说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

用Delphi编写CGI程序(五)

HTML文档下载 WORD文档下载 PDF文档下载
用Delphi编写CGI程序(五)

CGI 程 序 的 功 能 是 强 大 的

但 正 是 因 为 如 此 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话,将 使 您 的 系 统 千 疮 百 孔。 本 篇 就 CGI的 安 全 性 问 题 做 一 讨 论。

3 、 CGI 的 安 全 性

CGI 程 序 的 功 能 是 强 大 的 , 它 不 仅 可 以 具 有 普 通 程 序 的 功 能 , 而 且 可 以 将 程 序 的 结 果 发 布 在 WEB 上 。 但 正 是 因 为 CGI 程 序 的 功 能 如 此 强 大 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话 , 将 使 您 的 系 统 千 疮 百 孔 , 让 一 些 非 法 用 户 有 机 可 乘 。

这 里 所 讲 到 的 安 全 性 并 不 是 CGI 规 范 引 起 的 , 而 是 编 程 和 系 统 设 置 不 当 引 起 的 。 CGI 规 范 使 用 户 可 以 利 用 服 务 器 的 计 算 能 力 , 是 在 服 务 器 上 的 计 算 不 当 导 致 了 系 统 的 安 全 漏 洞 。 下 面 我 给 出 一 个 在 UNIX 系 统 上 的 一 个 CGI 安 全 漏 洞 , 这 个 漏 洞 是 非 常 常 见 的 。

# !/usr/local/bin/perl

# formmail.cgi

require "cgi.pl";

# Launch e-mail application "/bin/mail" with Subject: header from the "formname" field

open (MAIL

|/bin/mail -s '

.$input{"formname"}."' webweave");

# Add send "formcontents" field as the body of the message

print MAIL $input{"formcontents"};

close(MAIL);

exit(0);

在 这 个 例 子 中 , CGI 程 序 将 表 单 的 信 息 提 交 给 /bin/mail , 并 发 送 到 webveave 服 务 器 上 去 。 在 大 多 数 情 况 下 这 个 CGI 程 序 可 以 正 常 完 成 任 务 , 但 此 CGI 程 序 未 过 滤 用 户 在 WEB 表 单 中 输 入 的 信 息 , 因 此 留 下 了 安 全 隐 患 。 当 用 户 或 别 有 用 心 的 人 输 入 了 错 误 的 数 据 可 能 导 致 系 统 错 误 或 得 到 不 应 有 的 权 限 。

例 如 用 户 在 WEB 表 单 的 "formname" 中 填 写 下 面 的 内 容 :

