abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
včera 16:24 | Nová verze

Byla vydána Mageia 5.1. Jedná se o první opravné vydání verze 5, jež vyšla v červnu loňského roku (zprávička). Uživatelům verze 5 nepřináší opravné vydání nic nového, samozřejmě pokud pravidelně aktualizují. Vydání obsahuje všechny aktualizace za posledního téměř půldruhého roku. Mageia 5.1 obsahuje LibreOffice 4.4.7, Linux 4.4.32, KDE4 4.14.5 nebo GNOME 3.14.3.

Ladislav Hagara | Komentářů: 0
včera 13:42 | Pozvánky

V Praze probíhá konference Internet a Technologie 16.2, volné pokračování jarní konference sdružení CZ.NIC. Konferenci lze sledovat online na YouTube. K dispozici je také archiv předchozích konferencí.

Ladislav Hagara | Komentářů: 0
2.12. 22:44 | Komunita

Joinup informuje, že Mnichov používá open source groupware Kolab. V srpnu byl dokončen dvouletý přechod na toto řešení. V provozu je asi 60 000 poštovních schránek. Nejenom Kolabu se věnoval Georg Greve ve své přednášce Open Source: the future for the European institutions (SlideShare) na konferenci DIGITEC 2016, jež proběhla v úterý 29. listopadu v Bruselu. Videozáznam přednášek z hlavního sálu je ke zhlédnutí na Livestreamu.

Ladislav Hagara | Komentářů: 18
2.12. 15:30 | Zajímavý projekt

Společnost Jolla oznámila v příspěvku Case study: Sailfish Watch na svém blogu, že naportovala Sailfish OS na chytré hodinky. Využila a inspirovala se otevřeným operačním systémem pro chytré hodinky AsteroidOS. Použita je knihovna libhybris. Ukázka ovládání hodinek na YouTube.

Ladislav Hagara | Komentářů: 8
2.12. 14:15 | Nová verze

Byla vydána verze 7.1.0 skriptovacího jazyka PHP používaného zejména k vývoji dynamických webových stránek. Jedná se o první stabilní verzi nejnovější větvě 7.1. Přehled novinek v dokumentaci. Podrobnosti v ChangeLogu. K dispozici je také příručka pro přechod z PHP 7.0.x na PHP 7.1.x.

Ladislav Hagara | Komentářů: 2
2.12. 12:55 | Nová verze

Google Chrome 55 byl prohlášen za stabilní. Nejnovější stabilní verze 55.0.2883.75 tohoto webového prohlížeče přináší řadu oprav a vylepšení (YouTube). Opraveno bylo také 36 bezpečnostních chyb. Mariusz Mlynski si například vydělal 22 500 dolarů za 3 nahlášené chyby (Universal XSS in Blink).

Ladislav Hagara | Komentářů: 4
2.12. 11:55 | Pozvánky

Máte rádi svobodný software a hardware nebo se o nich chcete něco dozvědět? Přijďte na 135. sraz spolku OpenAlt, který se bude konat ve čtvrtek 8. prosince od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5). Sraz bude tentokrát tématický. Bude retro! K vidění budou přístroje jako Psion 5mx nebo Palm Z22. Ze svobodného hardwaru pak Openmoko nebo čtečka WikiReader. Přijďte se i vy pochlubit svými legendami, nebo alespoň na pivo. Moderní hardware má vstup samozřejmě také povolen.

xkucf03 | Komentářů: 0
2.12. 00:10 | Nová verze

Byla vydána verze 3.2 svobodného systému pro detekci a prevenci průniků a monitorování bezpečnosti počítačových sítí Suricata. Z novinek lze zmínit například podporu protokolů DNP3 a CIP/ENIP, vylepšenou podporu TLS a samozřejmě také aktualizovanou dokumentaci.

Ladislav Hagara | Komentářů: 0
1.12. 21:00 | Nová verze

Byla vydána beta verze Linux Mintu 18.1 s kódovým jménem Serena. Na blogu Linux Mintu jsou hned dvě oznámení. První o vydání Linux Mintu s prostředím MATE a druhé o vydání Linux Mintu s prostředím Cinnamon. Stejným způsobem jsou rozděleny také poznámky k vydání (MATE, Cinnamon) a přehled novinek s náhledy (MATE, Cinnamon). Linux Mint 18.1 bude podporován až do roku 2021.

Ladislav Hagara | Komentářů: 0
1.12. 16:42 | Nová verze

Byl vydán Devuan Jessie 1.0 Beta 2. Jedná se o druhou beta verzi forku Debianu bez systemd představeného v listopadu 2014 (zprávička). První beta verze byla vydána v dubnu letošního roku (zprávička). Jedna z posledních přednášek věnovaných Devuanu proběhla v listopadu na konferenci FSCONS 2016 (YouTube, pdf).

