Lässt sich der Perl-Code aus /cgi-bin/ herunterladen? (Perl/CGI) - Perl-Community.de

Start · Board · Webprogrammierung mit Perl · Perl/CGI

2025-01-08 10:52:55
Europe/Berlin
Einloggen (Registrieren)
- Einstellungen
- Statistics
Jemand zu Hause?
0 Benutzer online
1 Gast

[thread]14613[/thread]

submit to reddit

Lässt sich der Perl-Code aus /cgi-bin/ herunterladen?

Leser: 27

Articles: hide open all | hide show old branches

+11 replies
Syss

2010-02-08 15:04

User since
2010-02-05
4 Artikel
BenutzerIn

Hallo zusammen,

es geht darum ein Perl/CGI-Skript nach dem upload in das /cgi-bin/
Verzeichnis sicher aufgehoben zu wissen. Nachdem das Skript hochgeladen ist
hoffe ich das es nicht als "Quelltext" einfach heruntergeladen werden kann.
Gibt es da eine Möglichkeit das jemad das Ausführen umgeht und direkt den
Perl-Code direkt (oder auch über Umwege) herunterladen kann?

Vielleicht weiß ja jemand was ich meine. Bin für Rückfragen offen!
- GwenDragon
  
  2010-02-08 15:15
  
  User since
  2005-01-17
  14775 Artikel
  Admin1
  
  Was wird denn damit gemacht, nachdem es hochgeladen wurde. Muss du vom Browser aus darauf zugreifen können?
  
  Abhilfe:
  Passwortschutz des Verzeichnisses mit .htaccess
  oder
  Upload-verzeichnis außerhalb Documentroot.
  die Drachin Gwen
  
  Meine Perl-Artikel · perldev – verschiedene Perl-Versionen unter Windows starten
- +4 replies
- pq
  
  2010-02-08 15:16
  
  User since
  2003-08-04
  12208 Artikel
  Admin1
  
  entweder der webserver ist so konfiguriert, dass er das skript als CGI ausführt, oder er bietet es zum download an. beides gleichzeitig geht also nicht.
  es empfiehlt sich aber trotzdem, daten wie passwörter in einer extra config-datei abzulegen, die von aussen nicht erreichbar ist. im falle einer fehlkonfiguration des webservers.
  Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
  lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
  - +3 replies
  - betterworld
    
    2010-02-08 15:37
    
    User since
    2003-08-21
    2614 Artikel
    ModeratorIn
    
    2010-02-08T14:16:54 pq
    entweder der webserver ist so konfiguriert, dass er das skript als CGI ausführt, oder er bietet es zum download an. beides gleichzeitig geht also nicht.
    
    Es gibt schon auch Webserver, die so konfiguriert sind, dass man über verschiedene URLs an dieselben Verzeichnisse herankommt. Beispielsweise http://domain/cgi-bin/test.pl ist das selbe Script wie http://domain/~user/cgi-bin/test.pl, und nur in einem Fall wird das Script ausgeführt, im anderen nur angezeigt.
    
    Oder wenn der Webserver so konfiguriert ist, dass er die Dateiendung .cgi als Script behandelt, Sicherheitskopien mit ".cgi~" aber normal anzeigt...
    
    Es kommt also letztendlich darauf an, ob der Webserver gut konfiguriert ist. Und wie pq schon sagt, sollte man vertrauliche Sachen besser nicht in Verzeichnissen abspeichern, auf die der Webserver Zugriff hat. Manchmal ist es schon gruselig, wie PHP-Softwarepakete als ein einziges Verzeichnis kommen, das man laut Installationsanleitung nach cgi-bin klatschen soll, obwohl darin auch Konfigurationsdateien und alles rumliegen.
    Lieblingsmodule: IPC::System::Simple, Path::Class
    - +2 replies
    - sid burn
      
      2010-02-08 15:51
      
      User since
      2006-03-29
      1520 Artikel
      BenutzerIn
      
      Quote
      Oder wenn der Webserver so konfiguriert ist, dass er die Dateiendung .cgi als Script behandelt, Sicherheitskopien mit ".cgi~" aber normal anzeigt...
      
      Default Konfiguration bei Debian und vielen anderen Distributionen ist ein CGI Verzeichnis ausserhalb des Document Roots Ordners. Diese Konfiguration sollte man auch beibehalten.
      
      Wenn dies gegeben ist kann die Datei entweder ausgeführt werden, oder man bekommt ein Fehler 404 Präsentiert. Dateien wie ".cgi~" etc. werden dann höchstens ausgeführt, irgendetwas anderes auser einem Skript liefert einen Internal Server Error (500) zurück, da er immer versucht etwas auszuführen und nie die rohdatei selber zurück liefert.
      
