FSO Sikkerhed

sikre dig at IUSR_SERVERNAVN ikke har nogen rettigheder til andre mapper en den mappe hvor din webside ligger i

det er aldrig smart at give brugeren mulighed for at rette i en sti der skal eksekveres på serveren, ved at overføre stien i en url.

Hmmm andre metoder? Det med give IUsr rettigheder virker ikke da han/hun kun har lov at se denne mappe men ikke de kildefiler som hoster websitet...

Du kan bare lave en replace som sjekker de 3 første tegn hvis du ikke skal lenger opp en et nivå.

Eller du skal alle hente fra spesifikke mapper eller en mappe? Ligger alle på samme nivå?

//Morten

Smid litt kode....

Nej de ligger ikke på samme niveau :

Min kode

rootpath = server.MapPath("../../../fileFolder/")
    level = 0
    strCounter = 0
    sub getPath(strPath,level,ParentFolder)
        Set fso = CreateObject("Scripting.FileSystemObject")
        Set MainFolder = fso.GetFolder(strPath)
        Set Files = MainFolder.Files
        Set Folders = MainFolder.subfolders

        For Each Folder in Folders
           
            if ParentFolder <> "" then
            imagePath = parentFolder & "/" & folder.name & "/"
            else
            imagePath = folder.name & "/"
            end if
           
           
            for a = 1 to level
              siteLevel = siteLevel + 1
            next
         
            strCounter = strCounter + 1
           
            response.Write("d.add(" & StrCounter & "," & level &",'" & Folder.NAme & "','show_fileSystem.asp?Folder=" & imagePath & "');"  & vbCrlf)
           
            call getPath(strPath & "\" & lcase(folder.name),level+1,lcase(folder.name))
           
        next

     
        set fsObj = Nothing
        set MainFolder = Nothing
    end sub
   
   
    call getPath(rootpath,level,StartPath)
   
%>

hvordan ser din Querystring ud?

eks. : folder=billeder/Familie/

så kan du ex gøre følgende

If instr(Request.Querystring("bla"),"/") = 0 Then
  Response.write("Der er fejl i url'en")
Else
  kør din kode
End If

nope hvis jeg så i min quersystring skriver :Folder=../ så får jeg stadig adgang til underliggende mapper + filer

Man skal vel sammenligne mit udgangspunkt med min querystring hvis den mappe jeg søger i min qyerstring ligger uden for min rootPath skla man nægtes adangag

undskyld mine stavefejl, har fået nyt keyboard og skal lige have det tilpasset ;-) Når man kommer fra et MS Nautral knæk keyboard til et notebook keyboard så vil man lave en del slåfejl :)

DinString = Replace(Request.Querystring("DINQUERYSTRING"), "../", "")

overordnede virker det som om der er noget helt galt med sikkerheden på din server, hvis der ikke skal mere til at du kan nå system filerne fra en asp side.

prøv med

If instr(Request.Querystring("bla"),"/") = 0 OR instr(Request.Querystring("bla"),"./") = 0 OR instr(Request.Querystring("bla"),"../") = 0 Then
  Response.write("Der er fejl i url'en")
Else
  kør din kode
End If

Det er de tre muligheder der er for at komme en folder ellere flere ud

hvis du bruger denne måde, skal du også replace følgende:

DinString = Replace(Request.Querystring("DINQUERYSTRING"), "/", "")
DinString = Replace(Request.Querystring("DINQUERYSTRING"), "./", "")

Hmmm jeg sidder og tester internet på min egen webserver.. kan godt være derfor.

Rækker sikkerheden med at undersøge de 3 muligheder der?

folder = Request.QueryString("Folder")
folder = Replace(folder, "../", "")

rootpath = server.MapPath("../../../fileFolder/")
    level = 0
    strCounter = 0
    sub getPath(strPath,level,ParentFolder)
        Set fso = CreateObject("Scripting.FileSystemObject")
        Set MainFolder = fso.GetFolder(strPath)
        Set Files = MainFolder.Files
        Set Folders = MainFolder.subfolders

        For Each Folder in Folders
           
            if ParentFolder <> "" then
            imagePath = parentFolder & "/" & folder.name & "/"
            else
            imagePath = folder.name & "/"
            end if
           
           
            for a = 1 to level
              siteLevel = siteLevel + 1
            next
         
            strCounter = strCounter + 1
           
            response.Write("d.add(" & StrCounter & "," & level &",'" & Folder.NAme & "','show_fileSystem.asp?Folder=" & imagePath & "');"  & vbCrlf)
           
            call getPath(strPath & "\" & lcase(folder.name),level+1,lcase(folder.name))
           
        next

     
        set fsObj = Nothing
        set MainFolder = Nothing
    end sub
   
   
    call getPath(rootpath,level,StartPath)
   
%>

Moejensen, lige gyldigt hvad jeg gør så får jeg afvide at der er fejl i url hvis jeg benytter det sidste du kom med... så kan jeg få lov at se nada :-)

Moejsen hvis jeg benytter dine replace går det jeg helt galt da brugeren har mulighed for at se /billeder/upperfolder

prøv at undlad denne her:

DinString = Replace(Request.Querystring("DINQUERYSTRING"), "/", "")

den sender alligevel kun brugeren ud ti lrooden af din webfoler.

men problemet skulle gerne klares automatisk når du ligger det på dit webhotel.

Der er blevet brugt lidt at hvert, så hvis i alle smider et svar så deler jeg point.

Ingen der vil smide et svar ?;)

lukker