Re: [apache-talk] Re:

[Victor B Wagner <vitus@xxxxxx>]

On Mon, 25 Jan 1999, Khimenko Victor wrote:

> From: Khimenko Victor <khim@xxxxxxxx>
> Subject: Re: [apache-talk] Re:
> X-Mailer: dMail [Demos Mail for DOS v2.07a2]
> 
> In <Pine.LNX.4.03.9901251643070.8-100000@xxxxxxxxxxxxxxx> Victor B Wagner (vitus@xxxxxx) wrote:
> >> множество. Я говорил о SQL-авторизации, пароли к которой неизбежно будут в
> >> исходниках...
> 
> VW> Опять же не обязательно. Очень легко сделать, чтобы этот пароль был в
> VW> голове у юзера. Естественно, для этого стоит поднять SSL и не пускать
> VW> юзеров с 40-битным шифрованием.
> 
> По моему спор идет по принципу "в огороде бузина, а в Киеве дядька". По-моему
> исходно речь шла не об авторизации пользователя вообще ! Как я понял проблема
> (с которой я также столкнулся) проще всего пояснить на примере: пусть у нас
> есть, скажем, записная книжка (GuestBook) в базе данных, которая принадлежит
> какому-либо пользователю. Обращение к ней идет через PHP или через mod_perl --
> фиолетово. При этом пользователь, который делает записи в GuestBook'е вообще
> никаких паролей знать не должен ! Не нужно ему это ! Однако чего нам бы не
> хотелось, так это того, чтобы наши соседи по web-server'у могли после взгляда
> на исходники скрипта весь GuestBook испохадить напрямую, не проходя через

Элементарно - запускается под вашим именем демон, которых хранит
необходимую авторизационную информацию. Ваш скрипт на перле обращается
к нему через socket, unix-domain-socket или даже shared memory.
демон при этом проверяет, что тот кто к нему обратился есть apache.
(поскольку это на одной машине, можно сделать, скажем fuser, хотя ident,
пожалуй, хватит). Модуль, который выполняет обращение к демону
авторизации, получает в качестве параметра apache-request и кормит
авторизационному демону URL. Модуль соседям по веб-серверу доступен, но
требуется немалый уровень знаний для того, чтобы его похакать. А если
использовать оригинальный, демон запишет в log из какого скрипта к нему
пришли. (Это если все писать на Perl. Если интерфейс к демону авторизации
написать на C, то хакать его будет совсем неудобно. 

А так стащил кто-то ваш скрипт и видит
($user,$passwd)=&Mymodule::getdbcreditials($r)
$dbh=DBI->connect("dbi:Pg:foo",$user,$passwd);

При попытке сделать то же самое, оно проходит, но в логах остается
строчка "пришли из страницы такой-то", каковой вполне можно сделать stat
и узнать автора, опосля чего применить к оному административные меры.


 --------------------------------------------------
Victor Wagner			vitus@xxxxxx
Programmer			Office:7-(095)-964-0380
Institute for Commerce 		Home: 7-(095)-135-46-61
Engineering                     http://www.ice.ru/~vitus

=============================================================================
=               Apache-Talk@xxxxxxxxxxxxx mailing list                      =
Mail "unsubscribe apache-talk" to majordomo@xxxxxxxxxxxxx if you want to quit.
=       Archive avaliable at http://www.lexa.ru/apache-talk                 =