说三道四技术文摘-感悟人生的经典句子
说三道四 > 文档快照

用Delphi编写CGI程序(五)

HTML文档下载 WORD文档下载 PDF文档下载
用Delphi编写CGI程序(五)

CGI 程 序 的 功 能 是 强 大 的

但 正 是 因 为 如 此 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话,将 使 您 的 系 统 千 疮 百 孔。 本 篇 就 CGI的 安 全 性 问 题 做 一 讨 论。

3 、 CGI 的 安 全 性

CGI 程 序 的 功 能 是 强 大 的 , 它 不 仅 可 以 具 有 普 通 程 序 的 功 能 , 而 且 可 以 将 程 序 的 结 果 发 布 在 WEB 上 。 但 正 是 因 为 CGI 程 序 的 功 能 如 此 强 大 , 如 果 您 作 为 CGI 开 发 人 员 或 系 统 管 理 人 员 不 注 意 编 写 和 设 置 CGI 程 序 的 话 , 将 使 您 的 系 统 千 疮 百 孔 , 让 一 些 非 法 用 户 有 机 可 乘 。

这 里 所 讲 到 的 安 全 性 并 不 是 CGI 规 范 引 起 的 , 而 是 编 程 和 系 统 设 置 不 当 引 起 的 。 CGI 规 范 使 用 户 可 以 利 用 服 务 器 的 计 算 能 力 , 是 在 服 务 器 上 的 计 算 不 当 导 致 了 系 统 的 安 全 漏 洞 。 下 面 我 给 出 一 个 在 UNIX 系 统 上 的 一 个 CGI 安 全 漏 洞 , 这 个 漏 洞 是 非 常 常 见 的 。

# !/usr/local/bin/perl

# formmail.cgi

require "cgi.pl";

# Launch e-mail application "/bin/mail" with Subject: header from the "formname" field

open (MAIL

|/bin/mail -s '

.$input{"formname"}."' webweave");

# Add send "formcontents" field as the body of the message

print MAIL $input{"formcontents"};

close(MAIL);

exit(0);

在 这 个 例 子 中 , CGI 程 序 将 表 单 的 信 息 提 交 给 /bin/mail , 并 发 送 到 webveave 服 务 器 上 去 。 在 大 多 数 情 况 下 这 个 CGI 程 序 可 以 正 常 完 成 任 务 , 但 此 CGI 程 序 未 过 滤 用 户 在 WEB 表 单 中 输 入 的 信 息 , 因 此 留 下 了 安 全 隐 患 。 当 用 户 或 别 有 用 心 的 人 输 入 了 错 误 的 数 据 可 能 导 致 系 统 错 误 或 得 到 不 应 有 的 权 限 。

例 如 用 户 在 WEB 表 单 的 "formname" 中 填 写 下 面 的 内 容 :

