Udv!

> Lodoktor irta:
> "Emlekeim szerint a site nevet le lehet kerdezni, hogy honnan jott az illeto
> (ezt csinalom en is)"

> Erdekelne a megoldas... mivel tudom megnez(et)ni? HTML file-ba beepitheto
> dologrol van szo vagy egyeb perl,cgi...stb.. kell hozza, amikrol fogalmam
> sincs? (azert is soroltam fel itt ezeket, mert nem tudom, hogy mire jok...
> de legalabb jot rohog valaki, hogy ilyeneket kerdezek ;)

	Szabvanyos formatuma:
	
	<!--#exec cmd="...CGI helye es neve..."--> 
	<!--#exec include="...SSI file helye es neve..."-->

	Ezeket abszolut cimekkel kell tobbnyire megadni. Azonban erdemes
erdeklodni a rendszer gazdajanal, hogy mukodik-e az ilyesmi. Talan Bandi
) tud errol mondani par szot (esetleg arrol is, hogy most
miert nem megy ;)). Itt a hasznalt daemon: Apache (mint a legtobb gepen).

	CGI lehet pl. a kovetkezo (linux alatt)

	#--- Program kezdet

	!#/bin/sh	# lehet #!/bin/perl is...

	printf "<CENTER>"
	printf "<H1>Hi Guest from %s" $REMOTE_HOST
	printf "<BR>Your address is %s" $REMOTE_ADDR
	printf "</H1></CENTER>"
		
	#--- Program vege	

	Ugye a stardard output ilyenkor a hivo dokumentum, melynek, mint
latszik is, HTML formatum adodik vissza.

						Lodoktor


PS: A browser megkerdezese: a $HTTP_USER_AGENT valtozoval lehetseges.

On Sat, 28 Mar 1998  wrote:
> Udv!
> A szamomra legegetobb kerdest teszem fel - a bongeszok ezer eve ismerik a
> Progressziv JPG-et (Valamikor meg a NN 1.12 volt az utolso, aki nem volt

Valaki elmagyarazna mit jelent a progressziv jelzo?!
Ez miben ter el a hagyomanyos JPG-tol?

Kosz a valaszokat!
						Ivan

 írt a következő cikkben:
>...> >  írt a következő cikkben:
> > >...
> > > Hello Webmesterek !
> > > Segitsegeteket kerem abban hogy hogyan lehet megoldani
> > azt hogy
> > > valaki csak a megadott azonosito es jelszo utan tudjon
> > > tovabb lepni a lapon. [ A megadott azonositot levelben
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
> 2. A JavaScriptes megoldasra talasz megoldast honlapomon: (
> http://w3.datanet.hu/~otvos ).
> Itt stilszeruen :-))) egy jelszoval vedett oldalrol
> letoltheto a titok.zip fájl, mely tartalmazza az osszes
> szukseges alkatreszt a megoldashoz.
> Eljutni hozza ugy tudsz, hogy a fenti honlap elso oldalanak
> bal also sarkaban levo pulzalo csillagra kell kattintani.
> Tehat most elarulom a jelszot:  titok_zip . 
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Hali!
Tobben jeleztetek maganban, hogy a fenti eljarassal nem ferkozhettek az
ahitott titkos oldalhoz. Eloszor azt hittem, hogy tul jol sikerult a
titkositas, de nem.
Leellenoriztem a Westel Powerlib (
http://www.westel.hu:80/pwerlib/webent.pl ) naploval, hogy 6.20 es12.30
kozott  37-en
eljutottak a titok_zip.htm oldalra ki elsore ki masodjara. 
Akinek nemsikerult (9), ket kiserlet utan feladta. 
Szerintem a jelszo pontos megadasaval el lehet jutni a celig. 
Ha igy sem, akkor kivese'zzuk.
Kicsit tobb kitartast!
Udv
Pista
 
 http://w3.datanet.hu/~otvos

Udv !

Egyik baratom emlitette, hogy hallott egy magyar szamlalorol, de a 
cimet, ahol utana lehet nezni, nem tudta megmondani. Ti tudtok 
ilyesmirol ?

Tomi

Halihó!

>>>
1 Eloszor a "masik" megoldas: keszitsd el a titkolando
oldalt és nevezd el jelszo.htm -nek, majd toltsd fel a
vebhelyedre (linkek ne vezessenek hozza!) ad add meg a
teljes
URL-jet az illetonek, igy csak o latogathatja meg az igy
eldugott oldalt.
<<<

Ez nem túl biztonságos módszer, az URL-t bárki lenyúlhatja 
az IP forgalomból, megláthatja a szerver-statisztikában, stb.
Arról nem is beszélve, hogy nem tudsz felhasználókat 
megkülönböztetni, nem tudsz azonos jelszóval különböző
fájlokat titkositani.

