Suche Apache Modul

[cye]

Hi,

bei puretec hatte ich bei meinem webspace das feature das
er kleinere rechtschreibfehler erkannte und verbesserte

also auf:

domain.de/ergebnisse

kam man auch über
domain.de/ergebnise
obwohl das verzeichnis gar nicht exisitiert .. ?!?

[rob]

mod_speling ist dein Freund :)

[Anonymous]

Hmmm, kenn ich persönlich eigentlich nicht, aber du kannst ja eine neue Serverdirective in httpd.conf schreiben. Wäre so eine "Umgangslösung" :lol:

[captaincrunch]

mod_speling

[Anonymous]

Hmmja, Captain du hast mich überzeugt... aber beachtet bitte folgendes:

-------------------------------------------- 8< -------- schnipp -----------------------------------------------

mod_speling
Das Apache-Modul mod_speling - der Rechtschreibfehler ist Absicht! - bessert kleine Ungenauigkeiten beim Aufruf eines URLs automatisch aus. Es bewirkt z.B., daß ein Klient, der das nicht existierende Dokument http://www.univie.ac.at/zid/ anfordert, die Antwort erhält, dieses sei unter http://www.univie.ac.at/ZID/ zu finden.

Mit diesem sehr nützlichen (und daher auch am Uni-Webserver verfügbaren) Modul ist aber leider ein Sicherheitsproblem verbunden: Es kann leicht vorkommen, daß dadurch unbeabsichtigt Daten übers Web sichtbar werden. Ein Beispiel: Der Benutzer ihw bearbeitet ein CGI-Skript namens test.cgi und speichert eine ältere Version unter dem Namen test.bak ab. Nun will jemand dieses Skript aufrufen und vergißt dabei die Endung .cgi - er schreibt also http://www.univie.ac.at/ihw/test. Wenn innerhalb eines Verzeichnisses mehrere Dokumente mit ähnlichem Namen existieren, bietet mod_speling eine Auswahl an; wählt man hier test.bak, wird nicht das CGI-Skript ausgeführt, sondern der Quellcode angezeigt bzw. abgespeichert. Besonders problematisch ist das, wenn das Skript dazu dient, eine Datenbankverbindung zu öffnen: Bei diesem Vorgang läßt es sich nur schwer vermeiden, das Paßwort im Klartext anzugeben.

Um zu vermeiden, daß Daten unabsichtlich veröffentlicht werden, ist die folgende Vorgangsweise zu empfehlen:

Vergeben Sie restriktive Zugriffsberechtigungen für alle Dateien, die nicht für die Ã?ffentlichkeit bestimmt sind. Wenn nur der Eigentümer (owner) die Datei test.bak lesen darf, kann sie auch der Webserver (der Benutzer www) nicht lesen.

Bei CGI-Skripts sollten häufig verwendete und sensitive Programmteile in Module verpackt werden. Beispielsweise kann die oben erwähnte Datenbankverbindung im Modul Connect.pm geöffnet werden. Das Klartext-Paßwort steht dann nur in einer einzigen Datei (die natürlich besonders gut geschützt werden muß), auch wenn das Modul von Dutzenden verschiedenen Skripts verwendet wird.

Mit der Direktive FilesMatch in der Datei .htaccess kann der Zugriff auf bestimmte Dateitypen gänzlich unterbunden werden - z.B.


<FilesMatch *.pm>
deny from all
</FilesMatch>


Damit mod_speling funktioniert, benötigt der Webserver Lesezugriff (read permissions) auf das Verzeichnis, in dem sich die Dateien befinden (sonst genügen execute permissions). Man kann aber beispielsweise mit dem Befehl chmod go-r safedir den Lesezugriff auf das Verzeichnis safedir unterbinden - die "Rechtschreibprüfung" ist dann für dieses Verzeichnis überhaupt ausgeschaltet.

-------------------------------------------- 8< -------- schnapp -----------------------------------------------