Ladislav Hagara | Komentářů: 0
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (7%)
 (5%)
 (3%)
Celkem 767 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama
Štítky: není přiřazen žádný štítek

Dotaz: Jak ošetřit provházení webu na který nevedou odkazy

12.8.2013 11:31 Já
Jak ošetřit provházení webu na který nevedou odkazy
Přečteno: 474×
Ahoj. Poradil by někdo řešení, jak se děla to, že když user leze kam nemá, třeba prochází strukturu webu na kterou nevedou odkazy a zadá www.blabla.bla/bla/blabla.php? Jak udělám jednoduše nějakou akci, abych nemusel do každého souboru psát celou ochranu? Díky

Řešení dotazu:


Odpovědi

12.8.2013 12:18 Kit
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
V souborech PHP jsou přece jen třídy. Ty ochranu nepotřebují, protože se při přístupu jenom přeloží a nic víc.
12.8.2013 13:09 Já
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Ty jo, to jsou ale rady...
12.8.2013 13:21 potato
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Tak to ale je. Mít ve veřejně dostupných adresářích pomocné PHP soubory, které něco vykonají, je fatální pitomost. Takže (1) mají obsahovat pouze definice/třídy (2) mají být v jiném adresáři, který vůbec není namapován na URL, nebo alespoň v adresáři, který lze celý znepřístupnit pomocí .htaccess. Nikdo ti nebrání dělat to složitě, ale chtěls vědět, jak se to dělá jednoduše...
12.8.2013 15:04 Já
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
který vůbec není namapován na URL
Co tím je přesně myšleno?
12.8.2013 15:40 potato
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Webserver zpřístupňuje pouze některé adresáře v souborovém systému, což je snad jasné. Přiřazení mezi adresáři a URL je definováno pomocí direktiv DocumentRoot, Alias, ... Viz dokumentaci Apache:

http://httpd.apache.org/docs/2.4/urlmapping.html

Adresáře s pomocnými soubory, které nemají být samy o sobě veřejně přístupné, nemají důvod, aby se jim vůbec nějaké věřejné URL přiřazovalo. Stačí, aby je mohl číst (zapisovat do nich, ...) uživatel, pod kterým web server běží, ale mohou být mimo DocumentRoot (resp. další adresáře namapované na URL).
12.8.2013 15:47 Já
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Tak že když mám

DocumentRoot /var/www/prace1/www

tak dám do /var/www/prace1/www index.php a style.css a všechno ostatní dám o úroveň néž? Čili do adresář /var/www/prace1 ?

Chápu tvou myšlenku dobře? Díky
12.8.2013 17:03 potato
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Tak nějak, nicméně podle toho, co přesně je to všechno ostatní. Pokud nějaké soubory web server servíruje přímo (obrázky, jánevímco), tak samozřejmě potřebují URL.
pavlix avatar 12.8.2013 22:04 pavlix | skóre: 53 | blog: pavlix
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Mít ve veřejně dostupných adresářích pomocné PHP soubory, které něco vykonají, je fatální pitomost.
Tak čistě mezi námi, pokud se jedná o web a ne o haldu CGI skriptů, tak je pitomost mít v cestě vůbec nějaké PHP soubory. Do toho, zda je web napsaný v PHP nebo Abrakadabra uživatelům nic není a to, že to vidí na první pohled je pro ně zcela nadbytečná informace.

