• <ins id="pjuwb"></ins>
    <blockquote id="pjuwb"><pre id="pjuwb"></pre></blockquote>

    <noscript id="pjuwb"></noscript>
          <sup id="pjuwb"><pre id="pjuwb"></pre></sup>

            <dd id="pjuwb"></dd>
            <abbr id="pjuwb"></abbr>
            

    
            

            




            







												


        

            小默
            

            
			
            
				
					
	
            
		
            
			【轉(zhuǎn)】是否能做到上傳目錄不執(zhí)行ASP
		
            
		
            OK.讓我們測(cè)試一下這句話能否通過(guò)NTFS權(quán)限控制來(lái)做到

            首先我們寫(xiě)一個(gè)最簡(jiǎn)單的ASP程序.我這里用了我自己的一個(gè)簡(jiǎn)單的登陸系統(tǒng).
            里面又asp.有對(duì)外引用的部分.有access數(shù)據(jù)庫(kù)
            我們將權(quán)限設(shè)置成
            administrators  全部
            system  全部
            然后主要我們將對(duì)添加的一個(gè)everyone權(quán)限來(lái)測(cè)試.
            因?yàn)闆](méi)有其他用戶組了.所以iuser將繼承everyone組的權(quán)限
            所以是不是不用everyone用iuser用戶是一樣的.

            首先只打開(kāi)everyone用戶的讀取權(quán)限.
            在高級(jí)內(nèi)顯示如下權(quán)限
            1.列出文件夾/讀取數(shù)據(jù)
            2.讀取屬性
            3.讀取擴(kuò)展屬性
            打開(kāi)測(cè)試頁(yè)面登陸.正常

            然后高級(jí)內(nèi)只保留
            1.列出文件夾/讀取數(shù)據(jù)
            打開(kāi)測(cè)試頁(yè)面.出現(xiàn)ACL登陸框了.看來(lái)權(quán)限不足

            再接下來(lái)我們測(cè)試傳說(shuō)中的取消ASP執(zhí)行權(quán)限.
            因?yàn)橹蛔x情況下已經(jīng)沒(méi)有執(zhí)行權(quán)限了.
            我們現(xiàn)在特別將執(zhí)行權(quán)限取消
            1.遍歷文件夾/運(yùn)行文件 -- 拒絕
            2.列出文件夾/讀取數(shù)據(jù) -- 允許
            3.讀取屬性 -- 允許
            4.讀取擴(kuò)展屬性 -- 允許
            現(xiàn)在打開(kāi)ASP測(cè)試頁(yè)面.仍舊可以正常訪問(wèn)

            由于asp文件對(duì)于iis來(lái)說(shuō)只是一個(gè)文本文件
            IIS讀入asp文件內(nèi)容后交由asp.dll進(jìn)行解析
            所以asp運(yùn)行根本和windows應(yīng)用程序不同
            完全不需要執(zhí)行權(quán)限.只需要只讀權(quán)限
            所以不允許asp運(yùn)行,雖然可以做到,就是取消讀權(quán)限
            但是取消讀權(quán)限之后.整個(gè)目錄內(nèi)所有文件都將無(wú)法通過(guò)iis讀取
            包括圖片文件等等.那么上傳目錄不允許asp執(zhí)行.等于是上傳的所有內(nèi)容都不能讀
            這種設(shè)置將導(dǎo)致上傳內(nèi)容毫無(wú)意義.

            最后我們來(lái)看這句話
            "能執(zhí)行ASP腳本的地方不允許寫(xiě)入文件,能寫(xiě)入文件的地方不允許運(yùn)行ASP程序"
            前半句我們可以做到.對(duì)asp目錄只讀權(quán)限.
            后半句雖然嚴(yán)格來(lái)說(shuō)也可以做到.對(duì)上傳目錄取消讀權(quán)限
            但是這樣將導(dǎo)致上傳任何文件都無(wú)法訪問(wèn).失去了上傳文件功能的意義了.

            本人測(cè)試環(huán)境
            windows2003 中文企業(yè)版VLK SP1
            IIS 6
            ---------------------------------------------------------------------
            寫(xiě)權(quán)限依靠NTFS權(quán)限設(shè)置，執(zhí)行asp依靠IIS設(shè)置
            -------------------------------------------------------------------

            
		
            
			posted on 2010-04-30 11:05 小默 閱讀(443) 評(píng)論(0)  編輯 收藏 引用  所屬分類: Security 
		
            
	
            
	
	


	


            
	    
    




            






            

				
			
            
			
            
				
					
					

            導(dǎo)航
            

					
					

            統(tǒng)計(jì)
            
	
					

            留言簿(13)
            


		
            隨筆分類(287)
            
		
				
			
	
		
            隨筆檔案(289)
            
		
				
			
	
		
            漏洞
            
		
				
			
	



            搜索
            



            積分與排名
            



            最新評(píng)論
	
            

            
	
			
		

            


            閱讀排行榜
            


					

				
			
            			
			
	
    
    







            
	   
	



国产成人久久久精品二区三区|
无码8090精品久久一区|
亚洲国产精品无码成人片久久|
无码八A片人妻少妇久久|
精品久久久久久中文字幕大豆网
|
9久久9久久精品|
久久久久久久免费视频|
久久久久se色偷偷亚洲精品av|
久久亚洲精品成人AV|
性欧美大战久久久久久久|
久久精品无码一区二区无码
|
久久久精品国产Sm最大网站|
亚洲αv久久久噜噜噜噜噜|
精品久久久久久国产三级|
久久av无码专区亚洲av桃花岛|
精品熟女少妇aⅴ免费久久|
久久精品麻豆日日躁夜夜躁|
亚洲va久久久久|
欧美伊人久久大香线蕉综合69|
国产日产久久高清欧美一区|
日产精品99久久久久久|
久久热这里只有精品在线观看|
国产精品热久久毛片|
久久精品一区二区三区不卡|
久久超碰97人人做人人爱|
伊人久久综合精品无码AV专区|
亚洲精品午夜国产va久久|
日本精品久久久久影院日本
|
深夜久久AAAAA级毛片免费看|
99久久久精品免费观看国产
|
国产午夜精品久久久久九九电影|
久久精品麻豆日日躁夜夜躁|
色婷婷综合久久久久中文一区二区|
伊色综合久久之综合久久|
亚洲伊人久久成综合人影院|
亚洲国产成人精品无码久久久久久综合
|
午夜精品久久久久久影视riav|
久久九九久精品国产免费直播|
色综合久久精品中文字幕首页|
日本久久久精品中文字幕|
国产成人99久久亚洲综合精品|