Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss
Scriptausführung verhindern per .htaccess
10 views
Skip to first unread message
Oliver Betz
Mar 11, 2013, 3:38:26 AM3/11/13
to
Hallo Alle,
welche möglichst universelle Lösung verhindert die Ausführung
beliebiger Scripte in einem Verzeichnis (in dem Nutzer Dateien
hochladen können)? Der Inhalt von Dateien soll ausgeliefert werden.
Da es so viele Möglichkeiten gibt, Scriptsprachen einzubinden,
befürchte ich, etwas übersehen haben könnte.
"Options -ExecCGI" funktioniert in den meisten Shared Hostings.
Funktioniert aber nicht, wenn der Interpreter als Modul läuft.
Übersehe ich bei "SetHandler default-handler" etwas?
Das in http://httpd.apache.org/docs/current/mod/core.html#sethandler
dokumentierte "SetHandler None" hat in meinen Versuchen keine
erkennbare Wirkung gezeigt, über eine Erklärung würde ich mich freuen.
Servus
Oliver
--
Oliver Betz, Muenchen http://oliverbetz.de/
welche möglichst universelle Lösung verhindert die Ausführung
beliebiger Scripte in einem Verzeichnis (in dem Nutzer Dateien
hochladen können)? Der Inhalt von Dateien soll ausgeliefert werden.
Da es so viele Möglichkeiten gibt, Scriptsprachen einzubinden,
befürchte ich, etwas übersehen haben könnte.
"Options -ExecCGI" funktioniert in den meisten Shared Hostings.
Funktioniert aber nicht, wenn der Interpreter als Modul läuft.
Übersehe ich bei "SetHandler default-handler" etwas?
Das in http://httpd.apache.org/docs/current/mod/core.html#sethandler
dokumentierte "SetHandler None" hat in meinen Versuchen keine
erkennbare Wirkung gezeigt, über eine Erklärung würde ich mich freuen.
Servus
Oliver
--
Oliver Betz, Muenchen http://oliverbetz.de/
Olaf Schwartowski
Mar 11, 2013, 7:41:44 AM3/11/13
to
Ich kenne mich mit Linux nicht so gut aus, aber würde es nicht reichen,
wenn man dem Directory das Execute Bit wegnimmt?
Und wenn ein Upload kommt, das dann auch ohne das X-Bit speichern.
Oliver Betz
Mar 11, 2013, 7:55:01 AM3/11/13
to
Olaf Schwartowski schrieb:
[...]
>Ich kenne mich mit Linux nicht so gut aus, aber würde es nicht reichen,
>wenn man dem Directory das Execute Bit wegnimmt?
Bei Perl vielleicht, aber z.B. nicht bei PHP.
Servus
Oliver
--
Oliver Betz, Munich
despammed.com is broken, use Reply-To:
[...]
>Ich kenne mich mit Linux nicht so gut aus, aber würde es nicht reichen,
>wenn man dem Directory das Execute Bit wegnimmt?
Servus
Oliver
--
Oliver Betz, Munich
despammed.com is broken, use Reply-To:
Arno Welzel
Mar 11, 2013, 10:29:18 AM3/11/13
to
Am 11.03.2013 08:38, schrieb Oliver Betz:
> welche m�glichst universelle L�sung verhindert die Ausf�hrung
> beliebiger Scripte in einem Verzeichnis (in dem Nutzer Dateien
> hochladen k�nnen)? Der Inhalt von Dateien soll ausgeliefert werden.
>
> Da es so viele M�glichkeiten gibt, Scriptsprachen einzubinden,
> bef�rchte ich, etwas �bersehen haben k�nnte.
>
> "Options -ExecCGI" funktioniert in den meisten Shared Hostings.
> Funktioniert aber nicht, wenn der Interpreter als Modul l�uft.
> "Options -ExecCGI" funktioniert in den meisten Shared Hostings.
>
> �bersehe ich bei "SetHandler default-handler" etwas?
>
> Das in http://httpd.apache.org/docs/current/mod/core.html#sethandler
> dokumentierte "SetHandler None" hat in meinen Versuchen keine
> erkennbare Wirkung gezeigt, �ber eine Erkl�rung w�rde ich mich freuen.
> Das in http://httpd.apache.org/docs/current/mod/core.html#sethandler
> dokumentierte "SetHandler None" hat in meinen Versuchen keine
Bei Shared Hosting ist das �berschreiben von Handlern per .htaccess
nicht zwangsl�ufig m�glich.
