说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

用Delphi编写CGI程序(五)

HTML文档下载 WORD文档下载 PDF文档下载
用Delphi编写CGI程序(五)

CGI 程 序 的 功 能 是 强 大 的

但 正 是 因 为 如 此 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话,将 使 您 的 系 统 千 疮 百 孔。 本 篇 就 CGI的 安 全 性 问 题 做 一 讨 论。

3 、 CGI 的 安 全 性

CGI 程 序 的 功 能 是 强 大 的 , 它 不 仅 可 以 具 有 普 通 程 序 的 功 能 , 而 且 可 以 将 程 序 的 结 果 发 布 在 WEB 上 。 但 正 是 因 为 CGI 程 序 的 功 能 如 此 强 大 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话 , 将 使 您 的 系 统 千 疮 百 孔 , 让 一 些 非 法 用 户 有 机 可 乘 。

这 里 所 讲 到 的 安 全 性 并 不 是 CGI 规 范 引 起 的 , 而 是 编 程 和 系 统 设 置 不 当 引 起 的 。 CGI 规 范 使 用 户 可 以 利 用 服 务 器 的 计 算 能 力 , 是 在 服 务 器 上 的 计 算 不 当 导 致 了 系 统 的 安 全 漏 洞 。 下 面 我 给 出 一 个 在 UNIX 系 统 上 的 一 个 CGI 安 全 漏 洞 , 这 个 漏 洞 是 非 常 常 见 的 。

# !/usr/local/bin/perl

# formmail.cgi

require "cgi.pl";

# Launch e-mail application "/bin/mail" with Subject: header from the "formname" field

open (MAIL

|/bin/mail -s '

.$input{"formname"}."' webweave");

# Add send "formcontents" field as the body of the message

print MAIL $input{"formcontents"};

close(MAIL);

exit(0);

在 这 个 例 子 中 , CGI 程 序 将 表 单 的 信 息 提 交 给 /bin/mail , 并 发 送 到 webveave 服 务 器 上 去 。 在 大 多 数 情 况 下 这 个 CGI 程 序 可 以 正 常 完 成 任 务 , 但 此 CGI 程 序 未 过 滤 用 户 在 WEB 表 单 中 输 入 的 信 息 , 因 此 留 下 了 安 全 隐 患 。 当 用 户 或 别 有 用 心 的 人 输 入 了 错 误 的 数 据 可 能 导 致 系 统 错 误 或 得 到 不 应 有 的 权 限 。

例 如 用 户 在 WEB 表 单 的 "formname" 中 填 写 下 面 的 内 容 :

