Pure-FTPd s virtuálními uživateli v PosgreSQL (diskuse)

[GandY]

Ako je to s ochranou pred SQL injection?

[vrx]

Prepáč, ale to si napisal len preto aby tu niečo bolo? Čo má spoločné ftp server a SQL injection? O SQL injection by si mohol hovoriť len vtedy ak si vytvoríš (alebo nájdeš) nejaký webový frontend, kde sa pripájaš k db a používaš dotazy na získanie informácii a ich zadávanie do DB.

[GandY]

No podľa mňa SQL injection hrozí všade tam, kde vkladáš do SQL príkazu neošetrené data. Čo mi bráni, pri prihlásení sa cez FTP, zadať používateľské meno v tvare

'; drop table users;

(brať iba ako príklad, s pg nemám žiadne skúsenosti). Odporúčam prečítať si minimálne definíciu na wikipedii.

[vrx]

Môžeš mi prosím ťa vysvetliť kde je možné vložiť sql dotaz pri prihlasovaní na FTP??? Veď tie dotazy sú v konfiguračnom súbore, do ktorého (ak je zabezpečený komp) sa nikdo nedostane a ak by sa aj dostal tak nebude sa snažiť zmazať tabuľku keď má ku nej prístupové login a heslo aj keď len na čítanie(podľa článku), alebo sa posnaží získať heslo root-a a nie vkladať do konfigurákov také veci.

Pozn.: Rôzne frontendy vynechávam tam už ide o php, resp. inú technológiu, cez ktorú sú sql injection aktuálnejšie.

[Messa]

A co myslíš, že se asi děje s loginem, kterým se přihlašuješ? Vkládá se do SQL dotazu. Takže teoretická šance pro SQL injection tu je. Nicméně pochybuji, že někdo, kdo dokáže implementovat FTP server (nebo modul do něj) nedokáže SQL injection ošetřit, takže tipuji, že je to bezpečné

Jestli si myslíš, že SQL injection se týká jen webu, tak aby ses někdy krutě nedivil... Myslíš si snad, že když zrovna nepíšeš web, tak žádné ošetřování dat dělat nemusíš? (Samozřejmě to záleží na použité klientské knihovně, pokud se SQL příkaz sestavuje funkcí ve stylu printf nebo se používají parametrizované dotazy, pak musí být umění to udělat špatně.)

[GandY]

No to je to čo ma zaujíma, či je to ošetrené na úrovni toho ftp servera (premenná /L prechádza cez nejaké filtre), alebo na úrovni práv pri prihlasovaní sa do DB (nastavené iba čítanie a tým pádom odstránené problémy s DML a DDL). Bolo by fajn, keby to autor článku preveril.

[jahoda]

a ty si nam odkial spadol?

[xkucf03]

SELECT password FROM users WHERE username='\L' AND active='true'

SQL injekce není jen záležitostí webu - týká se každého softwaru, který má nějaké vstupy od uživatele a ty se dostávají do SQL dotazů. Docela bych se divil, kdyby v tomto FTP serveru možnost SQL injekce nebyla ošetřená - to by byl hodně velký amatérismus, ale i to se stává.

Parametry dotazů se zásadně mají předávat jako parametry, nikoli slepovat SQL příkaz jako kousky textu!

[Milan Vít]

S trochou nadsázky nebo trochou úprav? Možná je na mě moc brzo ráno a ještě mi to nemyslí, ale domnívám se, že každé znamená něco trochu jiného

[Robert Krátký]

Pravda

[xxxx]

existuje nejaky ftp server, ktery by mel vsecko virtualni a vse tahal jen z databaze? napr. soubory by byly ulozeny jen jako bloby v databazi, proste zadna vazba na filesystem.

[Věroš]

Existují knihovny pro implementaci FTP serveru do každého slušného jazyka, takže by to neměl být velký problém napsat. Otázka spíš zní, proč by to někdo dělal, bo režie databáze bude nemalá...

[Kvakor]

Mozna by to slo pomoci FUSE, pro ktere existuji implementace souborovych systemu, co jedou ciste z databaze, viz Database File Systems.

[bluemoon]

na svym webu jsem popsal virtualni pristup jak na ftp, tak mail, dns, jabber, jde i prihlasovani do htaccess atd. ve skutecnosti jde cokoli, co podporuji PAM knihovny, ty jsou jak pro mysql, tak pro pgsql ci ldap.

[bluemoon]

toto bych ti jinak nedoporucoval, nebot by ti databaze snadno zabirala na disku vic mista nez ve skutecnosti a po vetsich uploadech bys v tom mel snadno bordel. pochopil jsem vsechna prihlasovani z databaze, tak mne omluvte.

[stybla]

Užitečná fuUnkce na veřejných FTP
muze to nektery z adminu opravit? *pls*

[Luboš Doležel (Doli)]

Hotovo, díky,

[Aldagautr]

rovnez PostgreSQL v nadpisu, jestli to jeste jde

[Luboš Doležel (Doli)]

Hotovo.

[Robert Krátký]

Tak to se opravdu nepovedlo... sorry.

[Dragon Jake]

Pěkný a hezky vysvětlený článek pro začátečníky. Dovolím si ale přidat odkaz na malinký patch, který jsem kdysi v zápalu zuřivosti nad tím, proč nemůžu pure-ftpd přizpůsobit všem svým potřebám, spatlal :) Je sice dělaný pro MySQL, ale věřím, že pro PgSQL by se jednalo o podobnou úpravu. Takže tedy patch umožňující vykonání více SQL dotazů oddělených středníkem v konfiguračním souboru ;)

[xkucf03]

Hezký článek, chválím i výběr SŘBD Ale pro praktické použití bych příště uvítal i obdobný postup pro SFTP, přecejen význam FTP je dneska spíš jen pro nechráněný anonymní přístup.

[Richard Kotal]

Dobrý den,

z podobných důvodů jsem začal používat pure-ftpd.

Bohužel jsem ale narazil na jeden problém a do je práce s velmi velkými soubory (download, upload) a to přes 2GB. Jedná se o to, že při stahování nebo ukládání takových souborů přes internet a na dosti rychlé lince se spojení ukončí, aniž by došlo k dokončení akce. Na lokální síti, kde se soubory stahují rychle problém není. Napadlo mě, že může být problém v nějakých timeoutech, ale ať ho nastavím, jak chci (i několik dnů) problém přetrvává.

Zatím jsem to obešel tím, že server je spuštěn přes xinetd. V tom případě se soubor nahraje/stáhne. Akorát po dokončení se už nedá se serverem pracovat, klient se musí násilím ukončit a spustit znova a znova přihlásit.

Pokud někdo máte nějaký nápad, byl bych rád.

Děkuji

[king_2]

Ahoj, nainstaloval jsem si ten to ftp server, ale s tim rozdilem ze bych to chtel provozovat s mysql(veskera nastaveni jsem udelal tak ze jsem prepsal postgreSQl na mysql). vse jsem nastavil podle postupu, ale na server se nepripojim.

[Zdeněk Zámečník]

A jak se to konkrétně chová? Děje se něco zajímavého v logu nebo nějaká chybová hláška už při spouštění? Pokud ano, hoď to sem.