ls /etc/passwd 'cracker@illegal.org #'    在 用 户 的 WEB 浏 览 器 中 就 会 显 示 出 /etc/passwd 的 内 容 , 若 此 UNIX 系 统 的 passwd 文 件 没 有 shadow , 用 户 就 可 以 利 用 此 内 容 , 使 用 crack jack 或 crack john 就 可 以 试 图 破 解 密 码 !    前 面 已 经 提 到 , CGI 的 安 全 是 程 序 员 和 系 统 管 理 员 都 应 负 责 的 , 下 面 我 就 分 别 讲 一 讲 二 者 应 注 意 的 事 :    系 统 管 理 员 的 工 作 :    1 、 与 程 序 员 合 作 , 共 享 有 关 服 务 器 安 全 的 信 息 , 同 时 互 相 检 查 代 码 , 及 时 发 现 代 码 中 的 安 全 问 题 。    2 、 使 用 好 的 服 务 器 软 件 , 经 常 去 服 务 器 软 件 的 WEB 站 点 了 解 最 新 的 信 息 。    3 、 将 服 务 器 的 用 户 限 制 在 特 定 的 网 络 主 机 上 , 使 用 服 务 器 的 安 全 管 理 功 能 、 设 置 路 由 存 取 控 制 等 。    4 、 对 CGI 功 能 进 行 限 制 , 部 分 高 级 服 务 仅 限 于 信 任 的 用 户 , 将 测 试 中 的 CGI 程 序 的 使 用 限 制 在 开 发 人 员 中 , 只 提 供 给 用 户 经 过 测 试 的 CGI 程 序 。    5 、 在 使 用 其 他 人 的 CGI 程 序 时 , 仔 细 检 查 代 码 。    6 、 将 CGI 程 序 的 使 用 限 制 在 受 保 护 的 环 境 中 , 服 务 器 设 置 成 非 特 权 用 户 访 问 , 并 为 CGI 程 序 专 门 设 立 一 个 运 行 帐 户 或 组 。    7 、 将 运 行 CGI 程 序 的 服 务 器 设 置 在 防 火 墙 外 , 这 一 点 一 定 要 注 意 , CGI 程 序 的 服 务 器 必 须 设 置 在 防 火 墙 外 , 如 果 设 置 在 防 火 墙 内 , 一 旦 非 法 用 户 找 到 了 CGI 程 序 服 务 器 的 安 全 漏 洞 , 他 就 可 以 控 制 在 防 火 墙 内 的 所 有 主 机 !    8 、 降 低 CGI 程 序 的 运 行 优 先 级 , 防 治 用 户 恶 意 运 行 大 量 的 CGI 程 序 导 致 服 务 器 过 载 。    9 、 订 阅 有 关 网 络 安 全 性 的 邮 件 , 参 加 网 络 安 全 性 的 新 闻 组 。    CGI 程 序 员 的 工 作 :    1 、 同 系 统 管 理 员 合 作 , 了 解 系 统 的 安 全 信 息 , 相 互 检 查 代 码 。    2 、 使 用 可 靠 的 库 程 序 , 检 查 库 程 序 的 源 代 码 。    3 、 从 REMOTE_HOST 中 得 到 客 户 机 名 , 将 一 些 高 级 功 能 限 制 在 受 信 任 的 客 户 机 。    4 、 如 果 WEB 服 务 器 提 供 HTTP 口 令 确 认 , 使 用 HTTP 口 令 来 限 制 访 问 。    5 、 过 滤 用 户 的 输 入 , 去 除 非 法 的 输 入 数 据 。    6 、 限 制 输 入 数 据 的 大 小 , 防 止 恶 意 用 户 输 入 大 量 数 据 使 服 务 器 过 载 。    7 、 避 免 传 递 用 户 数 据 到 其 他 应 用 程 序 , 以 免 用 户 调 用 命 令 解 释 器 或 利 用 其 他 应 用 程 序 的 安 全 漏 洞 。    8 、 发 现 了 CGI 程 序 的 漏 洞 时 , 不 要 对 任 何 人 讲 , 更 不 要 在 程 序 中 注 释 说 明 , 您 应 该 作 的 就 是 立 刻 修 补 漏 洞 。    9 、 学 作 攻 击 者 , 找 出 CGI 程 序 的 安 全 漏 洞 。

