Batch-Datei über Webinterface ausführen
Tobias Bundy
kann mir jemand einen Hinweis geben wie ein IIS 5.0 konfigueriert werden
muß, damit Batchdateien über einen Zugriff via Web-Browser ausgeführt werden
können ?
Danke schon mal
Tobias
Sven Sprandel
es gibt ein Komponente namens ASPExec, die .exe und .bat Dateien ausführen kann.
Gibt´s bei http://www.serverobjects.com/products.htm
Gruß Sven
Teemu Schaabl
"Sven Sprandel" <spra...@gmx.net> wrote in message
news:3A7741B6...@gmx.net...
> Hi,
>
> es gibt ein Komponente namens ASPExec, die .exe und .bat Dateien
ausführen kann.
>
> Gibt´s bei http://www.serverobjects.com/products.htm
>
> Gruß Sven
>
>
Naja, unter dem Motto " Tschueß Sicherheit" ;-) - Man koennte sich auch
eine NT 4
Maschine mit SP 3 nehmen, da das Option Pack draufknallen, keinen hotfix
einspielen
- da ist das ausfuehren von exe´s noch ein feature ;-)
lg
teemu
Sven Sprandel
prinzipiell wird die Sicherheit durch die Komponente nicht beeinträchtigt.
Ob auf NT überhaupt venünftige Sicherheit vorhanden ist, sei mal
dahingestellt...
Die exe-Dateien lassen sich ja nur aus ASP-Scripten starten, die auf dem
Server liegen. Wenn NTFS intalliert ist kommt dazu noch, daß der IUSR
Ausführungsrechte auf die Datei haben muß.
Ich denke nicht, das man sich dadurch große Sicherheitslöcher einbaut.
Gruß Sven
p.s. der Aufruf sieht so aus:
<%
Set Executor = Server.CreateObject("ASPExec.Execute")
Executor.Application = "notepad.exe"
strResult = Executor.ExecuteWinApp
%>
Stefan Falz
Sven Sprandel <spra...@gmx.net> schrieb im Newsbeitrag:
3A7813D1...@gmx.net...
> Hallo,
>
> prinzipiell wird die Sicherheit durch die Komponente nicht beeinträchtigt.
??? Das meinst du jetzt nicht wirklich.
> Ob auf NT überhaupt venünftige Sicherheit vorhanden ist, sei mal
> dahingestellt...
Wenn man es ordentlich macht, gehts doch ;)
> Die exe-Dateien lassen sich ja nur aus ASP-Scripten starten, die auf dem
> Server liegen. Wenn NTFS intalliert ist kommt dazu noch, daß der IUSR
> Ausführungsrechte auf die Datei haben muß.
Das ist im Prinzip richtig, aber ich denke, wenn sich einer ein Skript
schreibt,
bei dem man die auszuführende Datei auswählen kann kanns arge Probleme
geben. Es soll schon passiert sein, dass so in etwa 5.000 Kundenwebs
auf einem (kanadischen?) Server gelöscht wurden.
> Ich denke nicht, das man sich dadurch große Sicherheitslöcher einbaut.
Ne? Dann aber obacht.
[test.bat]
@ECHO OFF
rmdir /S /Q X:\
DAS IST NUR EIN BEISPIEL UND NICHT ZUM
AUSFÜHREN GEDACHT. KEINE HAFTUNG FÜR
SCHÄDEN JEDWELCHERT ART!
Und dann noch die Batch-Datei versteckt ausgeführt und schon
ist dein Sicherheitsloch nicht mehr da!?
--
Tschau, Stefan
http://www.aspfaq.de
http://www.aspforum.de
Sven Sprandel
ich bleibe schon bei meiner Meinung. So eine Komponente
beeinträchtigt die Sicherheit nicht maßgeblich.
Als Beispiel mit dem nahezu selben Effekt wie die .bat-Datei,
könnte man mit dem FileSystemObject mit z.b. folgenden
Script mächtigen Wirbel anrichten
<%
set fileobj = Server.CreateObject("FileSytemObject")
set listfilder = fileObj.GetFolder("c:\winnt")
for each filname in listfolder.Files
fileobj.deleteFile filename
next
%>
DAS IST EBENFALLS NUR EIN BEISPIEL UND NICHT
ZUM AUSFÜHREN GEDACHT. KEINE HAFTUNG FÜR
SCHÄDEN JEDWELCHERT ART!
Wenn jemand dem IUSR Schreibrechte auf sein Systemverzeichnis
gibt - oder generell auf irgendwelche Verzeichnise außerhalb seines
Homeverzeichnisses - dann ist eben alles zuspät.
Und, was denkst du darüber?
Gruß Sven
Stefan Falz
Sven Sprandel <spra...@gmx.net> schrieb im Newsbeitrag:
3A78B9BD...@gmx.net...
> Hallo Stefan,
>
> ich bleibe schon bei meiner Meinung. So eine Komponente
> beeinträchtigt die Sicherheit nicht maßgeblich.
Ich denke schon, aber das ist wahrscheinlich eine Grundsatzfrage
und es ist ja auch gut, wenn nicht immer alle einer Meinung sind.
> Als Beispiel mit dem nahezu selben Effekt wie die .bat-Datei,
> könnte man mit dem FileSystemObject mit z.b. folgenden
> Script mächtigen Wirbel anrichten
[...]
Stimmt, könnte man. Du musst aber bedenken, dass
die Skript (also auch das FSO) im Userkontext des
IUSR laufen, die Batchdatei normalerweise nicht.
(Ausser man rgeistriert die Komponente im MTS
und stellt den entsprechenden Userkontext ein).
Aber selbst dann gibts mit Batchdateien Probleme.
Lediglich für die Komponente benötigt man Rechte
für den IUSR. Der abgesetzte Shell-Befehl (habs
gerade getestet mit einem Verzeichnis, dass absolut
nur für den Administrator zugänglich war) ruft die
Batchdatei auf, diese wird ausgeführt und fertig.
Das Verzeichnis mit allem drin ist weg.
> Wenn jemand dem IUSR Schreibrechte auf sein Systemverzeichnis
> gibt - oder generell auf irgendwelche Verzeichnise außerhalb seines
> Homeverzeichnisses - dann ist eben alles zuspät.
> Und, was denkst du darüber?
Schreibrechte auf das Systemverzeichnis sollten natürlich
keine vergeben werden, aber wie du oben siehst, gibts
bei solchen Komponenten auch das Problem, dass die
Ausführung im aktuellen Userkontext ausgeführt wird
und wenn der die Rechte hat (wovon man ausgehen kann)
gibts arge Probleme.
Teemu Schaabl
> Hallo,
>
> prinzipiell wird die Sicherheit durch die Komponente nicht
beeinträchtigt.
> Ob auf NT überhaupt venünftige Sicherheit vorhanden ist, sei mal
> dahingestellt...
Kein System kannst du mit den Defaulteinstellungen als sicher betrachten,
das ist
Herstellerunabhaengig. Du kannst NT oder W2k sehr wohl auf einen Level
bringen,
den man als sicher betrachten kann .. (by the way: was ist sicher?? ich
behaupte mal,
es gibt kein, alles ist nur Risikomanagment). Nur sind hierzu tiefgreifende
Aenderungen
am Basisbetriebssystem noetig - dazu muß man das OS und die Services
ganzheitlich betrachten,
und die Abhaengigkeiten kennen. (Bei NT, entfernst du z.b. das posix und
os/2 subsystem, und du
hast schon ein paar prob´s weniger). Jeder Rechner ist nur so sicher wie
der Tysp der davor sitzt
> Die exe-Dateien lassen sich ja nur aus ASP-Scripten starten, die auf dem
> Server liegen. Wenn NTFS intalliert ist kommt dazu noch, daß der IUSR
> Ausführungsrechte auf die Datei haben muß.
> Ich denke nicht, das man sich dadurch große Sicherheitslöcher einbaut.
>
> Gruß Sven
>
>
> p.s. der Aufruf sieht so aus:
> <%
> Set Executor = Server.CreateObject("ASPExec.Execute")
> Executor.Application = "notepad.exe"
> strResult = Executor.ExecuteWinApp
> %>
>
Nochmal: Du installierst dir wirklich ein Ding, mit dem du Executables
ueber
einem Browserausfuehren kannst? Probiers doch ein mit Perl und
einer modifizierten url in der form
http://www.irgdendwas.de/scripts/perl.exe?e%20"system%20('copy%20c:\\winnt\
\repair\\sam._%20d:\\ftp')
wozu brauchst du dann noch irgendein anderes Produkt?
is vielleicht aus Entwicklersicht schwer zu verstehen,
aber ich hab andere Prioritaeten beim Betreiben eines Servers,
lg
teemu