Siehe auch <http://httpd.apache.org/docs/2.2/de/mod/core.html#allowoverride>
--
Arno Welzel
http://arnowelzel.de
http://de-rec-fahrrad.de
Oliver Betz
Mar 12, 2013, 6:34:37 AM3/12/13
to
Arno Welzel schrieb:
>Bei Shared Hosting ist das überschreiben von Handlern per .htaccess
>nicht zwangsläufig möglich.
>
>Siehe auch <http://httpd.apache.org/docs/2.2/de/mod/core.html#allowoverride>
danke für den Hinweis.
Aber wenigstens soll es einen "internal server error" geben, d.h. wenn
es nicht klappt, merkt man es auch dann, wenn man so nachlässig war,
die Maßnahme nicht zu überprüfen.
Servus
Oliver
--
>Bei Shared Hosting ist das überschreiben von Handlern per .htaccess
>nicht zwangsläufig möglich.
>
>Siehe auch <http://httpd.apache.org/docs/2.2/de/mod/core.html#allowoverride>
danke für den Hinweis.
Aber wenigstens soll es einen "internal server error" geben, d.h. wenn
es nicht klappt, merkt man es auch dann, wenn man so nachlässig war,
die Maßnahme nicht zu überprüfen.
Servus
Oliver
--
Gustaf Mossakowski
Mar 12, 2013, 8:44:06 AM3/12/13
to
Oliver Betz schrieb:
> welche m�glichst universelle L�sung verhindert die Ausf�hrung
Lade die Dateien in ein Verzeichnis hoch, das nicht unterhalb des
�DocumentRoot� liegt.
Nach Pr�fung, z. B. mit 'identify' von ImageMagick oder 'file' oder in
PHP mit 'getimagesize()', kannst du die Dateien, die einen der
gew�nschten Dateitypen haben (Whitelist), umbenennen (Dateiname ohne
Sonderzeichen + Erweiterung) und dann in ein Verzeichnis verschieben,
das �ber http erreichbar ist.
Ist sauber und spart Arbeit.
Viele Gr��e
Gustaf
> welche m�glichst universelle L�sung verhindert die Ausf�hrung
> beliebiger Scripte in einem Verzeichnis (in dem Nutzer Dateien
> hochladen k�nnen)? Der Inhalt von Dateien soll ausgeliefert werden.
Lade die Dateien in ein Verzeichnis hoch, das nicht unterhalb des
�DocumentRoot� liegt.
Nach Pr�fung, z. B. mit 'identify' von ImageMagick oder 'file' oder in
PHP mit 'getimagesize()', kannst du die Dateien, die einen der
gew�nschten Dateitypen haben (Whitelist), umbenennen (Dateiname ohne
Sonderzeichen + Erweiterung) und dann in ein Verzeichnis verschieben,
das �ber http erreichbar ist.
Ist sauber und spart Arbeit.
Viele Gr��e
Gustaf
Oliver Betz
Mar 12, 2013, 9:58:14 AM3/12/13
to
Gustaf Mossakowski schrieb:
wenn ich das richtig verstehe, deckt das nicht den Fall ab, Quelltext
zum Download anzubieten.
Und wenn Du mit "Erweiterung" die Zeichen nach dem letzten Punkt
meinst: Hilft nicht zuverl�ssig, das Thema hatten wir vor ein paar
Tagen, siehe <m1k3qcl...@khp-mbp.speedport_w_723v_1_26_000>
Servus
Oliver
--
zum Download anzubieten.
Und wenn Du mit "Erweiterung" die Zeichen nach dem letzten Punkt
meinst: Hilft nicht zuverl�ssig, das Thema hatten wir vor ein paar
Tagen, siehe <m1k3qcl...@khp-mbp.speedport_w_723v_1_26_000>
Servus
Oliver
--
Gustaf Mossakowski
Mar 12, 2013, 11:52:28 AM3/12/13
to
Oliver Betz schrieb:
> Gustaf Mossakowski schrieb:
>> Nach Prüfung, z. B. mit 'identify' von ImageMagick oder 'file' oder
tar, was auch immer). Meistens ist es doch nicht nur eine Datei, die man
braucht, und nicht nur ein Ordner, in dem die Dateien liegen.
