Лекция: Утилитами и примерами продолжают трудиться и старые, со всеми испытанными ошибками.

Классический и, наверное, известный всем, но до сих пор встречающийся образец — скрипт phf. Это вовсе не

специально оставленный <черный вход>, как можно подумать, глядя на результаты его использования, а всего

Лишь пример скрипта ведения телефонной книги, распространявшийся со старыми версиями Apache и

Некоторыми другими серверами. Для желающих проверить на прочность современные серверы — в

Конфигурационных файлах, приходящих с последними версиями Apache, достаточно раскомментировать четыре

строчки, чтобы все попытки обращения к phf перенаправлялись на сервер phf.apache.org/phf_abuse_log.cgi.

Впрочем, многие администраторы слишком ленивы, чтобы выполнить это.

Проблема в следующем: встретив в командной строке символ перевода строки (ОхОа), он ведет себя иначе:

строка www.victim.com/cgi-bin/ phf? шoOacp%20/etc/passwdшo20%7Esomeuser/passwd%OA&Oalias=

&0name^haqr&0email^&0mckname=&0office_phone^ приведет к выполнению на сервере команды ср /etc/passwd

команды /bin/cat /etc/passwd.

Аналогичная проблема с ОхОа существует у скрипта campus.cgi, распространяемого с NCSA server, а также у

Еще работы по информатике