说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

用Delphi编写CGI程序(五)

HTML文档下载 WORD文档下载 PDF文档下载
用Delphi编写CGI程序(五)

CGI 程 序 的 功 能 是 强 大 的

但 正 是 因 为 如 此 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话,将 使 您 的 系 统 千 疮 百 孔。 本 篇 就 CGI的 安 全 性 问 题 做 一 讨 论。

3 、 CGI 的 安 全 性

CGI 程 序 的 功 能 是 强 大 的 , 它 不 仅 可 以 具 有 普 通 程 序 的 功 能 , 而 且 可 以 将 程 序 的 结 果 发 布 在 WEB 上 。 但 正 是 因 为 CGI 程 序 的 功 能 如 此 强 大 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话 , 将 使 您 的 系 统 千 疮 百 孔 , 让 一 些 非 法 用 户 有 机 可 乘 。

这 里 所 讲 到 的 安 全 性 并 不 是 CGI 规 范 引 起 的 , 而 是 编 程 和 系 统 设 置 不 当 引 起 的 。 CGI 规 范 使 用 户 可 以 利 用 服 务 器 的 计 算 能 力 , 是 在 服 务 器 上 的 计 算 不 当 导 致 了 系 统 的 安 全 漏 洞 。 下 面 我 给 出 一 个 在 UNIX 系 统 上 的 一 个 CGI 安 全 漏 洞 , 这 个 漏 洞 是 非 常 常 见 的 。

# !/usr/local/bin/perl

# formmail.cgi

require "cgi.pl";

# Launch e-mail application "/bin/mail" with Subject: header from the "formname" field

open (MAIL

|/bin/mail -s '

.$input{"formname"}."' webweave");

# Add send "formcontents" field as the body of the message

print MAIL $input{"formcontents"};

close(MAIL);

exit(0);

在 这 个 例 子 中 , CGI 程 序 将 表 单 的 信 息 提 交 给 /bin/mail , 并 发 送 到 webveave 服 务 器 上 去 。 在 大 多 数 情 况 下 这 个 CGI 程 序 可 以 正 常 完 成 任 务 , 但 此 CGI 程 序 未 过 滤 用 户 在 WEB 表 单 中 输 入 的 信 息 , 因 此 留 下 了 安 全 隐 患 。 当 用 户 或 别 有 用 心 的 人 输 入 了 错 误 的 数 据 可 能 导 致 系 统 错 误 或 得 到 不 应 有 的 权 限 。

例 如 用 户 在 WEB 表 单 的 "formname" 中 填 写 下 面 的 内 容 :