>>>
2. A JavaScriptes megoldasra talasz megoldast honlapomon: (
http://w3.datanet.hu/~otvos ).
Itt stilszeruen :-))) egy jelszoval vedett oldalrol
letoltheto a titok.zip fájl, mely tartalmazza az osszes
szukseges alkatreszt a megoldashoz.
Eljutni hozza ugy tudsz, hogy a fenti honlap elso oldalanak
bal also sarkaban levo pulzalo csillagra kell kattintani.
Tehat most elarulom a jelszot:  titok_zip . Ezt egy elougro
lebego keretbe kell beirni.
Egyebkent erdemes elidozni honlapomon egyeb Java-s
megoldasok miatt is.
<<<

A fenti egy variációja, csak egy kis user interface lett gyártva neki.
Gyakorlatilag brute-force módszerrel viszonylag könnyű mindkettőt
feltörni (egy kis IP forgalmat persze generalni kell vele...)

A jobb megoldás: pl. unix, Apache szerver esetén:
Feljön egy ablak, amibe usernevet és jelszót lehet írni.
A továbbiakban a szerver megkapja (és log-olja), hogy 
ki nezte az oldalt, sőt, REMOTE_USER néven a CGI
scriptek is megkapják környezeti változóként.

A megoldás részletei:

Tfh. te a http://www/~otvos/titkos URL-ű könyvtárat 
akarod titkosítani, a szerveren a 
/home/otvos/public_html/titkos könyvtárban helyezkedik el.
Az userek jelszavai "user:cryptelt_jelszo" formában a
/home/otvos/titkosuser.txt fileban vannak. (Fontos: ne legyen 
webről elérhető könyvtárban!)

Az apache 'access.conf' file-ja:

<Directory /home/otvos/public_html/titkos>
Options ExecCGI Followsymlinks
AllowOverride All
<Directory>

A /home/otvos/public_html/titkos könyvtárban egy '.htaccess' file:
(ezt esetleg az access.conf-ba is lehet rakni)

<Limit GET POST>
AuthName Az en titkos konyvtaram
AuthType Basic
AuthUserFile /home/otvos/titkosuser.txt
require valid-user
</LIMIT>


A /home/otvos/titkosuser.txt file:

usernev1:cryptelt_jelszo1
usernev2:cryptelt_jelszo2

Előny: sokkal nehezebb feltörni, hiszen az usernevet is el kell találni, 
nem csak egy jelszót...
Hátrány: Ha a userek különböző fájlokat láthatnak, vagy egy kis CGI
programot kell írni, vagy többször el kell játszani a fenti játékot, 
különböző könyvtárakra.

Még jobb megoldás: 
Használj secure servert! Persze csak ha sok pénzed van, és a banktól
lopott hitelkártyaszámokat tárolod weben... :-)

>>>
Szerintem a httpd log filejeben kene utananezned annak, ki honnaan jott,
ugyanis abban le van irva minden amni teged erdekelhet! Masreszt meg van
o_J_an file hogy access_log, ahol a userek altal hasznalt kliensszoftok
vannak...elnezest ha a filenevek nem egyeznenek, de ezek mind egy he_J_en
egy dirben vannak! :>
<<<

Ugye a :> szmájli azt jelenti, hogy a _J_ betűk poénból nem ly-osak?

A témához szólva: 
Az access_log első oszlopa a browsoló user
gépének neve (a harmadik az user neve, ld. fentebb).
Az agent_log mondja meg, hogy milyen browsere van a usernek.
A referer_log a hivatkozásokat mutatja meg.
Az error_log a hibákról (hibás link, CGI program hiba (500 Server error)) ad tá
jékoztatást.


Na, mára ennyi, mert a végén bevezetik a sorlimitet...

Üdv,
	Gábor

> Erdekelne, a velemenyetek, hogy az igy vedett tucatnyi
> (privat es uzleti) titkos oldalam biztonsagban van-e,
> szerintem 100%-os a biztonsag.
> 
> Udv
> Pista
> 
> http://w3.datanet.hu/~otvos

Ebben ne legyel olyan biztos! Egy szerver biztonsagat, a rendszergazda 
felkeszultsege szabja meg es nem(csak) a webmestere.

udv


attila
> -------------------------------------------
Horvath Attila  mailto:
  homepage http://clauder.sote.hu/hati/