Re: [Comm] Вопрос про Apache и Application Proxy (дополнение)

[Alexander Kharkov <shurik2k@hotbox.ru>]

On Sat, 1 Feb 2003 20:13:35 +1000
Dmitry Lebkov <dima@sakhalin.ru> wrote:

> On Sat, 1 Feb 2003 12:41:17 +0300
> Alexander Kharkov <shurik2k@hotbox.ru> wrote:
> 
> > Здравствуйте!!!
> > 
> > Не знаю даже с чего начать....
> > 
> > Я не являюсь специалистом по всяким Web-технологиям, поэтому просьба
> > объяснить как нибудь попроще (но в то же время не примитивно :-)))
> > 
> > Значит сначал обрисую ситуацию. В конторе, к коей я работаю,
> > основная сетевая операционка - Novell Netware, есть один админ,
> > который окромя этой нетвари практически ничего не знает.... 
> > 
> > Есть задача - вывести во внешний мир, то бишь интернет Linuxовую
> > тачку с установленным Apache. Так вот сей админ очень активно
> > интресуется, как обстоят дела у апача с Buffer Overflow???? То есть
> > как поведет себя апач если ему запостить строку длинной эдак
> > килобайт n-цать??
> 
> Нормально себя поведет. Ответит, что нет такого файла и не свалится.
> %) Это уже очень давно пофиксено.

тут мне необходимо добавить что требуется в точки зрения защиты.....

вопрос не в том сможет или не сможет злоумышленник завалить апач (как
говорит ождна моя знакомая "что упало то поднимем" :-))

суть в другом, значит описываю ситуацию

есть http форма, на ней поле ввода в нем казано ограничение на длину
скажем в 30 символов.
кулхацкер берет енту форму подправляет ее у себя (разные способы есть -
не суть в данном случае важна)
и засылает не 30 символов на скажем  30 килобайт символов, не может ли
это вызвать выполнение нежелательного кода на сервере????

в общем то это будет Web-система с запросами к Oracle-евой СУБД
(естественно находящейся на другой машине) проблема в том, что в базе
хранится конфеденциаьная информация, которую левому народу вообщем то
видеть совсем не обязательно... 

хотелось бы услышать опытных людей, как лучше защитить все это дело, как
это реально делается, потому как опыта ноль - а делать надо :-(((

в дополнение - сайт будет писаться на PHP

> 
> > И второй вопрос, товарищ сей твердит, что для безопасности надо,
> > прямо таки необходимо, написать прогу которую он назвыает
> > Application Proxy. Которая должна пропускать чрез себя весь
> > HTTP-ешный траффик и усекать такие поля. Поэтому второй вопрос есть
> > ли готовое решение для организации этого самого Application Proxy (я
> > честно говря вообще слабо себе представляю что это такое)? 
> 
> Товарищь бредит. См. http://www.netcraft.com/survey/ на предмет кол-ва
> Апачей в сети :) И я сильно сомневаюсь, что их было бы столько если бы
> они страдали "падучей болезнью" после n-килобайтного запроса.

Вопрос не в падучести (см выше).

> 
> 
> --
> WBR, Dmitry Lebkov
> _______________________________________________
> Community mailing list
> Community@altlinux.ru
> http://www.altlinux.ru/mailman/listinfo/community

ЗЫ Я извиняюсь за дотошность но просто нужна развернутая информация,
причем такая чтобы среднестатистический начальник смог ей проникнуться
:-))
>