面上市,专为小型可穿戴设备设计 APM最佳实践:Web 2.0和AJAX四大优化战略 开放•创新•共赢 2014华为开发者联盟沙龙即将开幕 排名前十的SQL和NoSQL数据库 干货议题,中国互联网安全大会免费门票等你来! 【云先锋】红象云腾:Hadoop将和高铁一样改变我们的生活 IDF 2014上开发者最应关注的三件事之:原生应用兼容性篇 《近匠》WRTnode创始人罗未:OpenWrt,下一个时代的Android AMD爆新一代架构,代号Zen! 【问底】严澜:数据挖掘入门——分词 顺丰集团IT副总裁徐庆强:信息化技术支撑高质量服务 【CTO俱乐部走进雅虎北京全球研发中心】活动图文实录 每次重新启动WIN2000时无耍点击超级用户口令从而自动进入,默认为超级用户 动态生成数据表的问题! 高分求解一条智力问题 *.bpg文件怎么打開﹖ 怎样压缩Access数据库? 问一个打印的初级问题? 如何使用net send 在internet 上发消息, 如何设置让主板上的喇叭不发声? 关于字符集的一个问题 关于金山网镖的一点问题?/ 急: seseion 和httpsession有什么区别啊.?jsp内部对象和javax.servlet.http.*下面的类似对象有什么区别和相同点? 高分急救:急,急,急 数据定义问题 急:关于rich text小应用程序的问题,请高手指点!谢了! 女大学生的一天(转载) 200分问一个小问题, 在线等: JBuilder自带的ESite for weblogic部署出错... 请问 vb 怎么样让函数返回一个二维数组?能给你例子吗? 有人知道上海通方信息系统有限公司吗?我要去面式了?大家帮帮忙,做ejb程序员。 域问题 转分 介绍制作DLL专业书籍 有关image的函数问题 请教? TObject和integer之间的转换问题 数据库简单问题 文本文件的最后一行怎末去掉换行符,用程序实现。 善良的程序员,当心QQ骗子啊! 谁有Qamonitor,小弟急用! 不要笑偶 转分 有会打印对象编程的吗?printer对象怎样打印横线??怎样打印带风格的报表?? 表分区的数量有上限吗 ASP 0178 (0x80070005) 各位高人,请一定帮个忙吧 !! SetCellImage 利用C# 读取系统当前进程的出现问题,帮忙!! 请教高手:怎样在一个窗口里能够输入文本文件(按回车键) 另一个窗口显示出同样的文本 高手在何方 (大力请进)sql字符串处理的问题 上哪能下到exchange 2000,下到马上给分! ado问题? 数据迁移问题??? 怎么把列名选出来? [在线求助]:有什么好的方法可以使得鼠标放上有链接的地方状态栏不显示真实地址? 高手在哪!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! 各位大哥﹐何為微创软件开发管理﹖﹖﹖﹖ 3com switch 3300 xm 有网管的功能吗? 关于窗口大小的问题,快来捡分~~~ 为什么2001年前的提问的问题、得分的问题、信誉分变化纪录都不见了。 无法在人才频道上提交简历。。。 请问:wsad4支持滚轮鼠标的插件哪里有下载??? 大鸣、大放、大字报、大串联是什么历史事件说明理由 升国旗时,某同学站在离旗杆底部10米处行注目礼,当国旗升至旗杆顶端时,该同学视线的仰角恰好为45°,若双眼里地面1.5米,则旗杆的高度为 写一篇关于心态的作文, 天体为什么自转?可以用什么理论解释? 为什么中国城市发展是政治带动 世界上最长的蛇有多长?要具体的长度,最好有照片. hunter burgundy 是什么颜色啊?服装颜色 英语翻译我想在周一送365朵玫瑰给暗恋的她,异地的,卡片这么写行么?以什么名义送啊 穿山甲的鳞片如何炒制? 殇縕读什么?有什么含义?更多关于这个词的? 勃艮第怎么读 生活天地随小,方格子世界却广大无比 这句话用的什么手法, Cl2和Fe的在液态环境中,可能会生成FeCl2和FeCl3的反应是不是化合反应? 我是女生想学滑滑板,不知道要买哪种滑板,什么价格的什么尺寸的,麻烦高手推荐 元宵灯会的热闹场面描写 典韦怎么过 天体自转和什么有关某科学家如知道天体密度约1。5*10^3 kg/m^3 的某星球存在,(引力常量G=6.67*10^-11....) 怎么求自转周期的最小值。晕 我没看清楚题目。防止离心!- - 19世纪末20世纪初瓜分狂潮中国各派政治力量的态度 一吕二赵三典韦,典韦是死在那场战役? 陌陌显示对方1小时前是什么意思,是在线1小时,还是1小时前在线过 求一部科幻小说,是《科幻世界》上看到的,好像名字是《流浪地球》,但是不是大刘的那本有印象的是未来地球人生活在巨型的星舰上面,每艘星舰都差不多一个地球那么大,人类就遍布在宇宙 有关舒畅搜狐做何解释?