Ее имя OWASP DirBuster. Удобная штука
. Но! Я так понял, что она ориентируется на ответ 202, 403, 303. Поэтому можно сделать вывод, что если папка секретная, то нужно посылать на 404, от греха подальше.за день я обчасал свой localhost =)
Так, если на сайте есть возможность загрузки файлов, злоумышленник может найти папку, в которую они загружаются, залить туда php-файл(если админ кривой) и запустить его!
Спустя 1 час, 39 минут, 24 секунды (15.10.2011 - 22:43) killer8080 написал(а):
| Цитата (kmaks @ 15.10.2011 - 21:03) |
| Так, если на сайте есть возможность загрузки файлов, злоумышленник может найти папку, в которую они загружаются, залить туда php-файл(если админ кривой) и запустить его! |
Не админ, а программист писавший скрипт. Всегда нужно проверять что грузится на сервер.
Спустя 13 часов, 23 минуты, 4 секунды (16.10.2011 - 12:06) Белый Тигр написал(а):
Идея с посылом 404 от закрытых папок хорошая. Но лучше уж тогда просто вынести их за веб-директорию.
Спустя 19 минут, 22 секунды (16.10.2011 - 12:25) XCross написал(а):
А если это админка? Обычно ее таким способом ищут =)
Спустя 3 часа, 35 минут, 17 секунд (16.10.2011 - 16:00) Белый Тигр написал(а):
Просто по IP доступ к ней ограничить и всё.
Спустя 47 минут, 18 секунд (16.10.2011 - 16:48) XCross написал(а):
Тогда будет forbidden и это будет значить, что папка существует =)
Я вот думал, что у меня защищено. Оказывается мой скрипт отдает 301 ошибку.
Я вот думал, что у меня защищено. Оказывается мой скрипт отдает 301 ошибку.
Спустя 1 час, 50 минут, 48 секунд (16.10.2011 - 18:38) Белый Тигр написал(а):
| Цитата |
| Тогда будет forbidden и это будет значить, что папка существует =) |
Сделайте правило перезаписи URL на несуществующий объект при условии что IP не ваш. Будет вам 404.
| Цитата |
| Я вот думал, что у меня защищено. Оказывается мой скрипт отдает 301 ошибку. |
Это не ошибка, а статус-код
Переадресация.Спустя 4 минуты, 59 секунд (16.10.2011 - 18:43) XCross написал(а):
| Цитата |
| Это не ошибка, а статус-код |
Он самый
Спустя 2 часа, 45 минут, 59 секунд (16.10.2011 - 21:29) ancient mariner написал(а):
| Цитата |
| если папка секретная, то нужно посылать на 404, от греха подальше. |
Чё-то я не понимаю логики - если к папке нет доступа, не всё ли равно?
Спустя 6 часов, 58 минут (17.10.2011 - 04:27) XCross написал(а):
Чем меньше информации - тем лучше.
Спустя 2 часа, 58 минут, 32 секунды (17.10.2011 - 07:26) Guest написал(а):
Тогда вопрос: как правильно послать на 404 из 403?
Если прописать одинаковые файлы в командах
то ошибка же все равно будет 403 в заголовке или я не прав?
Если прописать одинаковые файлы в командах
ErrorDocument 403 /404.html
ErrorDocument 404 /404.html
то ошибка же все равно будет 403 в заголовке или я не прав?
Спустя 2 часа, 32 минуты, 54 секунды (17.10.2011 - 09:59) Zerstoren написал(а):
Это только вывод этих страниц сервером.
Если файла/папки не существует в системе, то будет выдан 404 http код.
Если в корне лежит .htaccess с параметром deny from all. То при попытки открыть эту папку - будет отдан 401 код.
Но самый лучший вариант - это запретить открытие содержимого папок, если не указан файл. Т.е. адрес картинки img/some_image_url.png и если открыть img/ то мы увидим все содержимое этой директории. Запрещаем это через
Options -Indexes
Если файла/папки не существует в системе, то будет выдан 404 http код.
Если в корне лежит .htaccess с параметром deny from all. То при попытки открыть эту папку - будет отдан 401 код.
Но самый лучший вариант - это запретить открытие содержимого папок, если не указан файл. Т.е. адрес картинки img/some_image_url.png и если открыть img/ то мы увидим все содержимое этой директории. Запрещаем это через
Options -Indexes
Спустя 5 часов, 2 минуты, 55 секунд (17.10.2011 - 15:02) killer8080 написал(а):
| Цитата (Guest @ 17.10.2011 - 07:26) |
| Тогда вопрос: как правильно послать на 404 из 403? |
Зачем? Тогда уж нужно сразу делать 404 ошибку. Заменяем классический
Order Allow,Denyна
Deny from all
RewriteEngine Onи будет вам стандартная 404 страница, с заголовком.
RewriteRule .* [R=404]
Спустя 26 минут, 57 секунд (17.10.2011 - 15:29) XCross написал(а):
Acunetix Web Vulnerability Scanner 7
За 2 минуты почти полностью состряпала структуру каталогов.
За 2 минуты почти полностью состряпала структуру каталогов.
Спустя 4 минуты, 35 секунд (17.10.2011 - 15:33) Guest написал(а):
Спасибо, killer8080!
Но правильнее так
;)
Но правильнее так
RewriteEngine On
RewriteRule .* - [R=404]
;)
Спустя 2 минуты, 12 секунд (17.10.2011 - 15:35) killer8080 написал(а):
| Цитата (Guest @ 17.10.2011 - 15:33) |
| Но правильнее так |
Да без разницы хоть
RewriteEngine Onвсё равно будет работать
RewriteRule .* [R=301]
_____________
Обмен Ukash на WebMoney