schrijven met of zonder wachtwoord

[Eduard Bekker]

Beste mensen!

Voor diverse klanten heb ik eenvoudige opties gemaakt om delen van hun site
zelf aan te passen via hun browser.

Het werkt feitelijk op dezelfde wijze als gastenboeken worden weggeschreven,
met dit verschil dat de betreffende pagina die het mogelijk maakt staat op
het bureaublad van de gebruiker. Hiermee worden variabelen gegenereerd, die
een editor met wijzigingsformulieren in werking stellen. Een willekeurige
bezoeker van zo'n site ziet dus niet dat die mogelijkheid bestaat.

De zwakste schakel ligt natuurlijk in het feit dat betreffende bestanden,
net zoals bij een gastenboek, een write-permission voor iedereen hebben.

Tot nu toe gaat dit altijd prima.
Maar u is mijn vraag: in hoeverre is dit systeem kwetsbaar?
De mappen kunnen via een browser op zich moeilijk of niet op inhoud worden
bekeken, omdat in elke map een index-bestand zit, dat de hele site oproept.
Erg makkelijk om in te breken lijkt het me dus niet. Vooral omdat bezoekers
niet weten dat er überhaupt pagina's zijn die een 'everyone'-permission
hebben.

Er bestaan scripts, die schrijven met het wachtwoord dat door de webmaster
is ingesteld voor ftp-transfer mogelijk maken, maar ik heb de indruk dat de
server dan aan bepaalde criteria dient te voldoen.
Hoe complex is het toevoegen van een wachtwoord-optie. En in hoeverre is dit
bij een website waar geen overdreven gevoelige info op staat (want openbaar)
nodig?

--
----------------------
Groetjes,
Eduard
http://www.websitez.nl
----------------------

[Nico Coesel]

Eduard Bekker <e.bekker@layout.nl> wrote:

>Beste mensen!
>
>Voor diverse klanten heb ik eenvoudige opties gemaakt om delen van hun site
>zelf aan te passen via hun browser.
>
>Het werkt feitelijk op dezelfde wijze als gastenboeken worden weggeschreven,
>met dit verschil dat de betreffende pagina die het mogelijk maakt staat op
>het bureaublad van de gebruiker. Hiermee worden variabelen gegenereerd, die
>een editor met wijzigingsformulieren in werking stellen. Een willekeurige
>bezoeker van zo'n site ziet dus niet dat die mogelijkheid bestaat.
>
>De zwakste schakel ligt natuurlijk in het feit dat betreffende bestanden,
>net zoals bij een gastenboek, een write-permission voor iedereen hebben.
>
>Tot nu toe gaat dit altijd prima.
>Maar u is mijn vraag: in hoeverre is dit systeem kwetsbaar?

Malafide gebruikers kunnen hier alleen iets mee als ze programma's /
scripts kunnen uitvoeren.

>Er bestaan scripts, die schrijven met het wachtwoord dat door de webmaster
>is ingesteld voor ftp-transfer mogelijk maken, maar ik heb de indruk dat de
>server dan aan bepaalde criteria dient te voldoen.
>Hoe complex is het toevoegen van een wachtwoord-optie. En in hoeverre is dit
>bij een website waar geen overdreven gevoelige info op staat (want openbaar)
>nodig?

Zet de scripts die naar de 'database' kunnen schrijven in een met een
wachtwoord (.htaccess) beveiligde directory. Dat scheelt een stuk.

--
Reply to nico@nctdevpuntnl (punt=.)
Bedrijven en winkels vindt U op www.adresboekje.nl

[Eduard Bekker]

Er knalde het volgende tegen de binnenkant van de voorkant van mijn
beeldscherm:

> Eduard Bekker <e.bekker@layout.nl> wrote:
>
>> Beste mensen!
>>
>> Voor diverse klanten heb ik eenvoudige opties gemaakt om delen van hun site
>> zelf aan te passen via hun browser.
>>
>> Het werkt feitelijk op dezelfde wijze als gastenboeken worden weggeschreven,
>> met dit verschil dat de betreffende pagina die het mogelijk maakt staat op
>> het bureaublad van de gebruiker. Hiermee worden variabelen gegenereerd, die
>> een editor met wijzigingsformulieren in werking stellen. Een willekeurige
>> bezoeker van zo'n site ziet dus niet dat die mogelijkheid bestaat.
>>
>> De zwakste schakel ligt natuurlijk in het feit dat betreffende bestanden,
>> net zoals bij een gastenboek, een write-permission voor iedereen hebben.
>>
>> Tot nu toe gaat dit altijd prima.
>> Maar u is mijn vraag: in hoeverre is dit systeem kwetsbaar?
>
> Malafide gebruikers kunnen hier alleen iets mee als ze programma's /
> scripts kunnen uitvoeren.
>
>> Er bestaan scripts, die schrijven met het wachtwoord dat door de webmaster
>> is ingesteld voor ftp-transfer mogelijk maken, maar ik heb de indruk dat de
>> server dan aan bepaalde criteria dient te voldoen.
>> Hoe complex is het toevoegen van een wachtwoord-optie. En in hoeverre is dit
>> bij een website waar geen overdreven gevoelige info op staat (want openbaar)
>> nodig?
>
> Zet de scripts die naar de 'database' kunnen schrijven in een met een
> wachtwoord (.htaccess) beveiligde directory. Dat scheelt een stuk.

Dit lijkt inderdaad goed te werken: de browser kan deze mappen niet meer
inzien zonder wachtwoord, het openen van deze bestanden vanaf een ander
domein lukt ook niet meer, maar het het bewerken via php-scripts op de eigen
server lukt wel en het includen werkt ook. Wat zou er nu nog mis kunnen
gaan? De map met php-scripts afschermen is ook gelukt, terwijl ze wel kunnen
draaien via include.


--
----------------------
Groetjes,
Eduard
http://www.websitez.nl
----------------------