ls /etc/passwd 'cracker@illegal.org #'    在 用 户 的 WEB 浏 览 器 中 就 会 显 示 出 /etc/passwd 的 内 容 , 若 此 UNIX 系 统 的 passwd 文 件 没 有 shadow , 用 户 就 可 以 利 用 此 内 容 , 使 用 crack jack 或 crack john 就 可 以 试 图 破 解 密 码 !    前 面 已 经 提 到 , CGI 的 安 全 是 程 序 员 和 系 统 管 理 员 都 应 负 责 的 , 下 面 我 就 分 别 讲 一 讲 二 者 应 注 意 的 事 :    系 统 管 理 员 的 工 作 :    1 、 与 程 序 员 合 作 , 共 享 有 关 服 务 器 安 全 的 信 息 , 同 时 互 相 检 查 代 码 , 及 时 发 现 代 码 中 的 安 全 问 题 。    2 、 使 用 好 的 服 务 器 软 件 , 经 常 去 服 务 器 软 件 的 WEB 站 点 了 解 最 新 的 信 息 。    3 、 将 服 务 器 的 用 户 限 制 在 特 定 的 网 络 主 机 上 , 使 用 服 务 器 的 安 全 管 理 功 能 、 设 置 路 由 存 取 控 制 等 。    4 、 对 CGI 功 能 进 行 限 制 , 部 分 高 级 服 务 仅 限 于 信 任 的 用 户 , 将 测 试 中 的 CGI 程 序 的 使 用 限 制 在 开 发 人 员 中 , 只 提 供 给 用 户 经 过 测 试 的 CGI 程 序 。    5 、 在 使 用 其 他 人 的 CGI 程 序 时 , 仔 细 检 查 代 码 。    6 、 将 CGI 程 序 的 使 用 限 制 在 受 保 护 的 环 境 中 , 服 务 器 设 置 成 非 特 权 用 户 访 问 , 并 为 CGI 程 序 专 门 设 立 一 个 运 行 帐 户 或 组 。    7 、 将 运 行 CGI 程 序 的 服 务 器 设 置 在 防 火 墙 外 , 这 一 点 一 定 要 注 意 , CGI 程 序 的 服 务 器 必 须 设 置 在 防 火 墙 外 , 如 果 设 置 在 防 火 墙 内 , 一 旦 非 法 用 户 找 到 了 CGI 程 序 服 务 器 的 安 全 漏 洞 , 他 就 可 以 控 制 在 防 火 墙 内 的 所 有 主 机 !    8 、 降 低 CGI 程 序 的 运 行 优 先 级 , 防 治 用 户 恶 意 运 行 大 量 的 CGI 程 序 导 致 服 务 器 过 载 。    9 、 订 阅 有 关 网 络 安 全 性 的 邮 件 , 参 加 网 络 安 全 性 的 新 闻 组 。    CGI 程 序 员 的 工 作 :    1 、 同 系 统 管 理 员 合 作 , 了 解 系 统 的 安 全 信 息 , 相 互 检 查 代 码 。    2 、 使 用 可 靠 的 库 程 序 , 检 查 库 程 序 的 源 代 码 。    3 、 从 REMOTE_HOST 中 得 到 客 户 机 名 , 将 一 些 高 级 功 能 限 制 在 受 信 任 的 客 户 机 。    4 、 如 果 WEB 服 务 器 提 供 HTTP 口 令 确 认 , 使 用 HTTP 口 令 来 限 制 访 问 。    5 、 过 滤 用 户 的 输 入 , 去 除 非 法 的 输 入 数 据 。    6 、 限 制 输 入 数 据 的 大 小 , 防 止 恶 意 用 户 输 入 大 量 数 据 使 服 务 器 过 载 。    7 、 避 免 传 递 用 户 数 据 到 其 他 应 用 程 序 , 以 免 用 户 调 用 命 令 解 释 器 或 利 用 其 他 应 用 程 序 的 安 全 漏 洞 。    8 、 发 现 了 CGI 程 序 的 漏 洞 时 , 不 要 对 任 何 人 讲 , 更 不 要 在 程 序 中 注 释 说 明 , 您 应 该 作 的 就 是 立 刻 修 补 漏 洞 。    9 、 学 作 攻 击 者 , 找 出 CGI 程 序 的 安 全 漏 洞 。