ls /etc/passwd 'cracker@illegal.org #'    在 用 户 的 WEB 浏 览 器 中 就 会 显 示 出 /etc/passwd 的 内 容 , 若 此 UNIX 系 统 的 passwd 文 件 没 有 shadow , 用 户 就 可 以 利 用 此 内 容 , 使 用 crack jack 或 crack john 就 可 以 试 图 破 解 密 码 !    前 面 已 经 提 到 , CGI 的 安 全 是 程 序 员 和 系 统 管 理 员 都 应 负 责 的 , 下 面 我 就 分 别 讲 一 讲 二 者 应 注 意 的 事 :    系 统 管 理 员 的 工 作 :    1 、 与 程 序 员 合 作 , 共 享 有 关 服 务 器 安 全 的 信 息 , 同 时 互 相 检 查 代 码 , 及 时 发 现 代 码 中 的 安 全 问 题 。    2 、 使 用 好 的 服 务 器 软 件 , 经 常 去 服 务 器 软 件 的 WEB 站 点 了 解 最 新 的 信 息 。    3 、 将 服 务 器 的 用 户 限 制 在 特 定 的 网 络 主 机 上 , 使 用 服 务 器 的 安 全 管 理 功 能 、 设 置 路 由 存 取 控 制 等 。    4 、 对 CGI 功 能 进 行 限 制 , 部 分 高 级 服 务 仅 限 于 信 任 的 用 户 , 将 测 试 中 的 CGI 程 序 的 使 用 限 制 在 开 发 人 员 中 , 只 提 供 给 用 户 经 过 测 试 的 CGI 程 序 。    5 、 在 使 用 其 他 人 的 CGI 程 序 时 , 仔 细 检 查 代 码 。    6 、 将 CGI 程 序 的 使 用 限 制 在 受 保 护 的 环 境 中 , 服 务 器 设 置 成 非 特 权 用 户 访 问 , 并 为 CGI 程 序 专 门 设 立 一 个 运 行 帐 户 或 组 。    7 、 将 运 行 CGI 程 序 的 服 务 器 设 置 在 防 火 墙 外 , 这 一 点 一 定 要 注 意 , CGI 程 序 的 服 务 器 必 须 设 置 在 防 火 墙 外 , 如 果 设 置 在 防 火 墙 内 , 一 旦 非 法 用 户 找 到 了 CGI 程 序 服 务 器 的 安 全 漏 洞 , 他 就 可 以 控 制 在 防 火 墙 内 的 所 有 主 机 !    8 、 降 低 CGI 程 序 的 运 行 优 先 级 , 防 治 用 户 恶 意 运 行 大 量 的 CGI 程 序 导 致 服 务 器 过 载 。    9 、 订 阅 有 关 网 络 安 全 性 的 邮 件 , 参 加 网 络 安 全 性 的 新 闻 组 。    CGI 程 序 员 的 工 作 :    1 、 同 系 统 管 理 员 合 作 , 了 解 系 统 的 安 全 信 息 , 相 互 检 查 代 码 。    2 、 使 用 可 靠 的 库 程 序 , 检 查 库 程 序 的 源 代 码 。    3 、 从 REMOTE_HOST 中 得 到 客 户 机 名 , 将 一 些 高 级 功 能 限 制 在 受 信 任 的 客 户 机 。    4 、 如 果 WEB 服 务 器 提 供 HTTP 口 令 确 认 , 使 用 HTTP 口 令 来 限 制 访 问 。    5 、 过 滤 用 户 的 输 入 , 去 除 非 法 的 输 入 数 据 。    6 、 限 制 输 入 数 据 的 大 小 , 防 止 恶 意 用 户 输 入 大 量 数 据 使 服 务 器 过 载 。    7 、 避 免 传 递 用 户 数 据 到 其 他 应 用 程 序 , 以 免 用 户 调 用 命 令 解 释 器 或 利 用 其 他 应 用 程 序 的 安 全 漏 洞 。    8 、 发 现 了 CGI 程 序 的 漏 洞 时 , 不 要 对 任 何 人 讲 , 更 不 要 在 程 序 中 注 释 说 明 , 您 应 该 作 的 就 是 立 刻 修 补 漏 洞 。    9 、 学 作 攻 击 者 , 找 出 CGI 程 序 的 安 全 漏 洞 。

