Михаил Евгеньевич Флёнов - Linux глазами хакера

есть выделенный адрес и вы хотите обеспечить доступ к каталогу, содержащему администраторские сценарии, только для
себя. Адрес может быть как полным, так и неполным, что позволяет ограничить
доступ к каталогу определенной сетью;
• env=ИмяПеременной — разрешает доступ, если определена указанная переменная окружения. Полный формат директивы:
Allow from env= ИмяПеременной

 Deny from параметр — запрещение доступа к указанному каталогу. Параметры

такие же, как у команды Allow from, только в данном случае закрывается доступ
для указанных адресов, доменов и т. д.;
 Order параметр — очередность, в которой применяются директивы allow и deny.

Могут быть два варианта:
• Order deny,allow — изначально все разрешено, потом проверяются запреты,
но они могут быть обойдены при помощи разрешений. Рекомендуется это
использовать только на общих каталогах, в которые пользователи могут
самостоятельно закачивать файлы, — например, свои изображения;

Tlgm: @it_boooks

234

Глава 7

• Order allow,deny — сначала все запрещено, вслед за этим проверяются разрешения, но и они могут быть обойдены запретами. Рекомендуется применять для всех каталогов со сценариями или для всех каталогов, где находятся
файлы, используемые определенным кругом лиц, — например, администраторские сценарии;
 Require параметр — позволяет задать пользователей, которым разрешен доступ

к каталогу. В качестве параметра можно указывать:
• user — имена пользователей (или их ID), которым разрешен доступ к каталогу. Например: Require user robert FlenovM;
• group — названия групп, пользователям которых позволен доступ к каталогу.
Директива работает так же, как и user;
• valid-user — доступ к каталогу разрешен любому аутентифицированному
пользователю;
 Satisfy параметр — если указать значение any, то для ограничения доступа ис-

пользуется или логин/пароль, или IP-адрес. Для идентификации пользователя по
двум условиям одновременно надо задать all;
 AllowOverride параметр — определяет, какие директивы из файла .htaccess в ука-

занном каталоге могут перекрывать конфигурацию сервера. В качестве параметр
можно указать одно из следующих значений: None, All, AuthConfig, FileInfo,
Indexes, Limit и Options;
 AuthName — домен авторизации, который должен использовать клиент при опре-

делении имени и пароля;
 Options параметры — определяет возможности веб-сервера, которые доступны

в указанном каталоге. Если у вас есть каталог, в который пользователям разрешено закачивать картинки, то вполне логичным является запрет на выполнение
в нем любых сценариев. Не надо надеяться, что вы сумеете программно запретить загрузку любых файлов, кроме изображений. С помощью опций можно
сделать так, чтобы сценарий веб-сервером не выполнился.
В качестве аргумента параметры указывается All — означает разрешение всех
опций, кроме MultiViews, None — запрещает все опции, или комбинация из следующих значений:
• ExecCGI — разрешено выполнение CGI-сценариев. Чаще всего для этого используется отдельный каталог /cgi-bin, но и в нем можно определить отдельные подкаталоги, в которых запрещено выполнение;
• FollowSymLinks — позволяет использовать символьные ссылки. Убедитесь,
что в каталоге нет опасных ссылок и их права не избыточны. Мы уже говорили в разд. 3.1.3, что ссылки сами по себе опасны, поэтому с ними нужно обращаться аккуратно, где бы они ни находились;
• SymLinksIfOwnerMatch — следовать по символьным ссылкам, только если владельцы целевого файла и ссылки совпадают. При использовании символьных

Tlgm: @it_boooks

Веб-cервер

235

ссылок в том или ином каталоге лучше указать этот параметр вместо
FollowSymLinks. Если хакер сможет создать ссылку на каталог /etc и проследует по ней из веб-браузера, то это вызовет серьезные проблемы в безопасности;
• Includes — использовать SSI (Server Side Includes, включения на стороне сервера);
• IncludesNOEXEC — использовать SSI, кроме команд exec и include. Если вы не
используете в сценариях CGI такие команды, то эта опция предпочтительнее
предыдущей;
• Indexes — отобразить список содержимого каталога, если отсутствует файл
по умолчанию. Чаще всего пользователи набирают адреса в укороченном
формате — например: www.cydsoft.com. Здесь не указан файл, который нужно загрузить. Полный URL выглядит так: www.cydsoft.com/index.htm, но если указан только домен, сервер сам ищет файл по умолчанию и открывает
его. Это могут быть файлы index.htm, index.html, index.asp или index.php,
default.htm и т. д. Если ни один из таких файлов по указанному пути не --">