ls /etc/passwd 'cracker@illegal.org #'    在 用 户 的 WEB 浏 览 器 中 就 会 显 示 出 /etc/passwd 的 内 容 , 若 此 UNIX 系 统 的 passwd 文 件 没 有 shadow , 用 户 就 可 以 利 用 此 内 容 , 使 用 crack jack 或 crack john 就 可 以 试 图 破 解 密 码 !    前 面 已 经 提 到 , CGI 的 安 全 是 程 序 员 和 系 统 管 理 员 都 应 负 责 的 , 下 面 我 就 分 别 讲 一 讲 二 者 应 注 意 的 事 :    系 统 管 理 员 的 工 作 :    1 、 与 程 序 员 合 作 , 共 享 有 关 服 务 器 安 全 的 信 息 , 同 时 互 相 检 查 代 码 , 及 时 发 现 代 码 中 的 安 全 问 题 。    2 、 使 用 好 的 服 务 器 软 件 , 经 常 去 服 务 器 软 件 的 WEB 站 点 了 解 最 新 的 信 息 。    3 、 将 服 务 器 的 用 户 限 制 在 特 定 的 网 络 主 机 上 , 使 用 服 务 器 的 安 全 管 理 功 能 、 设 置 路 由 存 取 控 制 等 。    4 、 对 CGI 功 能 进 行 限 制 , 部 分 高 级 服 务 仅 限 于 信 任 的 用 户 , 将 测 试 中 的 CGI 程 序 的 使 用 限 制 在 开 发 人 员 中 , 只 提 供 给 用 户 经 过 测 试 的 CGI 程 序 。    5 、 在 使 用 其 他 人 的 CGI 程 序 时 , 仔 细 检 查 代 码 。    6 、 将 CGI 程 序 的 使 用 限 制 在 受 保 护 的 环 境 中 , 服 务 器 设 置 成 非 特 权 用 户 访 问 , 并 为 CGI 程 序 专 门 设 立 一 个 运 行 帐 户 或 组 。    7 、 将 运 行 CGI 程 序 的 服 务 器 设 置 在 防 火 墙 外 , 这 一 点 一 定 要 注 意 , CGI 程 序 的 服 务 器 必 须 设 置 在 防 火 墙 外 , 如 果 设 置 在 防 火 墙 内 , 一 旦 非 法 用 户 找 到 了 CGI 程 序 服 务 器 的 安 全 漏 洞 , 他 就 可 以 控 制 在 防 火 墙 内 的 所 有 主 机 !    8 、 降 低 CGI 程 序 的 运 行 优 先 级 , 防 治 用 户 恶 意 运 行 大 量 的 CGI 程 序 导 致 服 务 器 过 载 。    9 、 订 阅 有 关 网 络 安 全 性 的 邮 件 , 参 加 网 络 安 全 性 的 新 闻 组 。    CGI 程 序 员 的 工 作 :    1 、 同 系 统 管 理 员 合 作 , 了 解 系 统 的 安 全 信 息 , 相 互 检 查 代 码 。    2 、 使 用 可 靠 的 库 程 序 , 检 查 库 程 序 的 源 代 码 。    3 、 从 REMOTE_HOST 中 得 到 客 户 机 名 , 将 一 些 高 级 功 能 限 制 在 受 信 任 的 客 户 机 。    4 、 如 果 WEB 服 务 器 提 供 HTTP 口 令 确 认 , 使 用 HTTP 口 令 来 限 制 访 问 。    5 、 过 滤 用 户 的 输 入 , 去 除 非 法 的 输 入 数 据 。    6 、 限 制 输 入 数 据 的 大 小 , 防 止 恶 意 用 户 输 入 大 量 数 据 使 服 务 器 过 载 。    7 、 避 免 传 递 用 户 数 据 到 其 他 应 用 程 序 , 以 免 用 户 调 用 命 令 解 释 器 或 利 用 其 他 应 用 程 序 的 安 全 漏 洞 。    8 、 发 现 了 CGI 程 序 的 漏 洞 时 , 不 要 对 任 何 人 讲 , 更 不 要 在 程 序 中 注 释 说 明 , 您 应 该 作 的 就 是 立 刻 修 补 漏 洞 。    9 、 学 作 攻 击 者 , 找 出 CGI 程 序 的 安 全 漏 洞 。

