FSO ve Korunma

Arkadaşlar hosting kullanıcısı zehir tarzında bir script attığında sadece kendi sitesinde gezebilsin üst dizinlere çıkamasın ve göremesin. bunu nasıl yaparım bilen ve tecrübeli olan arkadaşlar yazarsa çok mutlu olurum.

Not : Windows Server 2003 kullanıyorum ve birden fazla site barınıyor

Şimden herkese iyi çalışmalar
Saygılar.

üst dizinlere erişimi sınırlandırmalısın.

ama nasıl

iis web siteleri özelliklere gir.

Home directory
Configuration
Options
Enable Parent Paths(işaret varsa kaldır)

Onayladığında üst klasörlere erişimi sınırlamış olursun.
Ama bu defa
<!--#include file="../dosya/isim.asp" -->

Şeklinde bağlantılarıda yapamassın. Site hata verir.

Asp izinlerini mahfetmiş olursun bu şekilde (Arkadaşım kızmasın sakın ama bu bir çözüm degil)

aklıma gelenleri sırası ile anlatayım

Gerekenler
domain adı = seninsiten.com
ilk user = ilkuser
IIS useri = iis_ilkuser

öncelikle 2 user yaratırsın
ve hiç bir klasöre yada guruba sokmazsın bunları (users gurubundan çıkarmalısın)

diyelimki senin IIS ye yetkili ana klasörün "c:\uyeler"

öncelikle ilk user için klasör yaratırsın
c:\uyeler\ilkuser\
buna ilk user için haklar verirsin ( read - write - execute)

sırada ikinci klasör yapısı var (domainin çalışacağı klasör)
c:\uyeler\ilkuser\seninsiten.com\
bu kısımda sadece makine userlerinin hakları olur
örnek administrator , backup admin , system admin vb gibi.

bunun altına 3 klasör açarsın

c:\uyeler\ilkuser\seninsiten.com\
www\
loglar\
data\
sırası ile
- www klasörüne iis_ilkuser için okuma ve yazma hakkı verirsin.
- loglar kısmına sadece IIS Deki bu sitenin loglarının yazılmasını sağlarsın
- data kısmına iis_ilkuser (read - write - execute ) haklarını verirsin.

bu user için FTP açarken dikkat edilmesi gereken konu (serv-u gibi programlar için anlatılmıştır)
c:\uyeler\ilkuser\seninsiten.com\ kısmına full access verilmesidir.



IIS De ayarlanması gereken kısım ise IIS de o domainin üstüne gelerek properties yapılarak "directory security " seçilmeli.
ardından "authentication and access control" kısmı seçilerek
tanımlamış olduğunuz "iis_ilkuser" i username yerine yazarak altına şifrenizi yazmanız olur.

böylelikle user WWW klasörüne dosyalarını atar ve sadece orda ona tanımlanmış olan IIS useri aktif olur. üst klasörde hakları olmadığı için ne bir üst yada başka bir klasöre gitmesi mümkün olmaz.

Umarım yardımı olur.
Saygılarımla

Diyelimki plesk kullanıyoruz.
Her host için yukarıdaki işlemleri tek tek yapmalımıyız.
Bunu standarda bağlamanın bir yolu varmı?

konuyu bu şekilde deilde sunucunun fso acıklarını kapatmanın cozumunu arasak iyi olmazmı beni web sitemede bu şekilde saldırılar oluyordu adamlar isdedikleri gibi server icinde geziyolardı tam bi cozum yolu bilen yokmu bu windows sunucu acıklarını apatmak ile ilgili

Öncelikle bu manuel olarak yapılması gereken bir işlemdi.
Pleskin kendisinin zaten halihazırda bunu yapması gerekir.(asp ve php güvenligi açısından)
ama yapmıyor ise buna benzer teknikleri kendiniz geliştirebilirsiniz.
pleskin klasörleme yapısını ve user açma yapısını bilmedigim için bir cevap veremem. Fakat bana resimlerle yada Boş bir makinede demo (pleskin sayfasında bulamadım) açılabilirse bir çözüm üretmeye çalışabilirim.
Saygılarımla

TrDownload' Alıntı:

konuyu bu şekilde deilde sunucunun fso acıklarını kapatmanın cozumunu arasak iyi olmazmı beni web sitemede bu şekilde saldırılar oluyordu adamlar isdedikleri gibi server icinde geziyolardı tam bi cozum yolu bilen yokmu bu windows sunucu acıklarını apatmak ile ilgili

Genişletmek için tıkla ...

