форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка

Вариант для распечатки		Архивированная нить - только для чтения!  Пред. тема | След. тема
Форумы Настройка Squid и других прокси серверов (Public)
Изначальное сообщение		[Проследить за развитием треда]

"Squid и обрубание *.exe"
Сообщение от Kir on 04-Май-03, 17:55  (MSK)
как в сквиде запретить доступ к исполняемым файлам ? acl url_regex не катит ввиду того, что некоторые CGI скрипты имеют расширение ехе, а исполняемые файлы иногда передаются без этого расширения. acl req_mime_type хорош, но вот только делает все с точностью до наоборот... может есть проги редиретора ? или что вообще ?
	Рекомендовать в FAQ | Cообщить модератору | Наверх

Индекс форумов | Темы | Пред. тема | След. тема

Сообщения по теме

1. "Squid и обрубание *.exe"
Сообщение от Михаил on 04-Май-03, 18:24  (MSK)
>acl url_regex не катит ввиду того, что некоторые CGI скрипты имеют расширение >ехе, а исполняемые файлы иногда передаются без этого расширения. имхо, надежно различить это невозможно... но есть смысл попробовать раздичать их по "exe?" - это точно CGI-шка, а без знака вопроса - скорее всего ссылка на исполняемый файл... >acl req_mime_type хорош, но вот только делает все с точностью до наоборот... а если использовать инверсию?
	Рекомендовать в FAQ | Cообщить модератору | Наверх