Že se PHP historicky používalo jako halda CGI skriptů a že se v tom začaly psát větší webové aplikace a ještě se obojí zkombinovalo je jen shoda blbých náhod.
GentooFedoraSCRAM – Jsem open source vývojář, nikoli markeťák ⇒ názory zde uvedené jsou jen mé vlastní.
12.8.2013 23:33 potato
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
To je požadavek na udržitelnost, a jako každý požadavek něco stojí. Přitom u jednorázových polostatických webů je to nesmyslný požadavek. Nebudou se vyvíjet, natož přepisovat do jiné technologie. Kdyby náhodou ano, tak se budou dělat znovu, jinak a zachování URL nikoho nebude zajímat.
pavlix avatar 13.8.2013 08:48 pavlix | skóre: 53 | blog: pavlix
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Čteš mezi řádky něco, co tam nebylo.
GentooFedoraSCRAM – Jsem open source vývojář, nikoli markeťák ⇒ názory zde uvedené jsou jen mé vlastní.
13.8.2013 13:06 potato
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Možná. Prostě jestli URL mají koncovku .html, .php nebo .abrakadabra, je v řadě případů jedno. Jakákoli strktura URL (včetně hezkých, neutrálních) něco vypovídá o použitých prostředcích. Otázka pouze je, kdy to vadí.
pavlix avatar 13.8.2013 15:15 pavlix | skóre: 53 | blog: pavlix
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Uznávám, že jsem v tomhle trochu perfekcionista. Ale na druhou stranu to, jestli web na venek působí jako web nebo halda .php souborů o provozovateli a tvůrcích něco málo vypovídá.
GentooFedoraSCRAM – Jsem open source vývojář, nikoli markeťák ⇒ názory zde uvedené jsou jen mé vlastní.
12.8.2013 14:57 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Pominuli správné rady výše, zůstávají mi dva artefakty.
  1. Každý ne přímo dostupný soubor má na začátku (akce je exit() ):
    if((!isset($glb_import))||($glb_import != 78951245)) exit();
    , pokud není register_globals on, tak je to poslední stupeň ochrany.
  2. Každý nedostupný adresář obsahuje index.html a index.php.
Jsou to jen dodatečné prvky, základem je ošetřit nastavením webserveru nebo|a pomocí například .htaccess kam se může.
To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
13.8.2013 10:05 Kit
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Bod 1. se mi jeví jako zbytečný a nic neřešící. Jen přidává k aplikaci kód, který nevykonává nic užitečného a pouze zatěžuje programátora.

Bod 2. se obvykle také nemusí řešit, pokud je správně nastaven .htaccess v kořeni webu.
13.8.2013 11:14 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
V první řadě je si nastavit správně server (konfigurace && / || .htaccess && / || mod_rewrite).
Uvedené věci jsou historické artefakty (dnes snad už žádný webhosting bez podpory .htaccess není).

Bod 1. Nedovolí nic vykonat klientem (a nedovolí include-ovat), pokud neznáš vstupní kód. Zatížení programátora je to jen v tom, že si to musíš hodit do šablony (to je zadarmo) a někde na začátku před použitím definovat variablu s pin-em (to je jen několik případů, nebo dokonce jen jeden. Je to hromadně měnitelné i odstranitelné, tak bych to tak černě neviděl.

Bod 2. Nic to nestojí a někam to přeneseš a náhodou není povolen .htaccess, tak to klade aspoň překážku adresář vylistovat při obvyklém nastavení web serveru.

PS: Některé distribuce mají default konfiguraci bez možnosti overwrite a .htaccess se neuplatňuje, a když pro to můžu něco, byť obskurně udělat, proč ne…

To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
13.8.2013 11:46 Kit
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Bod 1. Zatížení programátora jsem měl na mysli spíš po estetické stránce. Proč bych se měl při každém otevření skriptu editorem koukat na takovou hrůzu?

Pokud vím, .htaccess má jen Apache. Na lokálu používám jako server samotné PHP, u kterého .htaccess nefunguje - také u něj nehledám zabezpečení. Nginx má také jinou konfiguraci, o IIS nemluvě. Samozřejmě je vždy nutné si tyto informace zjistit předem.

Všechny skripty na webserveru (kromě index.php) mám udělány jako samostatné třídy. Žádný jiný kód v nich nemám. Jediným vstupním bodem do aplikace je index.php - zabezpečení webu tedy není roztříštěno po celé aplikaci.

Zajistit indexem má podle mne smysl adresář s obrázky, texty a multimédii, ale obvykle stačí zakázat (nepovolit) výpis adresáře. Databázi je dobré u Apache zajistit '.ht' na začátku jejího názvu - nedá se pak stáhnout.
13.8.2013 12:18 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Proč bych se měl při každém otevření skriptu editorem koukat na takovou hrůzu?
Však se nedívej, nebo si ji přepiš hezčeji, nebo… ;)
Samozřejmě je vždy nutné si tyto informace zjistit předem.
Ne každý to udělá s různých důvodů, a je na tvůrci, jestli přidá nějaké další prvky.
Všechny skripty na webserveru (kromě index.php) mám udělány jako samostatné třídy. Žádný jiný kód v nich nemám.
Ty ne, ale dotaz zněl jinak.
Jediným vstupním bodem do aplikace je index.php - zabezpečení webu tedy není roztříštěno po celé aplikaci.
Vidíš, takže obstrukce se zapíše jen jednou. …já jich mám obvykle několik málo ks víc než jeden.

