Google
    
<< TOPページ 掲示板TOP 記事データ お知らせメール ▼レス(2) >>

ログファイルの拡張子を .cgi にしたりしない

 ( メビウスリング日記 )
- アクセス(238) - いいね!(1)

あうら☆マスター ★管理者

ログファイルの拡張子を .log .dat などにすると、パーミッション設定やサーバー設定、ファイルの設置ディレクトリによっては、
ウェブからその中身が見えてしまうことがあります。

(本当は .log .dat という拡張子名自体のせいではないのですが)

この回避策として

「ログファイルの拡張子を .cgi にする」
「すると、ログファイルにアクセスしても Internal Server Errorが起きてファイルの中身が分からない」

という方法が、一部のサイトで勧められていたと思います。

しかしたとえば、ログファイルの中身が

──────────────────────────────
#!/usr/bin/perl

print "Content-type:text/html\n\n";
print "This is Perl Log!";

exit;
──────────────────────────────


という内容だったらどうでしょうか。
パーミッションの設定によっては、CGIが実行されてしまうかもしれません。

これは「推奨されない方法」ではなくて、明らかに「危ない方法」のような気がします。
ログファイルの中身が実行可能なPerlスクリプトで,しかもパーミッション設定がCGIを実行可能、なおかつそれが危険なスクリプトであるという可能性はほとんど無いかもしれませんが、
合わせ技で被害をもたらす可能性は0%ではありません。

ログファイルの拡張子を .cgi にするのはやめましょう。
あとから見ても、拡張子だけで実行ファイルとログファイルを見分けるのが困難になります。

ウェブサーバーの設定や .htaccess で特定ファイルの拡張子へのアクセスを禁止するか、
ファイル、およびディレクトリのパーミッションを適切に設定しましょう。

FileMatch ディレクティブは Directoryディレクティブ より優先度が高かったと思います。

<FilesMatch "\.(log|dat)$">
Order allow,deny
Deny from all
</FilesMatch>

6年前 No.0
ページ: 1


 
 

ブルーマニア@aotomizu ★AU=TFfSDwKh1C

お、おお・・・わからない(何

あうらさんて、やっぱりいつも難しいこととかも考えてるんですよね。
いつも思ってますが、本当にすごいと思います。というかかっこいいです。

だって僕ちんぷんかんぷんですもん。
・・・いやまぁ当たり前何ですけど(ぁ
って別に全く理解出来てないわけじゃないんだからね><

とにかく純粋にすごいと思います。
管理者なんだからこのくらいは当たり前とか言ってもそんなの知ったこっちゃないです(黙


これからもメビウスリングのために無理せず頑張ってください!
僕はこれからも応援し続けます。

6年前 No.1

削除済み @yume0929 ★Tablet=LQMmUd3Yq6

【この投稿は”ポンデリング”削除されました】 削除者: あうら☆マスター ( 2017/07/27 09:19 )  削除理由: その他の違反

5年前 No.2
ページ: 1

 
 
<< TOPページ 掲示板TOP 記事データ お知らせメール ▲ページ上 >>
★必ず ローカルルールメビウスリングのルール をご覧ください。
 ▼スタンプ▲スタンプ
※スタンプはいちどに 3個 まで使えます  ×閉じる