	2. "Squid и обрубание *.exe"
	Сообщение от Kir on 04-Май-03, 18:27  (MSK)
	>>acl url_regex не катит ввиду того, что некоторые CGI скрипты имеют расширение >>ехе, а исполняемые файлы иногда передаются без этого расширения. >имхо, надежно различить это невозможно... но есть смысл попробовать различать их по >"exe?" - это точно CGI-шка, а без знака вопроса - скорее >всего ссылка на исполняемый файл... не получится. урл может быть хитрым, типа http://.../senf_file?file=porno.exe?write=1 встречается и такое, блин. > >>acl req_mime_type хорош, но вот только делает все с точностью до наоборот... >а если использовать инверсию? это как ? не совсем понятно...
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	3. "Squid и обрубание *.exe"
	Сообщение от Михаил on 04-Май-03, 18:36  (MSK)
	>>>acl url_regex не катит ввиду того, что некоторые CGI скрипты имеют расширение >>>ехе, а исполняемые файлы иногда передаются без этого расширения. >>имхо, надежно различить это невозможно... но есть смысл попробовать различать их по >>"exe?" - это точно CGI-шка, а без знака вопроса - скорее >>всего ссылка на исполняемый файл... > >не получится. урл может быть хитрым, типа >http://.../senf_file?file=porno.exe?write=1 >встречается и такое, блин. это надо разбираться с регекспами, наверняка можно задать шаблон типа "текст_без_вопросительных_знаков/слово_без_вопросительных_знаков.exe?текст_без_.exe" - это cgi-шка, иначе - файл для скачивания... но, повторяю, 100%-но надежный способ вряд ли существует... >>>acl req_mime_type хорош, но вот только делает все с точностью до наоборот... >>а если использовать инверсию? > >это как ? не совсем понятно... написать что-то типа http_access allow !disabled_mime, где disabled_mime - твой аксель для исполняемых файлов. или http_access deny disabled_mime
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	4. "Squid и обрубание *.exe"
	Сообщение от Kir on 04-Май-03, 18:40  (MSK)
	>>>>acl url_regex не катит ввиду того, что некоторые CGI скрипты имеют расширение >>>>ехе, а исполняемые файлы иногда передаются без этого расширения. >>>имхо, надежно различить это невозможно... но есть смысл попробовать различать их по >>>"exe?" - это точно CGI-шка, а без знака вопроса - скорее >>>всего ссылка на исполняемый файл... >> >>не получится. урл может быть хитрым, типа >>.../senf_file?file=porno.exe?write=1 >>встречается и такое, блин. >это надо разбираться с регекспами, наверняка можно задать шаблон типа "текст_без_вопросительных_знаков/слово_без_вопросительных_знаков.exe?текст_без_.exe" - >это cgi-шка, иначе - файл для скачивания... >но, повторяю, 100%-но надежный способ вряд ли существует... вот и я столкнулся с тем, что нету. думал может народ какой обходной путь нашел... >>>>acl req_mime_type хорош, но вот только делает все с точностью до наоборот... >>>а если использовать инверсию? >>это как ? не совсем понятно... >написать что-то типа http_access allow !disabled_mime, где disabled_mime - твой аксель для >исполняемых файлов. >или http_access deny disabled_mime не получится. req_mime_type смотрит на тип, запрашиваемый клиентом, а не отдаваемый сервером. вот в этом и загвоздка. то есть можно отрубить аплоад, но не скачку...
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	5. "Squid и обрубание *.exe"
	Сообщение от Михаил on 04-Май-03, 18:57  (MSK)
	как извращеннй вариант - редиректор, который при обнаружении комбинации ".exe" скачивает первые два байта файла и проверяет их на "MZ". правда, так некоторые сайты могут перестать работать...
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	6. "Squid и обрубание *.exe"
	Сообщение от forfreeuse on 05-Май-03, 08:03  (MSK)
	>как извращеннй вариант - редиректор, который при обнаружении комбинации ".exe" скачивает первые >два байта файла и проверяет их на "MZ". >правда, так некоторые сайты могут перестать работать... имхо редиректор тут не поможет, поскольку ему не передается содержимое файла, а передается только урл на файл. Впрочем можно написать редиректор, который самостоятельно полезет и скачает начало файла, но так же нет гарантии, что там MZ в начале. Получаеться самое оптимальное писать регулярные выражения, отрезающие экзешники для скачивания и мириться с тем, что некий процент все же будет скачен. -- Slava <http://forfreeuse.narod.ru>
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	7. "Squid и обрубание *.exe"
	Сообщение от Михаил on 05-Май-03, 09:09  (MSK)
	>>как извращеннй вариант - редиректор, который при обнаружении комбинации ".exe" скачивает первые >>два байта файла и проверяет их на "MZ". >>правда, так некоторые сайты могут перестать работать... > >имхо редиректор тут не поможет, поскольку ему не передается содержимое файла, а >передается только урл на файл. >Впрочем можно написать редиректор, который самостоятельно полезет и скачает начало файла, но собственно, я так и написал... >так же нет гарантии, что там MZ в начале. я такого еще не видел... единственная вариация, которую я видел - не MZ, а ZM. заодно так можно многие исполняемые файлы отсеивать, типа dll, scr и т.п. >Получаеться самое оптимальное писать регулярные выражения, отрезающие экзешники для скачивания и мириться >с тем, что некий процент все же будет скачен. согласен, надо только составить достаточно грамотные регулярные выражения... сразу просьба - если получится, то выложи, пожалуйста, их здесь или пришли мне на miksoft@mail.ru, а то я в регулярных выражениях не силен, а подобная задача имеется...
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	8. "Squid и обрубание *.exe"
	Сообщение от Kir on 07-Май-03, 13:46  (MSK)
	>>как извращеннй вариант - редиректор, который при обнаружении комбинации ".exe" скачивает первые >>два байта файла и проверяет их на "MZ". >>правда, так некоторые сайты могут перестать работать... > >имхо редиректор тут не поможет, поскольку ему не передается содержимое файла, а >передается только урл на файл. >Впрочем можно написать редиректор, который самостоятельно полезет и скачает начало файла, но >так же нет гарантии, что там MZ в начале. >Получаеться самое оптимальное писать регулярные выражения, отрезающие экзешники для скачивания и мириться >с тем, что некий процент все же будет скачен. а если пробовать смотреть на content-type ? и если application/octet-stream, то обламывать ?
		Рекомендовать в FAQ | Cообщить модератору | Наверх

	9. "Squid и обрубание *.exe"
	Сообщение от forfreeuse on 13-Май-03, 11:05  (MSK)
	>а если пробовать смотреть на content-type ? и если application/octet-stream, то обламывать Это если и можно, то не через редиректор, ему такая информация не передаеться. 2 Михаил Дык кто сказал, что собственно экзешник будет? а если это скрипт какой? И как отличить какойнить виндовс упдейт или ява-аплет от свежего трояна? Здаеться мне тут как и всегда получаеться, что есть общий подход - рубить все исполнимые и потерять функциональность и есть тонкий подход, обрезать "нехороших" с заранее известных сайтов. Соответственно для первого нужно лищь написать одно общее правило обрезания, а для второго составлять базу данных по наличию таких гадостей на разных сайтах инета и что еще сложнее поддерживать актуальность базы.
		Рекомендовать в FAQ | Cообщить модератору | Наверх

Удалить

Индекс форумов | Темы | Пред. тема | След. тема

Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.