Databázi je dobré u Apache zajistit '.ht' na začátku jejího názvu - nedá se pak stáhnout.
Ha, to je ale velmi podobný princip obstrukce (čisté je: explicitně nedovolit daný soubor či adresář).
To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
13.8.2013 12:43 Kit
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Databázi je dobré u Apache zajistit '.ht' na začátku jejího názvu - nedá se pak stáhnout.
Ha, to je ale velmi podobný princip obstrukce (čisté je: explicitně nedovolit daný soubor či adresář).
Ha, nachytal jsi mě. V tomhle případě někdy používám kšandy a/nebo pásek. Některé databáze (read-only) dávám do kořene a jejich název začíná '.ht'. Databáze R/W dávám do samostatného adresáře kvůli detailnímu nastavení práv. Přístup do tohoto adresáře pak v .htaccess samozřejmě nepovolím.

Vždycky se snažím tyto mechanismy dělat co nejjednodušší, abych si v nich neudělal díru do systému. Jednodušší systém se udržuje mnohem lépe.

Někdy ještě dělávám do dalšího adresáře honeypot, povolím ho v .htaccess a zakážu do něj přístup přes robots.txt. To se pak člověk dozví věcí :-)
13.8.2013 15:12 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
On ten robots.txt zrovna zákaz ve smyslu zabezpečení zrovna není ;-)
To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
pavlix avatar 13.8.2013 15:42 pavlix | skóre: 53 | blog: pavlix
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Vzhledem k tomu, že Kit psal toho přesný opak ;)...
GentooFedoraSCRAM – Jsem open source vývojář, nikoli markeťák ⇒ názory zde uvedené jsou jen mé vlastní.
13.8.2013 16:48 Šangala | skóre: 56 | blog: Dutá Vrba - Wally
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Inu bylo toho víc něž věty jednoduché… ;)
To, že trpíš stihomamem, ještě neznamená, že po tobě nejdou. ⰞⰏⰉⰓⰀⰜⰉ ⰗⰞⰅⰜⰘ ⰈⰅⰏⰉ ⰒⰑⰎⰉⰁⰕⰅ ⰏⰉ ⰒⰓⰄⰅⰎ ·:⁖⁘⁙†
13.8.2013 15:48 Kit
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
robots.txt používám na sledování neposlušných robotů, kteří lezou i tam, kam nemají.
pavlix avatar 13.8.2013 12:51 pavlix | skóre: 53 | blog: pavlix
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
+1
Databázi je dobré u Apache zajistit '.ht' na začátku jejího názvu - nedá se pak stáhnout.
Tak ideální je ji dostat mimo dosah, že, protože .ht je hack specifický pro Apache.
GentooFedoraSCRAM – Jsem open source vývojář, nikoli markeťák ⇒ názory zde uvedené jsou jen mé vlastní.
13.8.2013 12:55 Kit
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Samozřejmě, ale třeba u freehostingu to obvykle jinak nejde.
pavlix avatar 13.8.2013 15:36 pavlix | skóre: 53 | blog: pavlix
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Tahle statistická úvaha [co obvykle u freehostingu platí] je lichá snad na všechny strany.

1) Placené hostingy a freehostingy se v tomto statisticky nijak neliší.

2) Pokud si hosting nevybírám, je mi nějaká statistika k prdu.

3) Pokud si hosting vybírám, tak mě nezajímá statistický podíl této vlastnosti na trhu, ale její absolutní dostupnost (v kombinaci s dalšími).

4) Celý trik s .ht je zajímavý pouze pro hostování nad Apachem bez .htaccess, popřípadě jiným webserverem, který .ht pro jistotu blokuje.

Je otázka, zda pak není vhodnější dostupnost onoho souboru testovat při instalaci (a konfiguraci) než spoléhat na nějaký statisticky relativně neúspěšný hack a nechat administrátora, ať v případě non-Apache/non-htaccess instalace soubor zajistí jinak.
GentooFedoraSCRAM – Jsem open source vývojář, nikoli markeťák ⇒ názory zde uvedené jsou jen mé vlastní.
13.8.2013 15:42 Kit
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Absolutní dostupnost u freehostingu mě vůbec nezajímá. Na toho admina se v takových případech klidně spolehnu.
pavlix avatar 13.8.2013 16:07 pavlix | skóre: 53 | blog: pavlix
Rozbalit Rozbalit vše Re: Jak ošetřit provházení webu na který nevedou odkazy
Nevím jestli jsem tu větu napsal příliš nesrozumitelně nebo je mi naopak nesrozumitelná tvá odpověď. Měl jsem namysli to, že pokud si hosting můžu vybrat, tak mě nezajímá, zda 90% hostingů na trhu má nebo nemá vlastnost X, ať už je to kterákoli. Tak jako tak ostatní body jsou pořád platné.
GentooFedoraSCRAM – Jsem open source vývojář, nikoli markeťák ⇒ názory zde uvedené jsou jen mé vlastní.

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.