> Und wenn Du mit "Erweiterung" die Zeichen nach dem letzten Punkt
> meinst: Hilft nicht zuverlässig, das Thema hatten wir vor ein paar
> Tagen, siehe <m1k3qcl...@khp-mbp.speedport_w_723v_1_26_000>
Ja, ich würde die Dateierweiterung auch direkt auf '.txt' ändern, nicht
auf '.php.txt'. Wenn du möchtest, dass die Datei direkt herunterzuladen
ist und sofort genutzt werden kann, kannst du mit dem
'Content-Disposition'-Header den vorgeschlagenen Dateinamen auf '.php'
enden lassen.
Speziell PHP kann man beim Apachen statt mit
AddHandler application/x-httpd-php .php
auch mit
AddType application/x-httpd-php .php
einbinden, dann besteht das Problem, das Karl in Message-ID:
<m1k3qcl...@khp-mbp.speedport_w_723v_1_26_000>
beschrieben hat, nicht.
Viele Grüße
Gustaf
> Gustaf Mossakowski schrieb:
>> Nach Prüfung, z. B. mit 'identify' von ImageMagick oder 'file' oder
>> in PHP mit 'getimagesize()', kannst du die Dateien, die einen der
>> gewünschten Dateitypen haben (Whitelist), umbenennen (Dateiname ohne
>> Sonderzeichen + Erweiterung) und dann in ein Verzeichnis
>> verschieben, das über http erreichbar ist.
>
> wenn ich das richtig verstehe, deckt das nicht den Fall ab, Quelltext
> zum Download anzubieten.
Quelltext zum Download würde ich in einem Archiv anbieten (gzip, zip,
> wenn ich das richtig verstehe, deckt das nicht den Fall ab, Quelltext
> zum Download anzubieten.
tar, was auch immer). Meistens ist es doch nicht nur eine Datei, die man
braucht, und nicht nur ein Ordner, in dem die Dateien liegen.
> Und wenn Du mit "Erweiterung" die Zeichen nach dem letzten Punkt
> Tagen, siehe <m1k3qcl...@khp-mbp.speedport_w_723v_1_26_000>
Ja, ich würde die Dateierweiterung auch direkt auf '.txt' ändern, nicht
auf '.php.txt'. Wenn du möchtest, dass die Datei direkt herunterzuladen
ist und sofort genutzt werden kann, kannst du mit dem
'Content-Disposition'-Header den vorgeschlagenen Dateinamen auf '.php'
enden lassen.
Speziell PHP kann man beim Apachen statt mit
AddHandler application/x-httpd-php .php
auch mit
AddType application/x-httpd-php .php
einbinden, dann besteht das Problem, das Karl in Message-ID:
<m1k3qcl...@khp-mbp.speedport_w_723v_1_26_000>
beschrieben hat, nicht.
Viele Grüße
Gustaf
Arno Welzel
Mar 12, 2013, 12:20:11 PM3/12/13
to
Am 12.03.2013 11:34, schrieb Oliver Betz:
> Arno Welzel schrieb:
>
>> Bei Shared Hosting ist das überschreiben von Handlern per .htaccess
>> nicht zwangsläufig möglich.
>>
>> Siehe auch <http://httpd.apache.org/docs/2.2/de/mod/core.html#allowoverride>
>
> danke für den Hinweis.
>
> Aber wenigstens soll es einen "internal server error" geben, d.h. wenn
> es nicht klappt, merkt man es auch dann, wenn man so nachlässig war,
> die Maßnahme nicht zu überprüfen.
Alternative: Lasse alle Zugriffe auf das fragliche Verzeichnis per
> Arno Welzel schrieb:
>
>> Bei Shared Hosting ist das überschreiben von Handlern per .htaccess
>> nicht zwangsläufig möglich.
>>
>> Siehe auch <http://httpd.apache.org/docs/2.2/de/mod/core.html#allowoverride>
>
> danke für den Hinweis.
>
> Aber wenigstens soll es einen "internal server error" geben, d.h. wenn
> es nicht klappt, merkt man es auch dann, wenn man so nachlässig war,
> die Maßnahme nicht zu überprüfen.
Rewrite-Regel auf ein Script umleiten, dass sich um die Auslieferung der
angefragten Dateien kümmert.