平板创作3D展现:蒙特利尔大学发明Hyve-3D设计系统 Quick Charge技术解析:关于手机快速充电的那些事儿 性能分析十八招,你用哪一招? 流程在企业内的作用及成熟度 Gartner:至2017年Chromebook销量将增2倍 后稀缺时代思考:机器横行下的人类夹缝求生 TIOBE 2014年8月编程语言排行榜:Swift跌出Top 20 精华回顾!历届MDCC大会精彩演讲与议程汇总 《近匠》Fancy3D:亿级游戏背后的轻量级引擎 假如李小龙是程序员…… Docker已扎根新一代PaaS 三星或发布首款头戴式VR设备Project Moonlight 英特尔亚太研发总经理何京翔:数据化时代背后的智慧 云络网络科技CEO Steve Mushero:游戏行业的云运维 腾讯游戏运营管理中心总监刘栖铜:腾讯游戏云的理想与实践 一号专车产品总监曹景辉:LBS应用仍有无限的创新空间 昆仑游戏总裁张益豪:做好中国游戏的海外代理 游族首席运营官陈礼标:重点打造全球化IP 我是怎么利用微信月收入三万以上的! 我的Y Combinator黑客马拉松之感! 最炫HTML5 JavaScript框架Famo.us融资2500万美元 看板先驱David J. Anderson:看板方法拉动互联网时代敏捷变革 《近匠》增强现实开发团队LegendTech:AR技术现已加入15元豪华午餐 微软新技术:简单修改,手机摄像头摇身变3D深度相机 Black Hat USA安全隐患盘点及黑客奥斯卡颁奖 MDCC免费展位报名火热!数量有限,征集进行中 迪游信息科技CEO张晓雷:中日游戏面面观 百余款智能电视创意类应用参赛角逐 Top13 App新鲜出炉! 微信公众平台开发——如何保证access_token长期有效? 拼的就是速度!超快HTML5 2D渲染引擎Pixi.js 一周消息树:百度“涉黄”遭警告,网盘内容审核的四种方式 bcb中缺少的帮助文件能否再添加? 在哪里可以找到关于sybase的资料 哪位仁兄知道如何打包delphi开发的sybase客户程序,最高78分奉送 一个关于OnDraw()的重绘问题,急急急急急急急! 新手的问题! dll调问题???VB调用VC++的DLL需要返回值时,DLL如何定义?VB调用函数如何定义??? 各位大虾 谁能提供视频采集卡的原代码,必须要CB的,300分 在堆(heap)上与在栈(stack)上建立的对象有什么区别? 一个问题,在做元件时怎样建立TdateTimePicker 给大家看看我弟弟给我的信 求助,标题栏为“The police are investigating the robbery-"的是什么程序? 谁能将.CPP文件的代码翻译成DELPHI语言?? 有关于FLASH5.0的问题!!!请各位大吓指点! 一个问题,怎样在PC:PageControl上增加TabSheet1,TabSheet1,TabSheet1…. 标题栏为“The police are investigating the robbery-"的是什么程序? 一个弱弱的问题 一个问题,建立的 FB: TBevel没显示,好象根本没建立一样。 如何在 MDI CLIENT 中添加快捷方式??谢谢!! 55分,如何映射控件中子控件的消息? 如何选择书 关于文献数据库的一个问题-如何把一个字段和一个文件关联起来? 所有喜欢到水园来逛逛,但是从不回帖子或很少回帖子的人进来签到~~~~ 谁来救救我呀,我好惨呀。。。。 如何通过VC编程,随时关闭网络端口 诚寻对嵌入式linux感兴趣的网友 今天临走前,再灌一桶酒! 急!!!哪里可以下载到制作工具栏时用到的位图呀? 太原的在哪能买到程序员杂志 我的qq:10120129 谁找我??? xml 高手帮帮我,为什么我下面的文件,在IE5.0中什么也没有?? 请问高手:在uml类图中如何用关系表示一个实体类和一个接口间的关系。 Cathy进来~~ 请问高手们一个Delphi的一个应该是比较底层的东西。 mimi大酒店正式開業﹗先進來的有分啊﹗ 哪个高手完整地讲讲OpenWith菜单项的调用方法和函数等 关于非模态对话框中使用UpdateData(FALSE)函数的问题,朋友,帮个忙好吗? “记事本”小问题,大逻辑.大虾们,照顾照顾小弟呗. Linux下配置ISDN--期待所有的Linux高手到来?? 我是女生,哈哈 急,怎么样在打印表格时使较长的字段分两行显示,并字体变小。 在VB里做的用户控件为什么在VC不能调用啊! 不服不行(真没辙了)[不够可在加200分] 我的代理怎么了? 寻找能显示CAD图纸的delphi控件 偶要给lastlove(☆☆☆☆☆robin★★★★★)放高利贷了! 哪位做过读取网卡地址的动态链接库? c++builder与sql server 2000的sql语言兼容性问题 为什么TWaitThread的帮助在help里找不到? 有关WIN2K策略的设置? TREEVIEW中如何打印结构树? 如何测智力? 物理和智商有关系么,为什么有些女生物理好但是数学不好呢 一个如图所示的不规则形铁片,其缺口边界是口宽4分米,深2分米(顶点至两端点A,B所在直线的距离)的抛物线的一部分,先要将其缺口边界裁剪为等腰梯形.(1)若保持其缺口宽度不变,求裁剪 测智力如何测? 高中物理学不好是不是和智商有关系?是或者不是.不要听什么假安慰的话那有没有改进的方法? 