这事不能就这么算了吧!我很生气谁知道哪该死的记者做出什么解释?或道歉没?奶奶的别叫我知道是谁!知道我抄家伙杀你全家!有关搜狐说舒畅像陈一冰示爱的事!我只 给一个男的发陌陌消息,显示已读, 流浪地球主要讲什么 三国典韦 勃艮第的艮怎么读 跪求流浪地球读后感 婀娜多姿、心旷神怡的解释 勃艮第汉语怎么念 升国旗的注目礼标准是什么? 下邳域曹操鏖兵,白门楼吕布殒命是什么生肖? 12.轴心受压柱与梁主要采用刚接,框架结构则多用铰接.A.错误 B.正确 马上要升国旗了,广场上一片( ) 同学们庄严( ),向迎着夕阳冉冉升起的国旗行注目礼.升旗的时候,礼炮响起来,全场( )只听见炮声. 下邳域曹操鏖兵,白门楼吕布殒命是什么意思? 连根两端铰接的实复式轴心受压柱,受力如图,判断那跟更容易失稳?说明理由 The Century Park is only 100 meters ahead.You _____ go by taxi.A)must B)mustn't C)needn't D)can't 钓鱼的启示 辩论会我们的问题是:该不该把那条大鲈鱼放掉!我是反方:不该把那条大鲈鱼放掉!我怎么说?SOS!对不起我只有5分了,求救! 钢结构设计中设计轴心受压柱遵循等强度原理,在此等强度原理具体指什么理论?是不是指X和Y向的回转半径相等? 蔬菜为什么会冻坏,蔬菜变坏的原理有哪些啊?请各路神仙帮帮忙,快 下邳域曹操鏖兵,白门楼吕布殒命+÷猜什么生肖? 2250PCS 的先不要入库 中译英一直搞不懂入库怎么说 非典型鳞状细胞 “下邳域曹操鏖兵,白门楼吕布殒命”是三国演义第几回?如题. 未来的垃圾处理场是什么样 气候变化给人们工作、生活和工农业生产带来的影响 有那些? 下邳城曹操鏖兵,白门楼吕布殒命.打一个生肖 轻轨穿行地区都采用高架线路,目的是?A 保证行车安全 B 减少噪音污染C 节省成本D列车排放的尾气容易扩散 气候变化给人们工作、生活和工农业生产带来的影响有 什么? 有人知道这个铜器是什么吗?这是一个铜制品有些年代了,class="ikqb_img" src="http://b.hiphotos.baidu.com/zhidao/wh%3D600%2C800/sign=439f33fb49fbfbeddc0c3e7948c0db0e/32fa828ba61ea8d3e42fd6c0950a304e241f58e0.jpg" esrc="http://b.hipho 我想问一下今天太阳落山后能看见新的月亮吗? 非典型鳞状细胞是怎么引起的? 陌陌里 p 和t 是啥意思? 中国历史上的运动中国的文艺复兴与启蒙运动分别指什么运动 怎么制作不锈钢旗杆 就是平常的那种变径旗杆 用什么管 怎么安装 陌陌里面的私聊是什么意思? 中国历史上著名的学生运动 根据提示中译英1.中国是一个具有悠久历史的国家.(a country with)2.你们准备怎么去动物园呢?坐出租车还是乘地铁?(plan to,by taxi,by underground) 陌陌里 p 和t 是啥意思? 84年农历五月份太阳落山的时候是什么时辰,河北 谁能告诉我不锈钢篮子的全制作过程,最好有图. 浙江省正风肃纪小组3天暗访15个单位浙江省11月2日上海招贤 推出300浙江省级部门首次“晒账本”土耳其再次出动战机拦截叙利亚战机2013财年美国联邦政府财政赤字682013财年美国联邦政府财政赤字68“以房养老”国外遇冷 新加坡四年仅数德媒:美国人的耳朵早已伸到中国厄瓜多尔欲向斯诺登提供政治避难北斗导航系统首次落地国外美国曾促日本修宪助战海底隧道连通欧亚两大洲韩媒称朝军需设施事故频发 不排除恐怖比利时德语区与中国钓鱼岛成都军区将军事游戏列训练课目 含“钓美主持人面对华文媒体就“杀光中国人”23岁女子酒后钻进绿化带小解跌进沿山抗衡中国是安倍对世界的贡献?新型智库要为中国外交助力土耳其或迫于压力弃购中国\"红旗\"以色列将在东耶路撒冷犹太人定居点新建埃神进两球有望破纪录女子讨债被杀虫剂喷伤眼睛邓加考虑招埃神入国家队 专家估价达欧中塔将加强油气资源勘探开发合作伊拉克停止炮击被占城市唐僧“取经地”800年后复课唐僧“母校”复课记凉意浓水世界波尔多客场难赢全国主要城市今天天气预报罗湖警方:200万元理发预算真不多中国代表团亚运不包机 东道主韩国只争陶喆推迟蜜月优先歌迷泰国人的“菊与刀”美国怎样调查贪腐州长凯丽“敖包相会”玖月奇迹你所不知道的马尔代夫市政府明年拟办实事开征民意朝阳老旧小区准物业管理将“全覆盖”哈佛大学如何处理豪捐
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