Вопросы Теги

Обеспечение ColdFusion для интернет-сервера направления

Использование: 

find -mindepth 1 -maxdepth 1 \! -name new_directory -print0 | \
    xargs -0 -P 100 -I'{}' mv '{}' new_directory

От xargs страница справочника:

-P макс.-procs 

  Run up to max-procs processes at a time;
5
задан 6 May 2009 в 01:51
4 ответа
  1. Удостоверьтесь, что Вы выключаете отладку для продуктивных сред
  2. Имейте по всему сайту обработчик ошибок для маскирования любых необработанных ошибок; иначе ужасное серое сообщение об ошибке поля от CF отобразится, который мог содержать информацию о Вашей установке сервера
5
ответ дан 3 December 2019 в 00:58

ОБНОВЛЕНИЕ 30 мая 2010:

Adobe просто выпустил Руководство блокировки ColdFusion 9 (PDF), который включает все виды информации для того, чтобы правильно заблокировать вниз и защитить сервер ColdFusion и приложение.

Исходное сообщение:

Если только Ваши собственные приложения будут работать на сервере, запустите с блокировки вниз Вашего предпочтительного веб-сервера. Предложения Milner для помещения по всему сайту обработчика ошибок для ловли любых ожиданий являются хорошим для предотвращения воздействия данных. Можно выполнить отладку в продуктивной среде, пока вывод ограничивается определенными IP-адресами, которые Вы указываете. Что касается папки CFIDE, единственная часть, которая действительно должна быть заблокирована вниз, является подпапкой "администратора". Существует много вещей в папке CFIDE, в которой Ваше приложение, возможно, нуждается при использовании каких-либо из средств управления формой ColdFusion.

За пределами самого Сервера ColdFusion существует много вещей, как которые необходимо рассмотреть в коде, таком:

  1. Используйте CFQUERYPARAM на своих запросах.
  2. Не доверяйте вводу данных пользователем от CGI, COOKIE, URL или ФОРМИРУЙТЕ объемы. Всегда санируйте вход и не рискуйте с ним.
  3. Для данных, которые пользователи ввели, который будет отображенным слоем, удостоверьтесь, что это перенесено с HTMLEditFormat () или JSStringFormat () функции как призывы случая для представления атак с использованием кросс-сайтовых сценариев.
8
ответ дан 3 December 2019 в 00:58
  • 1
    Don' t забывают, что объем CGI содержит обеспеченную клиентами информацию! –  Peter Boughton 8 May 2009 в 00:37
  • 2
    Также для 3, иногда JsStringFormat может быть более соответствующим - в зависимости от того, где данные будут использоваться. –  Peter Boughton 8 May 2009 в 00:38
  • 3
    Превосходные дополнения Peter, I' ll обновляют сообщение. –  Justin Scott 8 May 2009 в 00:52

Может быть очевидно, но если сервер является интернет-направлением (непосредственно доступный с общедоступным IP), Вам определенно нужен некоторый брандмауэр на месте, по крайней мере, программный брандмауэр в Вашей ОС или устройство для защиты сервера.

2
ответ дан 3 December 2019 в 00:58

Попробуйте www.hackmycf.com, это инструмент анализа безопасности, созданный Foundeo и работающий довольно хорошо!

1
ответ дан 3 December 2019 в 00:58

Теги

Похожие вопросы