[IIS] Db beveiligen

[jonggoud.nl]

Ik host mijn (asp) website + database op een IIS server bij een provider.

Nu kan ik door in de address balk de url (bijvoorbeeld: http://www.XXX.com/db/database.mdb) te schrijven gewoon de database downloaden, dus ook met de usernames.

Hoe kan ik zonder 'hands-on' toegang tot de server te hebben ervoor zorgen dat het onmogelijk is om de DB down te loaden? Bij PHP kan dit volgens mij door een script in de directory te zetten, is dit met IIS ook mogelijk?

[Pogostokje]

Tsja ... weet je, de beste manier is gewoon je hostingprovider schoppen. Ze moeten dat niet zo aanbieden.

Je moet eisen dat ze je structuur als volgt instellen:

homedir
|
+ db
|
+ www

en je database in je db directory plaatsen en de 'root' van je website moet verwijzen naar je www directory. Zo kan je vanaf internet nooit de database downloaden terwijl je er met FTP wel bij kan.

[Verwijderd]

Eventueel kun je de database in een beveiligde directory zetten, waar je alleen maar binnenkomt als je met HTTP Authentication een username en password invoert. Wellicht heeft je provider al zoiets, zo niet, dan moet je daarom vragen.

Bij Apache kan HTTP Authentication worden aangezet d.m.v. het plaatsen van een .htaccess bestand in de desbetreffende directory, maar IIS heeft niet een dergelijke functionaliteit.

Succes

[Verwijderd]

gewoon in de dir waar de db staat read permission uitzetten

[Verwijderd]

Op dinsdag 09 juli 2002 04:18 schreef MrWiggle.NET het volgende:
gewoon in de dir waar de db staat read permission uitzetten

een ongeluk zit dan wel in een erg klein hoekje als je weer eens wat gaat chmodden

_{en kan asp er dan nog wel bij?}

[Crazy D]

Op dinsdag 09 juli 2002 11:32 schreef FoOL het volgende:
een ongeluk zit dan wel in een erg klein hoekje als je weer eens wat gaat chmodden

_{en kan asp er dan nog wel bij?}

Als je via de IIS manager de read-rechten uitvinkt, kan je script er nog wel bij maar via de browser niet.

Bij m'n (binnenkort ex-)host (hscg) krijg je trouwens gewoon een error als je de db probeert binnen te halen.

CGI Error
The specified CGI application misbehaved by not returning a complete set of HTTP headers. The headers it did return are:

Access is denied.

Maar hoe ze dat gedaan hebben weet ik niet, misschien .mdb gekoppeld aan de asp dll of zo

[pietje63]

via htacces lijkt mij ook de manier
je kunt dan instellen dat je van buiten af 9dus via internet) alleen met paswoord erbij kan

je asp sripts zijn allemaal server side en openen de database dus van binnen uit en daar kan dat htaccess bestand dus (gelukkig) niets aan doen


=edit=
ik vraag me nu af: htacces werkt dat wel samen met IIS of was het alleen met apache

[Verwijderd]

Op dinsdag 09 juli 2002 13:35 schreef pietje63 het volgende:
*knip*
ik vraag me nu af: htacces werkt dat wel samen met IIS of was het alleen met apache

Helaas alleen met Apache

[pietje63]

Op dinsdag 09 juli 2002 13:38 schreef MrWiggle.NET het volgende:

[..]

Helaas alleen met Apache

en je hebt niet een soortgelijk iets voor iis?

[jonggoud.nl]

Op dinsdag 09 juli 2002 14:29 schreef pietje63 het volgende:

[..]

en je hebt niet een soortgelijk iets voor iis?

Dat is dus precies hetgeen waar ik naar zoek, de mogelijkheid om dit zelf in te stellen, zonder tussenkomst van mijn provider.

[Crazy D]

Bij mijn weten is er niks op IIS wat op .htaccess lijkt. Als je provider geen mogelijkheid biedt om zoiets online te regelen, is het enigste wat ik kan verzinnen de rechten zetten via ftp, maar ik verwacht eigenlijk niet dat dat werkt.

[Pogostokje]

Nee, dat gaat dus niet. Een htaccess look-alike heb je niet voor IIS.

Je kan het wel perfect instellen allemaal maar niet als je geen toegang hebt tot die server om de security op die directories en bestanden aan te passen. Dat gaat niet met chmod.

Daarom: database verplaatsen --> klaar

[Annie]

Op dinsdag 09 juli 2002 22:02 schreef Pogostokje het volgende:
Nee, dat gaat dus niet. Een htaccess look-alike heb je niet voor IIS.

Ik dacht dat de frontpage extensions daar een alternatief voor had. Maar ik kan beter m'n mond hierover houden aangezien ik geen verstand heb van webserverbeheer cq. -software en ik misschien wel hele rare dingen roep

[gorgi_19]

Op dinsdag 09 juli 2002 22:21 schreef Annie het volgende:

[..]

Ik dacht dat de frontpage extensions daar een alternatief voor had. Maar ik kan beter m'n mond hierover houden aangezien ik geen verstand heb van webserverbeheer cq. -software en ik misschien wel hele rare dingen roep

Helaas moet ik je teleurstellen; ook FE kan je hier niet helpen... Je moet echt rechten op de server zelf instellen wil je het voor elkaar krijgen....

[SuperSchenk]

tijdens mijn werk periode bij een provider zag ik dat daar mdb bestanden opgeslagen werden als .asp bestand..

Het bestand was dus niet te downloaden (tenminste webserver geeft een soort fout omdat het geen valide asp bestand is)
en het 'db bestand' is nog wel te gebruiken in je code

[Verwijderd]

Op woensdag 10 juli 2002 02:03 schreef Aapje_18 het volgende:
tijdens mijn werk periode bij een provider zag ik dat daar mdb bestanden opgeslagen werden als .asp bestand..

Het bestand was dus niet te downloaden (tenminste webserver geeft een soort fout omdat het geen valide asp bestand is)
en het 'db bestand' is nog wel te gebruiken in je code

/me lol

Wat een briljante maar toch wel iets absurde manier om dit probleem op te lossen. Maar goed, als het werkt, en dat zal het idd doen, dan werkt het.