推荐十款超赞的Google Chrome扩展插件 在团队中进行单元测试/TDD的12条经验 小米游戏中心6月数据报告:页游转手游怎么搞? 司机请专心:安全是车载APP要解决的大问题 Windows 8之父Steven Sinofsky:跨平台开发会为什么越来越难? 一些达成共识的JavaScript编码风格约定 语义技术——微软、谷歌和Facebook的必争之地 初创公司PlumGrid:前思科工程师的“逆袭之战” Firefox OS智能手机继续扩张 德国市场今日开售 如果让莎士比亚、海明威编写JavaScript代码 开源的数据可视化JavaScript图表库:ECharts 已迭代1.3亿年的分布式系统——Anternet 软硬整合:14个可改变世界的Kickstarter项目 是时候放弃MySQL的五大理由 比特币钱包Coinbase推出即时交易功能,无需银行转账手续 回收不活跃邮箱续:雅虎高管称能保证前用户信息和数据安全 移动周报:IT民工携娇妻转战传统行业,黄太吉的移动互联网营销 独立游戏开发的传奇!LIMBO开发商Playdead公司CEO专访 Firefox OS模拟器4.0正式发布 支持模拟触摸事件 莫轻言已成功部署大数据,也许你离达标还相去甚远! 基于Java的四大开源测试工具 Firefox OS:称霸移动市场?我们的计划更长远! 支撑5亿用户、1.5亿活跃用户的Twitter最新架构详解及相关实现 传苹果为iWatch招兵买马 以确保明年发布新产品 降价高达1200元的Surface RT,并不值得你购买 Daux.io:开源的项目文档生成器 避免代码注释的五大理由 安徽农信:30人,13轮测试,完成日均270万笔交易的综合业务系统架构调整 研究员带来5D光存储技术:容量达360TB,寿命高于百万年 LSI闪存加速或助力互联网IDC自我设计与建设 怎样让用户从100涨到200万?硅谷创业教父如是说 请问:用C#中的“System.Web.HttpUtility.UrlEncode(string)”编码后的字符串,在JScript用什么函数能对其进行解码?(在线) 一个权限的问题!!!急!!! 这个CG提示如何解决? 邮件群发软件哪个最好? 热键然后更改 换工作了,散分!!! 大家来看看[CSDN总版主的立法和执法],就会知道为什么水园的执法者如此猖狂了 请用这则给下面这个替换字符 局域网2000系统如何设置计算机描述(50分)? 强答题:请听好题"请问如何在可编辑的列表框中显示你想输入的字符串,而且可以输入多行?",开始! 下面两个操作,哪种效率高一些?或者还有什么更好的方法,谢谢! 简单问题,马上结账 ^在Delphi中是什么操作符? 各们兄台,小弟有急事相求,在线等~~~~~~~~~~~~~~~~~ 关于新闻发布时内容显示的问题 请教Tab Control的使用 microsoft jdbc for sqlserver2000 result 如何将指针移到首位!!在线等急!!! 谁有CVS下载?我去官方网站的下载,根本没有安装文件。 JSP中新建文件夹的问题 关于地图的问题,谁能解决啊? 怎样获取点击或按下winform上 [×]按钮时的事件 在服务器端执行一个 在客户端弹出对话框的程序? 如何不让局域网上的其他机用二级代理上网. oracle 表空间问题 哪位老大知道DBF的格式。 新手想请问关于刚学图象处理先学哪些?即先从哪入手? 请问关于函数挂接的问题 学习中的、已经学好的、准备学习java的朋友来看看 如何在一个线程里创建一个窗体? 难题,,,,(马上结) 怎样使windows service能接受其他程序的调用? ADO+ACCESS问题 十万火急!怎样在ASP.net(C#)中调用OCX对象 如何填充一个封闭的区域 吉林延边发生多起朝鲜警备队员越境抢劫杀人案件 perl有比较好的ide吗????? FilenameFilter用声明吗?? 怎样将两张表中相关数据绑定到DropDownList 请问java 中如何实现大小写不敏感的字符串替换???谢谢 超级头痛:如何找到DataList里的RadioButton? 权限设定时奇怪问题? 200分相送,如何写一个divx的编码过滤器 求一 SQL 语句的写法 高手来看!!!!如何在BCB程序中打开Oracle数据库 在串口通信中怎样解除waitcommevent()的等待 快三十岁了,适合再当程序员么? 小弟急着连数据库,搞不明白怎样连,拜托 怎么得到一个进程的句柄 ADO+ACCESS问题 谁能告诉我windows server 2003的显卡驱动到哪里下载 用DataOutPutStram的writeUTF写文件时开头总出现两个字符的乱码? 关于IMAIL6.0外发邮件问题 千古名言你认为教室里应该贴怎样的千古佳句和名言警句(2句) 单选(要解释)1.Miss Chen ___ a teacher and a write.A.is both B.are both C.both are2.Both ___ go to lost of parties.A.girl B.girls C.of girls3.My parents are ___ working.A.all B.whole C.both4.Both he and I ___ from China A.comes B.come C.comin Love 望远镜上调镜片距离的轮是什么轮?起的是什么作用? 求y=log1/2[2sin(x-∏/4)]的单调递增区间log后面的二分之一是右下角的.你懂得. m小于0,m的相反数分之m=多少,若等于1,则m为多少 为什么食物中的五谷类位于底部 人们从五谷类等食物中获得的营养物质主要是_____ 单选 .There was a lot of fun at yesterday’s party.You ____ come,but why didn’t you?A.must have B.should C.need have D.ought to have ________ housing prices are going up madly,it is almost certain that the local government focuses not on improving people’s life but on trying to earn money by selling state land.填where 千古名句 巴西副总统将访华海外赴澳工作人员升至173万人 威胁浙江将出台“社会组织建设”地方标准浙江汽车消费增幅回升 金银珠宝类商品中央巡视组已进驻广东等7地区单位 联上海近八旬英式老建筑启动平移 移38江苏将建150万亩永久性蔬菜基地南京地铁或将下发“禁食令”地铁禁食将万圣节郭美美杨贵妃妆扮吓呆网友 称最南京市农委加大监测 确保市民吃上放心“农家乐”食品安全存隐患 南京农委表适当进行波段操作陈坤:一听到“帅渤”两个字,我就胃疼珠海警花减肥心切:“100天要减掉1国内首个青蒿素博物馆揭幕广东联通发出 “沃4G+”尖叫体验挑万江公安分局破获多宗涉假案件八马茶业挂牌上市莞农商行向松山湖控股授信15亿顺德今晚上演“星光大道”国内外的春假秋假怎么放?为自己设计葬礼的意义傀儡天师热血咏春变异生物系统网游之血魄龙尊无限屠戮少年武皇魔族帝国怪列谈雪寻凡神变星际之生命帝国牛心山旅游新疆古生态园旅游紫鹊界梯田旅游南京云锦博物馆旅游紫禁城角楼旅游崇福寺旅游府文庙旅游伊斯兰教圣墓旅游草庵旅游蔡氏古民居旅游通淮关岳庙旅游
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