移动周报:无需编程,分秒钟DIY一个移动网站 抢占先机:豌豆荚发布视频搜索产品 Cloud-Connect大会Day1:OCP与SwiftStack 云智能手机,将会很快威胁到Android和iPhone? 直接拿来用!超实用的Java数组技巧攻略 腾讯云俱乐部上海站:电商如何利用云提高核心竞争力 iOS开发者必备:六大图片、图标处理类工具 腾讯向搜狗注资4.48亿美金持股36.5% 推荐五款流行的JavaScript模板引擎 为何人人都将成为程序员?看32位美国顶尖精英的说法! MySQL再度失势:继维基百科之后,Google也迁移到了MariaDB Werner Vogels:亚马逊热爱艺术的CTO Jolla宣布Sailfish OS兼容Android手机硬件和应用 为什么项目估算偏差如此之大? Cloud Connect大会Day2:开源与云数据中心 CTO俱乐部第110期下午茶:利用麦肯锡7S模型构建管理框架 跨平台打造移动原生应用的10大武器 iOS与Android本地数据库新选择:使用Objective-C和Java编写 Cloud Connect大会day3:Intel的大数据与Metacloud私有云 农民也玩数据挖掘:基于物联网的高端种菜模式 前谷歌Android开源项目主管Queru加盟雅虎 Windows 8.1售价出来了!分别是119.99美元、199.99美元 对AngularJS进行性能调优的7个建议 为什么说UX设计师的黄金时代已来临? 豌豆荚:“应用内搜索”是打通移动互联网最具竞争力的入口 苹果发布会后的冷思考,64位芯片为开发者带来了什么? 中兴Geek评测:高性价比的英特尔处理器智能机 SAE的资源、安全隔离与Container 平板电脑悬了 Phablets或成为未来移动设备的主流 拿什么拯救你:黑莓今年将裁员4500人 推荐10款免费的在线UI测试工具 看看吧,想改變這种現象!!<marquee>能移動內容,但它移動時有空白(要等全移完后才又重新移)能否不要這中間的空隙。 那里有 netapi32.dll 中所有的函数及结构体的Delphi版定义? 在ASP里怎么能才让字符的ASC2码值加一。比如a加一之后等于b 谁有ehlib和fastreport的使用资料,哪下载??? 有关排序的问题? 高分相送!,求地税信息化方案 一个java程序,怎么写不进去?等待…… SOS!!! 是显卡的问题吗? 挂接的Fat32文件系统文件名为乱码 Linux 下的 中文输入法 十分奇怪的问题,win2000下编辑框粘贴文本出错。 为什么我的iis打不开了?(在线等待) win2000下 “内存指令不能读” 的错误怎么解决???? 问用ASP+SQL SERVER的朋友一个问题。在线等待。。 Web Services 的客户端和服务器能不能双向通信 98里的IIS服务在哪里停掉! 怎样在同一系统中既做服务器又作客户端?谢谢! 喜欢的女孩,交往半年后才知道大我2岁,郁闷!大家说该怎么办??? 怎么样用create函数创建一个窗口,用来显示提示信息 有两天没加可用分了,大家是没感觉,还是无所谓?我要饿死了,救命……来者有分! 用PHP如何在取得了属性drwxrwxrwx之后,判断是否为可删除? 在VC中,用quickwatch看vector变量时,怎么只能看到装在容器里的第一个变量 状态栏问题 如何使鼠标移到输入框上,输入框里面的字就会成 被选择 状态? 五百里加急(分不够另给) 与 硬件 有关 怎样配置root启动菜单~???~ [求助][急]关于SQL语句优化 高分求IBM WebSphere Application Server 高级版! 经常上csdn上的哥们把照片亮出来啊:) 在asp.net(用vb)中怎么连接ORACLE数据库? 从页面A转到页面B后,再从B转到A,怎样使A中控件的显示仍保持?即类似注册失败时返回,其他资料仍存在,仅密码需重输。 关于调色板管理器和动画的问题 请问如何使文本框处于选择状态(蓝底白字) J2EE 1.4 beat发布了。 找沈阳教VB的老师 MDI框架中如何判断是否有已经打开的窗口? 怎么给分呀? CString 问题 www.linuxforum.net怎么上不去了? 急!!!!在COM中的初级数据类型问题! oracle数据库连接问题!!! 有没有DirectX 8.1 SDK可下载! 急!在线等待,解决就结帐---》关于菜单效果的 请教高手,如何在VC里面对MSFlexGrid控件进行输入,请稍微详细地叙述一下。拜谢。 ASP团队开发需要什么? 有没有DirectX 8.1 SDK可下载! 请问各位大侠有Java 2 的API 中文说明文档吗在下先谢了 shellexecute 和winexec 有什么区别? ★★★为什么我添加一个BUTTON后双击后提示不能加入成员函数?★★★ 怎么向窗口发送一个虚拟键 (dos窗口 也就是dos下的exe文件) Please c____your answer carefully when you take an exam. 英文小说一般是用什么时态的?看过好多英文小说都是用过去式来写的,但是有人说也可以用现在时写小说.那英文小说一般用什么时态来写?作文呢?能说一下用这些时态的原因那就更好了. 背完新概念英语3和4册能否听得懂cctv9的英文我是指如果我背到滚瓜烂熟的程度! Please锛匡伎when you cross the road A听take care of听 B听care for C carefully D take care答案为什么选D而不选C呢?请解释详细一点! 英语翻译冒险型叙事性的小说,以第一人称叙述的.不是倒叙.唔 就是鬼吹灯啦 学完【新版】新概念英语第一册,基本口语会讲吗? If you have a ( ) to learn in America,please take it 动词在句首,什么情况加ing,什么时候变为不定时或不变第一种情况加ing是动名词,第二种情况动词非谓语形式变为 to do,第三种情况不变,是祈使句.都给我举一些例子,我需要例句. 