求解啊 数学大神速度来 钱学森的数学智力测试题?8————————》99 11———————》126 26———————》26115———————》? 帮忙找一些物理方面的智力问答题,RT要的,至少20道吧…… 数学第15,16题. (初二英语智力测试题) 具体地说说为什么!At a school outing 81℅ of the boys lost a shoe,82℅ of the boys lost a sock,77℅ of the boys a cap and 68℅ of the boys lost a bag.What's the least percentage who lost all 4 things? 为什么1+1+2 不等于三谢谢了, 16题, 狂风暴雨神倒颠打一生肖 2/(√3-1)等于多少谢谢了, 第15,16题 求神级智商解答! (2)(3)求大神 16题 神起的红色风暴和神话的白色风暴是怎么一回事.?什么叫不要成为第2个ANDY.?SM公司打过艺人么,? 数学大神请入3+6+9+……+3n=? 数学习题,必好评,15,16 小明和小华一起做功课,小明对小华说:“我出一道题给你做做:一个多边形各内角都等于72°,求这个多角形的边数.”小华想了想,答不上,后来他对小明说:“我也考考你:一个凸四边形的四 1加1在什么时后会等于3大神们帮帮忙 第15,16两题, 有1、2、3、4四个数 2 的出现几率是1的一半、3的出现几率是2的一半、4的出现几率是3的一半.1、2、3、4 的出现几率加一起等于1(100%)那么1、2、3、4的出现几率各是多少 公式是什么?同理5个 一加一可以不等于二,一加一可以等于三吗? 15、16两题 我的神 我的神把两个式子相加得到:a3+a7-a10+a11-a4=12=a3+a11-(a10+a4)+a7=12 因为a3+a11=a10+a4所以 要是-(a10+a4)+ a3+a11那就=0了 所以就是0+a7=12 然后…… 然后就求出来了.问;为什么不能用3+7-10=0 11-4-7 求大神解这两道题,原谅我数学不好…详细请看图 15和16两题 龟与神赛跑的数学问题叫什么之论?龟与神赛跑,神先让龟跑一段距离,然后神再追.问神能否追上.答案是实际神能追上,理论追不上龟. 寻极度无聊IQ题必须系搞笑的!例如铁甲无敌奖门人之类嘎 10个以上才要!多1个+给1分 15和16两题谢谢 神才能做的高一数学难题数列{10^(n/11)}前n项之积大于10^5的最小正整数n=?(最好有过程,感激不尽!) 大神救我QAQ[请原谅我这捉鸡的智商,诶我居然没有把图放上去.. 求15,16两题, we want to know in____ case people's hidden consciousness can be developedA which B that C whose D what为什么不选A啊 2 Albert Einstein was the first man_____the great amount of energy locked in theatomA to realize B realize C realized D having 极度无聊IQ题:有一日,小明去饮酒,饮到好夜,于是就在沙发睡觉.第二日小明妈妈就报警,这是为什么? 考研数学课本重要还是习题册重要 CAD请问这个几何图形怎么做啊,想了几天了,求大神们回答,外形差不多这样,已知道尺寸. 求 的一道超级难题 智商高的来做一做 阅读短文 回答问题(18分)松树与紫藤松树与紫藤同在山坡下生长,一天,紫藤以鄙视的口气说:“小松鼠,你怎么长成这个样子,像一根木桩,孤零零的,多 关于2009年数学一考研真题第17题求助,数一17题第二问说求体积,那个就是用锥体的体积减去椭球体的一部分,这部分的求法很多,我是想用二重积分曲顶柱体的体积算法,即把x解出来,然后做积分, 英语翻译 2.06千米为什么等于2千米60米?为什么2.06千米等于2千米60米? 如图,第一步,和第二步的依据是什么啊?好像没有相应的定理吧? 12个9加减乘除等于1212,急…… 1+1为啥等于2? 10----16题怎么写? 1-3-7-5加减乘除怎么得24? 1+1会等于2吗?求大神帮助 判断题:1.如果甲数的三分之二大于乙数的四分之三(甲乙都不等于0),那么甲数小于乙数.(为什么错?)2.体积相等的两个长方体,他们的表面一定相等.为什么错?1.a是一个大于0,而不大于1的数, 分数加减乘除法的意义和整数加减乘除法的意义有什么不同问答题 观察下列算式:2的一次方=2,2的2次方=4,2的三次方=8...用你所发现的规律写出2的2012次方的个位数字是多少? ..数学14、15、16题求讲解 我测过一个33道问题的那个,但分太低,我不可能就有比弱智聪明一点!谁有再给我一个 将八个8用加减乘除等运算符连起来,怎么得到1000? 用适当的方法做, 过程完整点 怎样测智力?智力 我智商130左右,但为什么还是学不好数学和物理啊.做了许多测试,智商在130左右.其中一种测试中显示我右脑智商70+,左脑智商50+.数学和物理是用的哪个脑? 设公差不为0的等差数列an的首项为1,且a6=a2^2,求数列an的通项公式,若bn满足bn=nan+5n,求{1/bn}的前n项和Tn
备案号:鲁ICP备13029499号-2 说三道四 www.s3d4.cn