[ServerSideInclude] Fehlermeldung abfangen bei #include (HTML, CSS und Javascript)

[thread]14920[/thread]

[ServerSideInclude] Fehlermeldung abfangen bei #include

Leser: 18

Articles: hide open all | hide show old branches

+19 replies
Gast sman

2010-04-08 13:41
Hallo,

die Frage kann sciherlich schnell beantwortet werden hoffe ich, ich kann nur im Internet nichts dazu finden...

Ich rufe eine shtml-Seite in der URL per test.shtml?42 auf, welche wiederum an einer Stelle das Template tpl/42.htm includen soll.
Code: (dl )


Alles schön und gut und funktioniert auch. Jedoch gefällt mir die Fehlermeldung nicht, welche erscheint wenn ein böser Benutzer etwas als Querystring eingibt wozu es gar keine gültige Datei gibt.
Code: (dl )

[an error occurred while processing this directive]
Gibt es eine Möglichkeit diese per if-file-exists-Abfrage abzufangen und dann etwas netteres auszugeben?

Vielen Dank schonmal!
Martin
Last edited: 2010-04-08 13:42:26 +0200 (CEST)
- +8 replies
- moritz
  
  2010-04-08 13:46
  User since
  2007-05-11
  923 Artikel
  HausmeisterIn
  Guest sman
  Hallo,
  
  die Frage kann sciherlich schnell beantwortet werden hoffe ich, ich kann nur im Internet nichts dazu finden...
  
  Ich rufe eine shtml-Seite in der URL per test.shtml?42 auf, welche wiederum an einer Stelle das Template tpl/42.htm includen soll.
  
  Code: (dl )
  
  
  
  Lass das. Damit kann der Benutzer beliebige Dateien auf deinem Server anschauen, die auf .htm enden - das ist keine gute Idee. Bau dir lieber ein ordentliches CGI-Script.
  Perl 6 - Perls Zukunft
  - +2 replies
  - Gast sman
    
    2010-04-08 13:49
    
    Vielleicht kann man das ja umgehen und per SSI nur Zahlen für QUERY_STRING zulassen bzw. in die gesuchte Abfrage gleich mitreinbauen.
    
    Auf ein Perlscript wollte ich ja gerade aus Performancegründen durch Einbindung einer statischen Seite verzichten.
    - pq
      
      2010-04-08 13:52
      
      User since
      2003-08-04
      12208 Artikel
      Admin1
      
      Guest sman
      Auf ein Perlscript wollte ich ja gerade aus Performancegründen durch Einbindung einer statischen Seite verzichten.
      
      nun, auf sicherheit zu verzichten, um performance zu gewinnen, ist keine gute idee.
      falls du performance-probleme hast, solltest du fastcgi oder mod_perl benutzen.
      Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
      lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
  - +3 replies
  - Gast wer
    
    2010-04-08 13:49
    
    Je nach System sogar jede, wenn der ${QUERY_STRING} mit "\0" terminiert ist. Einige Systeme ignorieren dann alles was danach kommt.
    - +2 replies
    - pq
      
      2010-04-08 13:51
      
      User since
      2003-08-04
      12208 Artikel
      Admin1
      
      hat zumindest bei meinem test nicht funktioniert (Apache/2.2.10 linux).
      Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
      lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
      - Gast wer
        
        2010-04-08 13:54
        
        Der ISS hatte zumindest vor ein paar Jahren so ein Bug/"Feature".
        Last edited: 2010-04-08 13:55:15 +0200 (CEST)
  - +2 replies
  - Gast sman
    
    2010-04-08 13:55
    So das Sicherheitsproblem kann ich schon ausschließen, mit
    
    Code: (dl )
    
    1 2 3 4 5
    
     mach weiter  gefährlich 
    
    Oder ist der Sache selbst jetzt noch nicht zu trauen?
    Bleibt noch die Frage nach if-file-exists...
    - GwenDragon
      
      2010-04-08 14:33
      
      User since
      2005-01-17
      14532 Artikel
      Admin1
      
      Wenn schon, würde ich für das Regex des ${QUERY_STRING} eine maximale Anzahl angeben.
      Oder soll dir jemand einen zu langen ${QUERY_STRING} senden können!?
      Ich weiß ja nicht wie das SSI-Modul deines Servers das verträgt.
      die Drachin, Gwendolyn
      
      Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
- pq
  
  2010-04-08 13:48
  
  User since
  2003-08-04
  12208 Artikel
  Admin1
  
  auweia, ich würde das ganz anders machen. theoretisch kann man sich so jede datei auf deinem server angucken (zumindest jede, die auf .htm endet, das nullbyte wird hier zum glück wohl nicht als string-ende gesehen, sonst könnte man sich tatsächlich jede datei ansehen).
  Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
  lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
- +6 replies
- pq
  
  2010-04-08 13:57
  
  User since
  2003-08-04
  12208 Artikel
  Admin1
  
  verschoben nach html, da kein perl-bezug.
  
  Move from Webframeworks, Sonstige Fragen zur Webprogrammierung mit Perl to HTML, CSS und Javascript
  Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
  lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
  - +5 replies
  - Gast sman
    
    2010-04-08 13:59
    
    Schade, im HTML-Forum ist so wenig los... ;)
    - +4 replies
    - pq
      
      2010-04-08 14:03
      
      User since
      2003-08-04
      12208 Artikel
      Admin1
      
      dann fällt deine frage wenigstens auf.
      
      kann ja nicht sein, dass man was in einem belebterem unterforum postet, nur weil dort mehr leute lesen.
      
      die meisten nutzen aber eh die "letzten 24h", der link hat fast dreimal soviele zugriffe wie die forum-startseite.
      Always code as if the guy who ends up maintaining your code will be a violent psychopath who knows where you live. -- Damian Conway in "Perl Best Practices"
      lesen: Wie frage ich & perlintro brian's Leitfaden für jedes Perl-Problem
      - +3 replies
      - Gast sman
        
        2010-04-08 14:07
        
        Oh, die Funktion hab ich noch garnicht beachtet.
        
        Ganz grundlos habe ichs ja nicht ins Perlforum gepostet, war der Ansicht dass Perl fast die einzige Anwendung von SSI ist, und deswegen dort mehr Leute was von SSI gehört haben könnten verglichen mit HTML-Leuten.
        
        Nun, egal :)
        Last edited: 2010-04-08 14:08:26 +0200 (CEST)
        
        Gast wer
        
        2010-04-08 14:19
        
        wir sind hier Universalisten :-)
        Last edited: 2010-04-08 14:21:47 +0200 (CEST)
        
        GwenDragon
        
        2010-04-08 14:30
        
        User since
        2005-01-17
        14532 Artikel
        Admin1
        
        Apache- und PHP-ler kennen SSI auch öfters.
        die Drachin, Gwendolyn
        
        Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel
- +3 replies
- Gast sman
  
  2010-04-08 14:32
  Seh ich ich das richtig, dass man mit der Conditional die nur Zahlen zulässt allen Sicherheitsproblemen aus dem Weg ist?
  
  Ansonsten habe ich doch noch im Internet gefunden, dass
  
  Code: (dl )
  
  
  
  prüft ob die Datei zugänglich ist bzw existiert. Allerdings nur wenn der Server die Konfiguration SSIEnableAccess On eingestellt hat.
  Siehe httpd.apache.org/docs/.../mod_include.html#flowctrl
  
  Wenn es keine andere Möglichkeit gibt, kann der Thread von mir aus geschlossen werden.
  - Gast wer
    
    2010-04-08 14:50
    
    "../../../../../pfad/zu/meiner/tollen/passwortsammlung.txt\0" kann auch existieren :-)
    Besser noch auf Zahl testen. Damit sollte es sicher sein.
  - GwenDragon
    
    2010-04-08 14:53
    
    User since
    2005-01-17
    14532 Artikel
    Admin1
    
    Das mit der Accessüberprüfung funktioniert solange gut, solange dein Webspace richtig konfiguriert ist.
    die Drachin, Gwendolyn
    
    Unterschiedliche Perl-Versionen auf Windows (fast wie perlbrew) • Meine Perl-Artikel

View all threads created 2010-04-08 13:41.