AngularJS 1.3.0正式发布 超光速发展! 学个痛快!十款不容错过的Swift iOS开源项目 HTML5:助力智能电视生态实现新跃迁 MDCC 2014移动开发者大会公布全部议程 求更密集!Apple Watch SDK将于11月正式开放 【答疑】微信开放平台开发者资质认证 专访Informatica亚太和日本区副总裁Murray Sargant:中国公司正考虑数据资产货币化 Facebook又开源:让iOS应用界面极致流畅的ASDK框架 一周消息树:盘点史上最具毁灭性的软件Bug 微信公众平台设备功能支持个人开发者接入 2014中国移动开发者大调查第三批获奖名单曝光 微信企业号上线,带你看看它的真面目! OpenStack Juno版本发布——支持Spark和NFV 【十问十答】对话Go语言开发团队 苹果要求、Android开始,64位时代真的来了! MDCC 2014产品与设计论坛:带你发现产品之美 Java开发者值得关注的7款新工具 助力国产移动产品出海,UCloud部署北美节点 Zack Parker:用EC2在Cotap上打桩 用卫生棉杀敌冲关!两个高中女生的创意游戏 专访《Java程序员修炼之道》作者Ben Evans:保守的设计思想是Java的最大优势 Google收购Firebase 帮助程序员快速开发出移动App和Web App 微信支付开发关键点技术解析 游戏任玩!开源虚拟现实头戴式设备Open DoVision MDCC大会召开倒数10天 看Twitter、Facebook和国内“BAT”三大巨头最新动态 《近匠》Wijmo 5 CTO:从Web到移动,我的25年编程生涯 重复充电、防丢失!多功能智能行李箱Bluesmart 【设计经验传承】图标设计初阶要先型 “光年”光纤路由 支持千兆网络的家居中心 MDCC 2014移动开发技术与平台峰会:知名应用技术大牛传授实战经验 Unity生态圈将变?EA前总裁接替创始人任新CEO 微软高手请进:CE下开发的三个(高难度)问题。。。 现在最好的jsp服务器是什么??最全面稳定的是哪一个?? 那位仁兄能给出一个24位bmp的图片转换成黑白的bmp图片的代码(别嫌分少啊) 对不住我的职业道德了…… 那位仁兄能给出一个24位bmp的图片转换成黑白的bmp图片的代码( 别嫌分少) 一个很菜的问题:怎样把文档类的数据传到CMainFrame 一个很有趣的问题,但是比较难哟,高手请进,一定给分!!!! 请问war是什么文件? 用LOTUS SCRIPT怎么样对修改一个文档中域的值?有没有代码? 各位,哪里有design patterns下载呀? 打印问题有谁能解决 十万火急,兄弟们过来帮帮忙........... 多字段模糊查询~~~谁会啊!! 高手请进 关于dialog和控件回车键消息处理的小问题 photoshop背景色的问题 虚函数能否做友元? const^:^ *********在dll文件中怎样打开一个窗口********* 自定义对话框 求解:怎样使用数据窗口能多页预览?有这项功能吗? 域的DNS有问题! 出现out of range 只是偶尔出现并不是经常出现?我的配置在里面 想问问大家关于微软认证的看法。 我有光驱上哪找 请问斑竹:c#中有类似exit(0)之类的函数吗, 请问谁有将可执行文件中的资源提取出来保存在新的rc文件中的源代码? PB数据库的连接分类解决问题? 数据窗口鼠标焦点为什么会遗失? 怎么用xp安装盘升级两千或酒吧下的wmp? 怎样得知ListBox中已经有多少项内容了? 看看大家关于微软认证的看法(只能给77,全给了) OFFICE XP以及金山词霸的漂亮菜单如何实现的??有源代码可以参考吗?? 谁能说一下"快手"的程序是怎么工作的啊 这个问题我都问了三遍了,还是没人帮忙回答一下? 这样怎么能不行了?怪了. ~散分哦~,哈~ 可怜的准初级程序员(水平的没过,竟然拿了个资历格的) 各位兄弟请了!一个远程接入问题邀请教各位~! 这个问题好象不难 如何在WIN NT4中安装、使用IIS4????? no pains,no gains. work for the beautiful girl here and for our beautiful life 各位大侠: 我是新手,有人能给我讲讲xmlspy吗?? win.ini与SYSTEM.INI的区别? Oracle 的产品真的很烂吗?参与者都有分! 现需开发一套对多个数据库(不是一个数据库中的多个表)进行操作的程序,使用BDE,请大家提建议 CPen的问题! 各位请教:我要通过电话线做多路远程接入但我不想用路由器 请问,使用ado控件的程序,考到其他机器上,除了数据库和应用程序之外,还需要拷贝什么文件? 