伤感的反义词是什么 Miss Pink is my English teacher .改成一般疑问句, 动词放句首什么时候要加ing?什么时候不用? 伤感的反义词 grow 的三单:过去式:现在分词: 为什么句首动词加ing He asked me where Mike is from?where在从句中作状语吗?如果是,那么Mike is from怎么不完整?或者where是作介词from的宾语吗?关系副词除了在从句中作状语外难道还可以作宾语吗? grow过去式和过去分词 Miss Black is_______(me,my) brother,s math teacher.怎么答? where is michael from?的同义句 1)The clock is on the table .(用There be 句型改写)2)The soldiers are not afraid .(改肯定句,意思不变)3)The boy is drawing a horse .(改为一般时态)4)Some duckings swim in the poud .(改为现在进行时)5)The mouse is running in fron 动词作句首时有两种形式 但在哪种情况下 只用to加动词或动词ing He asked me where Mike is?where Mike is from?where在从句中做状语吗?如是那后面句子怎么不完整? 如何评价英国1867年的议会改革? grow的过去式和过去分词 写问句:1.They went to Englang by plane,2.No,Miss Li is a math teacher.3.He is 80kg.下还4.No,my mother went to Henan by bus.5.They are going to the library with her mom at 9a.m.5.Lt's rainy today. Miss Liu is a teacher.改为否定句,并作肯定回答.改为一般疑问句,并作否定回答 美味可乐鸡翅怎么做好吃 美味可乐鸡翅最正宗的做法 is because English is useful______.A.why we study it hard B.that we study it hardC.what we study hard D.which we study hard Miss Li is my teacher.改为一般疑问句 where.is.my.yellow.marker? 急求一篇题目为History is a useful subject in school英语文章我要参加枫叶杯的比赛,麻烦各位帮我寻摸一篇文章,希望能朗朗上口,好背诵,也不要太简单,我是初一的,2至3分钟左右吧,分可以再加我很着 what happened_your car?填哪个介词或副词 Where is the crayon?的中文是什么?xcbvhjcb To learn English is important and useful. 公共英语三级报名时间2014,和2015 where,is,the,cinema汉语意思是什么? where is she?j what do you often say to your father____ Father s Day用合适的介词或副词填空如题 so they need the ( )sleeping time. Where is she? 用介词或副词填空 What happened ------him last night an alarm clock is on the table.改为复数句格式是这样的:____alarm____ ____ on the table. where is 可乐鸡翅有哪些营养 我看的英文电影比你多,所以我的听力比你好些.英语翻译 想提高英语听力,看英语电影要不要字幕好?我想通过看英语电影,《走遍美国》等来提高英语听力.但我不知道要不要字幕好.是不要字幕,还是只要英语字幕,还是中英一起呢? and,dresser,alarm,is,my,on,clock连词成句 怎么练好英语听力?英文电影有用吗?看英文的电影有多大用处?活着说有没有用?如果想在三个月内把听力由一点基础到完全听懂日常对话,每天用到听力上的时间要多少? 被动语态:he said he might repair my watch this afternoon,so ithe said he might repair my watch this afternoon,so it (might have been repaired) if I go in on my way home early this evening.为什么括号中不是用might be repaired ______(介词)the corner of the street she came up to me (用汉语翻译) the room is ___ (介词) fire where is my mind 歌词中文意思 高尔基名言友谊就是力量急 介词填空 什么the money ,she bought a new coat 什么her father where is my knife 翻译成中文 真诚的,十分理智的友谊是人生无价之宝这句名言是什么意思 she said goodbye to her family ( )tears( )her eyes 用介词填空 where is my working time? 新概念英语学完能流利的口语对话吗? she carried a book ____her head .介词填空 分析英语小说应该用什么时态如题,我分析的小说本身是用一般过去式写成的,我叙述其中的内容的时候应该是用什么时态呢? 怎样学好新概念英语?出来工作已有一段时间了,由于工作要求想提高一下英语,请问各位大侠,如何才能达到自己想要的水平.
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