Oliver Betz
Mar 12, 2013, 2:40:29 PM3/12/13
to
Gustaf Mossakowski schrieb:
[Uploads umbenennen)
>> Und wenn Du mit "Erweiterung" die Zeichen nach dem letzten Punkt
>> meinst: Hilft nicht zuverl�ssig, das Thema hatten wir vor ein paar
>> Tagen, siehe <m1k3qcl...@khp-mbp.speedport_w_723v_1_26_000>
>
>Ja, ich w�rde die Dateierweiterung auch direkt auf '.txt' �ndern, nicht
>auf '.php.txt'. Wenn du m�chtest, dass die Datei direkt herunterzuladen
das l�uft dann auf eine Blacklist hinaus, welche Teilstrings aus
Dateinamen entfernt werden m�ssen. Ist ohnehin vorhanden, aber
Blacklists sind tendenziell unsicher.
Ich sehe noch nicht den Vorteil Deiner L�sung gegen�ber dem generellen
Abstellen der Skriptverarbeitung.
Servus
Oliver
--
Oliver Betz, Muenchen http://oliverbetz.de/
[Uploads umbenennen)
>> Und wenn Du mit "Erweiterung" die Zeichen nach dem letzten Punkt
>> Tagen, siehe <m1k3qcl...@khp-mbp.speedport_w_723v_1_26_000>
>
>Ja, ich w�rde die Dateierweiterung auch direkt auf '.txt' �ndern, nicht
>auf '.php.txt'. Wenn du m�chtest, dass die Datei direkt herunterzuladen
das l�uft dann auf eine Blacklist hinaus, welche Teilstrings aus
Dateinamen entfernt werden m�ssen. Ist ohnehin vorhanden, aber
Blacklists sind tendenziell unsicher.
Ich sehe noch nicht den Vorteil Deiner L�sung gegen�ber dem generellen
Abstellen der Skriptverarbeitung.
Servus
Oliver
--
Oliver Betz, Muenchen http://oliverbetz.de/
Gustaf Mossakowski
Mar 13, 2013, 3:50:36 AM3/13/13
to
Oliver Betz schrieb:
> das läuft dann auf eine Blacklist hinaus, welche Teilstrings aus
> Dateinamen entfernt werden müssen. Ist ohnehin vorhanden, aber
> Blacklists sind tendenziell unsicher.
Müssen die URLs denn unbedingt Punkte enthalten? Du kannst auch alle
Punkte durch Leerzeichen, Minuszeichen oder ähnliches ersetzen. Und dann
kommt hinten die Dateieindung dran.
Bei Dateiuploads arbeite ich nur mit Whitelists, da ich auch den
Dateityp prüfe (ist das PDF wirklich ein PDF oder doch nur ein JPEG).
Die Anzahl der unterstützten Dateiformate sollte im Normalfall doch
recht überschaubar sein, oder?
> Ich sehe noch nicht den Vorteil Deiner Lösung gegenüber dem generellen
> Abstellen der Skriptverarbeitung.
Kommt drauf an, was man möchte und was möglich ist. Welcher Lösungsweg
konkret der Beste ist, wirst du besser sagen können. Meine Lösung wäre
eh eine andere, ich liefere Dateien per Skript aus, wie auch Arno in
Message-ID: <khnkgp$qlp$1...@dont-email.me> schreibt. Dann muß man ein paar
Funktionen des Webservers nachbilden, kann aber dafür genau bestimmen,
was passiert.
Viele Grüße, Gustaf
> das läuft dann auf eine Blacklist hinaus, welche Teilstrings aus
> Dateinamen entfernt werden müssen. Ist ohnehin vorhanden, aber
> Blacklists sind tendenziell unsicher.
Müssen die URLs denn unbedingt Punkte enthalten? Du kannst auch alle
Punkte durch Leerzeichen, Minuszeichen oder ähnliches ersetzen. Und dann
kommt hinten die Dateieindung dran.
Bei Dateiuploads arbeite ich nur mit Whitelists, da ich auch den
Dateityp prüfe (ist das PDF wirklich ein PDF oder doch nur ein JPEG).
Die Anzahl der unterstützten Dateiformate sollte im Normalfall doch
recht überschaubar sein, oder?
> Ich sehe noch nicht den Vorteil Deiner Lösung gegenüber dem generellen
> Abstellen der Skriptverarbeitung.
Kommt drauf an, was man möchte und was möglich ist. Welcher Lösungsweg
konkret der Beste ist, wirst du besser sagen können. Meine Lösung wäre
eh eine andere, ich liefere Dateien per Skript aus, wie auch Arno in
Message-ID: <khnkgp$qlp$1...@dont-email.me> schreibt. Dann muß man ein paar
Funktionen des Webservers nachbilden, kann aber dafür genau bestimmen,
was passiert.
Viele Grüße, Gustaf
0 new messages