      Konfiguriert man sich sein "cgi-bin" in sein Document Root so kann eine Fehlkonfiguration wie pq sagte zu einem Download führen. Macht man es so wie ich es sagte was auch z.B. Default bei Debian so ist, und vielen anderen Distributionen auch, dann geht das nicht.
      Nicht mehr aktiv. Bei Kontakt: ICQ: 404181669 E-Mail: perl@david-raab.de
      - Syss
        
        2010-02-08 20:53
        
        User since
        2010-02-05
        4 Artikel
        BenutzerIn
        
        Danke für diese Informationen!
        Werde mich morgen gleich ransetzen um einige Tests zu machen. So wie ich
        das im Gefühl habe ist das /cgi-bin/ Verzeichnis im Document-Root... das
        könnte ins Auge gehen.
        -> Tests werde ich morgen starten
- +5 replies
- Syss
  
  2010-02-09 14:23
  
  User since
  2010-02-05
  4 Artikel
  BenutzerIn
  
  Also sieht nun so aus:
  
  Im /cgi-bin/ Verzeichnis werden *.pl und *.cgi Dateien ausgefüht.
  Andere Dateien, z.B. mit einer willkürlichen Dateiendung wie *.qxz
  werden mit dem "HTTP Error 404 - File or directory not found." behandelt.
  Bekannte Dateitypen werden allerdings angezeigt!
  *.jpg wird geladen und zeigt das Bild an.
  *.txt wird als Textdatei im Browser angezeigt.
  
  Da Perlskipte ausgeführt werden sollte es ja keine Möglichkeit geben an
  den Quelltext zu kommen (zumindest wenn die Dateiendung *.pl oder *.cgi
  stimmt).
  Eine andere Mölichkeit auf das /cgi-bin/ Verzeichnis zu kommen konnnte
  ich nicht finden.
  
  *grübel*
  soweit schonmal vielen Dank für die Informationen. Debian macht in Punkto
  Sicherkeit immer einen guten Eindruck.
  - +4 replies
  - sid burn
    
    2010-02-09 14:41
    User since
    2006-03-29
    1520 Artikel
    BenutzerIn
    
    Das ist dann aber keine Default Einstellungen !?
    
    Wenn du die Default einstellungen nutzt dann liegt das cgi-bin Verzeichnis Physikalisch an dem Ort "/var/lib/cgi-bin/" und selbst wenn du dort Textdateien oder Bilder ablegst werden diese nicht ausgelifert sondern es kommt dann ein Internal Server Error.
    
    Wenn ich beispielsweise eine Textdatei ablegen dann steht folgendes in der error log
    
    Code: (dl )
    
    [Tue Feb 09 14:37:13 2010] [error] [client 127.0.0.1] (13)Permission denied: exec of '/usr/lib/cgi-bin/asd.txt' failed
    
    Daher er versucht es auszuführen da aber keine ausführrechte gesetzt sind bricht das ganze ab. Selbst wenn ich Executable flag setze dann geht es nicht weil er dann folgendes liefert.
    
    Code: (dl )
    
    1 2
    
    [Tue Feb 09 14:39:44 2010] [error] [client 127.0.0.1] (8)Exec format error: exec of '/usr/lib/cgi-bin/asd.txt' failed [Tue Feb 09 14:39:44 2010] [error] [client 127.0.0.1] Premature end of script headers: asd.txt
    
    Mir scheint es also das du wirklich ein "cgi-bin" Ordner in deinem Document Root hast. Bei Fehlkonfiguration des Servers könnte man Dateien dann herunterladen. Wohl auch Temp Dateien von Editoren etc.
    Nicht mehr aktiv. Bei Kontakt: ICQ: 404181669 E-Mail: perl@david-raab.de
    - +3 replies
    - Syss
      
      2010-02-09 15:35
      
      User since
      2010-02-05
      4 Artikel
      BenutzerIn
      
      Das ist dann wirklich ne schwache Leistung von meinem Hosting-Anbieter!
      Kann ihn nur drauf hinweisen das diese Einstellungen nicht besonders sinnvoll
      sind. Das einzig gute daran ist: Es werden ohnehin nur *.cgi und *.pl Dateien von mir hochgeladen.
      Das sollte beser gemacht werden, auf jeden Fall von einem Hoster der das
      komerziell Webspace vermietet und .de/.com./.info/usw... Domains anbietet.
      - topeg
        
        2010-02-09 17:08
        
        User since
        2006-07-10
        2611 Artikel
        BenutzerIn
        
        Viele kommen einfach nicht damit klar das die Dateisystemstruktur vom Web aus anders ist als über Remotezugriff (FTP).
        Von nicht wenigen ist erwünscht, dass ich cgi-scripte wie php verhalten. Das heißt alle Bilder, Texte etc. sollen im selben Verzeichnis liegen und im HTML-Dokument verlinkbar sein. Ich hatte schon einige Diskussionen darüber.
      - bianca
        
        2010-02-09 18:15
        
        User since
        2009-09-13
        7016 Artikel
        BenutzerIn
        
        2010-02-09T14:35:15 Syss
        auf jeden Fall von einem Hoster der das
        komerziell Webspace vermietet und .de/.com./.info/usw... Domains anbietet.
        
        Da ist Deine Erwartungshaltung viel zu hoch.
        Webspaceprovider und Domainverkäufer zu sein ist heutzutage - bis auf ganz wenige Ausnahmen - wie Klingeltöne, Handyverträge, schufafreie Kredite oder Zeitungsabos zu verkaufen.
        10 print "Hallo"
        20 goto 10

View all threads created 2010-02-08 15:04.