Asp ve yardımcı DLL leri herkesin kullanımına açık olarak tasarlanmıştır.
bunu server olarak nasıl kapatacaksınız anlayamadım. yada açık kapamaktaki kastınızı anlamamış olabilirim.

asp serverlerin acıkları linuz sunuculara nazaran birazdaha fazla oluyor
bunu kasdetmeye calışıyorum ben

aslında yanlış biliyorsun.
Windows sunucularda Eğer kendi bileşenleri kullanılıyorsa ve denetimi yapabiliyorsanız pek açık kalmaz
Fakat,
linux sunucularda bir çok kişinin kod yazdığı bir sistem ise (kaldıki çoğu böyle) her türlü açık bulunabiliyor.

Her ikisi içinde geçerli bir konu var ki ;
çok takip , çok test , çok okumak ve sabır
hepsini kapatabilme imkanı tanıyor size

Hem çok site var hem de üst klasöre erişimi engellemeyi bilmiyorsun. Bunda bir terslik var...

tiklat.net' Alıntı:

Hem çok site var hem de üst klasöre erişimi engellemeyi bilmiyorsun. Bunda bir terslik var...

Genişletmek için tıkla ...

?????? ben bişi anlamadım, ne alaka?

tiklat.net' Alıntı:

Hem çok site var hem de üst klasöre erişimi engellemeyi bilmiyorsun. Bunda bir terslik var...

Genişletmek için tıkla ...

öncelikle üslupda bir hata var.
insan çuvaldızı kendine batırmalı ....


ikinci olarak PANEL HOSTÇULUĞU çıktığından beri insanlar araştırmaz soruşturmaz oldu. arkadaşımız yanlış birşey yapmamış.
ama bir çok kişinin (burda da örnekleri bulunan) panel hostçuluğuna alıştığı için bu tür ve daha kötü sorunlarla başbaşa kalacakları kesin.

Saygılarımla

http://olympos.org/forum/message/2126/
Burayı okumanızı tavsiye ederim

ben öyle kampayaymış, ıvırmış zıvırmış uğraşmıyorum, alıyorum dizüstümü dolaşıyorum, zaten işim tasarım oldugu için müşterilerim var.ben host işini prof. olarak yapmadığım için tanımadığım kişilere hostta vermiyorum, kaldıki 10 user dan alacağım aylık 3-5 kuruşu 1 firmadan yıllık olarak sağlıyorum zaten. Bunlara artı olarak site ve host yönetiminide ben tutuyorum, zaten domain şifrelerini bile bilmezler hepsi bende...upload uygulamalarıda sadece jpg için geçerli...o zaman benim bu zehir.asp den zarar görmem kesinlikle mümkün değil sanırım...Ancak benim şifrelerim ellerine geçerseki o zamanda zehir.asp ye gerek kalmıyor zaten...

acaba doğru anladımmı?

zehir.asp.jpg olarak bir defa yemiştim.

Ben gu gün yukarıda verdiğim linki iyice okudum. Ve deneme yanılma yöntemiyle sorunu çözdüm. O kadarda zor bişey değil. 10 dakkanı ayırırsan hemen halledebilirsin.

peki jpg olarak nasıl çalıştırıyoki dosyayı? Yani dll dosyaları onun asp oldugunu nasıl anlıyor ve browser gelen .jpg uzantıyı neye göre okuyor?...dosya yüklenir okey ama nasıl çalıştırılacak? Bulsam şu zehir.asp yi deyicem bakalım oluyomu

nasıl yapıyorlar bilmiyorum. ama bi şekilde yapmışlar. Geçen yıl bu şekilde heklendim. script dosya kontrolü yapıyordu.
googlede arasan bulursun.

açıklamalar için teşekkürler arkadaşlar.

gerekenleri yaptım

Kolay gelsin iyi çalışmalar