部分技术超过OFFICE 国产软件挑战微软 关于子窗口 染布厂一般用什么化工原料我想向染布厂销售一些化工原料,请帮忙例举一些,包括水处理化工原料 下列结构属于细胞的是:A胶原纤维B神经纤维C肌纤维D胶原原纤维E网状纤维 橡胶的硬度在70-80度,请问要用哪种材料,请具体说明material must be kind of rubber with hardness of 70shorA to 80shoreA是做耳机用的,要求防水. 怎样对环刚度试验机进行校正我要找一个人能对我们公司的环刚度试验机进行校正 涂层厂要用哪些化工原料 胶原纤维是细胞吗 制定阅读计划!求推荐,应该读哪些书?高一完分科,准备读文科,到假期了,想制定一套读书计划,应该读点什么书?不求多但求精!用于提高文学素养.5-10本 硬度 锌合金钢和玻璃钢哪个硬? 为什么肌纤维能称之为细胞? 有KY系列环刚度试验机详细介绍吗? PVC-U双壁波纹管标准是什么?PVC-U双壁波纹管目前有没有国家标准 肌纤维是细胞?如题 根据自己阅读的一本课外书,设计一张阅读卡,想一想哪些栏目是必须的.阅读记录卡姓名:何军晖 班级:七年五班书名:《三毛流浪记》 作者:张乐平内容摘要:阅读心得: 吹泡泡用的起泡剂是什么化工原料 污水处理氧化池细菌的培养办法.求具体操作规程被安排负责公司的污水处理,接触氧化池要培养细菌.本人一门外汉,第一次接触,没有头绪.我们污水处理的流程为:格栅井——调节池——厌氧 万能拉伸试验机、布氏硬度试验机、洛氏硬度试验机、金相显微镜价格分别是多少 哪种化工原料可以调制泡泡水 韧性造句(有弹性,不易折断),(坚韧的性格)越长越好20字以上 要进行化工工艺设计,其中工艺流程图,设备平面布置图,设备选型三项任务的要怎么安排(是先进行哪一项再到另一项),设备选型要给出设备的什么参数?(比如泵),我们还没学到,分配工作中,求回 化工原料在哪些行业用量较大,分别是哪些原料,主要是想问问化工原料的主要的使用行业和可以生产出的产品,分别会用到哪些化工原料~ 用 韧性(坚韧的性格) 造句! 化工工程设计的核心内容是化工工艺设计,工艺设计一般包括哪些内容? 怎样降低造纸厂AKD施胶剂的用量? 用韧性的不同意思造句 1.(有弹性,不易折断) 2.(坚韧的性格) 用韧性的不同意思造句 1.(有弹性,不易折断)2.(坚韧的性格) 请问下埋地排水用的PE双壁波纹管一个工地要选用S1级别和S2级别时要考虑的依据是什么呢我着有个工地用的是400大口径的S2级别的,我想是不是能用S1级别来代替呢?这样判定级别的选择呢? 双壁波纹管的米重的计算方法详细的双壁波纹管的米重计算方法,内壁占用的百分率的计算方法, 韧性(坚韧的性格)造句 波纹管分s1和s2是什么意思? 造纸厂污水处理菌种如何培养 橡胶的硬度怎样降 造纸用的化工原料有毒吗?应该去哪里检测 西安玻璃钢管道系列产品?比如玻璃钢缠绕管道,玻璃钢加沙管道,玻璃钢工艺管,那的好········· 根据括号中给出的不同词义造句.-------韧性(坚韧的性格)速度. 埋深为一米的PVC-U双壁波纹管应用S1型还是S2型更合理 玻璃钢管道如何安装? 污水处理厂的生物池有什么作用 pvc的s0,s1,s2, 胶原,胶原蛋白,胶原纤维有何区别联系? 请问污水处理厂超越管的作用,如何布置? 造纸需要那些化工原料?最好能写出化工原料名称,谢谢辛苦了. 造纸厂用什么化学试剂造纸厂一般都有用到什么化学试剂啊 请指教 污水处理厂和垃圾填买场的具体作用是什么!写个材料.涉及到污水处理和垃圾填埋!想知道这两个东西的具体作用是什么.!知道的告诉下.谢谢了 化工原料CMC在造纸中所起的作用 胶原纤维是什么啊? 污水处理厂生化是分为三级吗?每级的作用是什么? 乒乓球冬天已爆裂是由于什么(硬度还是导热性)A.导电性B.硬度C.延展性D.导热性 能合成胶原纤维的细胞有( ) 污水处理厂排放最重要的两个指标 印刷厂需要用什么化工原料我想开印刷厂,请问要用些什么化工原料? 弹性纤维是什么?用它做的衣服好吗? 请问专家:橡胶的硬度为80RHD是啥意思? 所有的彩印厂都需要化工原料吗?用油墨印东西需要化工原料吗 弹性纤维是细胞么 污水处理用的药剂是指?深圳.自然绿环保? hdpe双壁波纹管sn4什么意思 目前的化工废水处理工艺有哪些?请各位指教, 有几种橡胶原料可以调硬度的 一根6m的DN300的HDPE波纹管重量是多少? 化工污水处理后能养鱼吗? 为了保护环境,某化工企业决定购买10台污水处理设备现有A和B两种型号设备,其中每台价格及月处理污水量如表所示A型 B型 价格(万元/台) 15 12 处理污水量(吨/月) 250 220 经预算,该企业准
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn