亚洲AV无码乱码在线观看不卡|最新大伊香蕉精品视频在线|亚洲不卡av一区二区|国产美女无遮挡免费

登錄論壇 | 注冊(cè)會(huì)員 設(shè)為首頁 | 收藏本站
當(dāng)前位置 : 首頁>網(wǎng)絡(luò)\服務(wù)器>學(xué)堂>正文
 
FTP服務(wù)器關(guān)于權(quán)限的問題

http://m.yibo1263.com 2008-12-22 11:28:32  來源:東北IT網(wǎng)  編輯:葉子
 

很多電影網(wǎng)站,論壇或其它機(jī)構(gòu)為了方便會(huì)員或成員上傳電影或者交流文件,都允許用戶的上傳權(quán)限,因?yàn)橹挥性试S這個(gè)權(quán)限,用戶才可以上傳文件,但這個(gè)權(quán)限在允許斷點(diǎn)再傳的ftp服務(wù)器中,可以導(dǎo)致很大的問題出來。

允許斷點(diǎn)再傳的ftp服務(wù)器程序,都必須支持一個(gè)“Rest”的命令,如果這個(gè)命令是用在上傳命令前(send命令), 是告訴ftp服務(wù)器我要上傳的文件會(huì)是從ftp服務(wù)器中存在的那個(gè)文件的什么位置中開始寫。

假設(shè)ftp服務(wù)器中存在一個(gè)文件Readme.txt,文件大小為1000 bytes,連接上這個(gè)ftp服務(wù)器(假設(shè)我有寫權(quán)限,ftp服務(wù)器是支持?jǐn)帱c(diǎn)再傳的),我本地中也有一個(gè)叫Readme.txt的文件,文件大小為 500 bytes。好了,我開始做壞事。

1、連接上這個(gè)ftp服務(wù)器(用系統(tǒng)自帶的 ftp://ftp.exe/,在內(nèi)網(wǎng)的可能無法使用,因?yàn)?ftp://ftp.exe/用的是port模式)

2、dir(查看Readme.txt大小,確定了是1000 bytes)

3、quote rest 1000(告訴ftp服務(wù)器我將要傳送的文件是從文件位置1000開始)

4、send Readme.txt

5、dir(再次查看Readme.txt大小,現(xiàn)在Readme。txt變成1500 bytes了)

為什么Readme.txt會(huì)變大了?很簡(jiǎn)單,因?yàn)槲冶镜氐哪莻(gè)Readme.txt的500字節(jié)上傳成功,并寫入到ftp服務(wù)器中存在的那個(gè) 1000 bytes的Readme.txt文件中了。問題是出在第二條命令,如果沒有第二條命令,我的第4個(gè)命令(Send Readme.txt),就會(huì)得到一個(gè)Permission Deny的錯(cuò)誤,第二條命令是讓ftp服務(wù)器信任我們將要進(jìn)行一個(gè)斷點(diǎn)再傳的操作,如果沒有第二條命令,ftp服務(wù)器將以為我們進(jìn)行的是一個(gè)復(fù)蓋原文件的操作(復(fù)蓋原文件操作需要另外的權(quán)限才可以進(jìn)行)。

說到這里,大家應(yīng)該明白了主題的意思了吧,通過很簡(jiǎn)單的操作,任何具有寫權(quán)限的用戶,都可以改動(dòng)其它用戶上傳的文件,單是這一點(diǎn),就存在很大的安全漏洞了。如果上傳的是重要文件,隨意的修改可以令文件完全破壞了;如果是可執(zhí)行文件或一些zip或rar文件,會(huì)不會(huì)有些熟悉各種文件結(jié)構(gòu)的天才瘋子,將一些惡意代碼也加到那些文件,令執(zhí)行者系統(tǒng)受到破壞或者執(zhí)行了他們的后門代碼或其它,由于本身對(duì)于這些文件結(jié)構(gòu)并不熟悉,我只說這是一個(gè)未知之?dāng)?shù)。

但在電腦的世界中,很多不可能的事最后都被創(chuàng)造成可能,所以我無法下定論。但單是能破壞到文件這一點(diǎn),已是很具破壞性了,想想一個(gè)500M的影視文件,被人多加了字節(jié)進(jìn)去的話,估計(jì)是無法再被觀看的了,播放這些文件的程序一般都會(huì)說不是合法的影視文件,無法播放等等。至于zip,rar等文件,winzip或winrar肯定會(huì)說壓縮文件已遭到破壞,crc檢驗(yàn)碼不對(duì)等等的錯(cuò)誤。

這個(gè)問題只是在允許斷點(diǎn)再傳的FTP服務(wù)中存在,但現(xiàn)在90%的FTP服務(wù)程序都是允許斷點(diǎn)再傳的,所以這問題在普遍的FTP服務(wù)器都會(huì)存在。

如果一定需要給用戶上傳權(quán)限的話,最好的防范方法是每個(gè)用戶都給他建立一個(gè)目錄,將那個(gè)用戶的權(quán)限完全鎖在這個(gè)目錄內(nèi),那么用戶就沒有權(quán)限可以查看其它用戶的目錄,也就是說無法造成以上所說的破壞。

以上所說的在Serv-U V4.0中測(cè)試過,測(cè)試平臺(tái)是Win 2K Server。如果其它ftp服務(wù)程序不存在這種問題,那不在此文章討論范圍內(nèi)。現(xiàn)在系統(tǒng)中架設(shè)ftp服務(wù)器,用得最多最流行的還是Serv-U,所以管理員們要多留心了。這文章并不是要教人做壞事,如果你用這種方法去破壞ftp服務(wù)器的文件,唯一要負(fù)責(zé)任的人是你。引用一句古龍小說中的話:“刀本身并沒有錯(cuò),錯(cuò)的是拿它的手”。

 
收藏】【打印】【進(jìn)入論壇
  相關(guān)文章:

·Linux改善FTP服務(wù)器的安全性
·全面提高FTP服務(wù)器的安全性能 
·避免攻擊保證上傳FTP服務(wù)器的安全
·三招提高FTP服務(wù)器安全性
·匿名FTP服務(wù)器的建立與應(yīng)用
·詳細(xì)講解架設(shè)FTP服務(wù)器的兩種方法
·三個(gè)步驟打造安全穩(wěn)定的FTP服務(wù)器 
·用Linux系統(tǒng)構(gòu)建高效FTP服務(wù)器
·FTP服務(wù)器架設(shè)的三方面安全因素 
·Windows下FTP服務(wù)器的安全管理
·FTP服務(wù)器關(guān)于權(quán)限的防范問題

 
 
 
 
最新文章

中關(guān)村艷照門女主角詳記錄高清組圖 
iPhone女孩微博爆紅 最寶貴東西換iPhon
大連護(hù)士門大尺度艷照高清組圖
反恐精英之父內(nèi)維爾:改變電腦游戲銷售
團(tuán)購網(wǎng)站黎明之前:中國(guó)市場(chǎng)慘烈廝殺不
團(tuán)購鼻祖Groupon中國(guó)揭秘:快與慢的商業(yè)
聯(lián)想V360筆記本模特寫真
愛國(guó)者第四代移動(dòng)硬盤將面市、低電壓保
24臺(tái)液晶白拿! 三星“紅韻”顯示器試用
改善的UAC Windows7安全性再次提升

 
推薦文章
1
2
3
4
5
6
7
8
9
10
iPhone女孩微博爆紅 最寶貴東西換
大連護(hù)士門大尺度艷照高清組圖
中關(guān)村艷照門女主角詳記錄高清組
蘋果員工中毒門
宮如敏不雅照瘋傳 看張馨予韓一菲
深耕市場(chǎng) 永續(xù)經(jīng)營(yíng)——專訪百腦匯
優(yōu)派專業(yè)電子書 讓您回家旅途多姿
揭曉百萬大獎(jiǎng)三星bada魅力綻放中
大明龍權(quán)“江湖英雄會(huì)”全國(guó)PK大
永恒之塔校園達(dá)人挑戰(zhàn)賽完美落幕
八卦圖解 More>>
iPhone女孩微博爆紅 最寶貴東西換 大連護(hù)士門大尺度艷照高清組圖
中關(guān)村艷照門女主角詳記錄高清組 宮如敏不雅照瘋傳 看張馨予韓一菲