[asp.net] plaatje uploaden + security

[Verwijderd]

Ik ben in het admin gedeelte van een website bezig met een upload mogelijkheid van produkt plaatjes.

Ik gebruik de volgende code:

code:

 Not (myFile.PostedFile Is Nothing) Then
    Dim intFileLength as Integer
    Dim ImgFileNamePath as String
    Dim ImgFileName as String
    
    ' Set some limitiations for uploader file and filesize 
    if myFile.PostedFile.ContentType <> "image/pjpeg" then
        response.write("<font size=2 color=Red><b>This is not a Valid " & _
        "image/pjpeg ContentType.</b></font>")
    else
        if myFile.PostedFile.ContentLength > 50000 then
            response.write("<font size=2 color=Red><b>FileSize is too big.</b></font>")
        else 
            ' save to harddisk on webserver
            ImgFileNamePath = myFile.PostedFile.FileName
            ImgFileName = System.IO.Path.GetFileName(ImgFileNamePath)
            
            ' configure your path to save to here 
            myFile.PostedFile.SaveAs("c:\www\admin\images\temp\" & ImgFileName)
            response.write ("File Upload Success.<br>Content type: " & myFile.PostedFile.ContentType & "" & _
            "<br>File size: " & CStr(myFile.PostedFile.ContentLength) & " bytes" & _
            "<br>File name: " & ImgFileName & "<br>[img]"""[/img]")
            
        End If
    End If
else
    response.write("Selecteer een afbeelding.")
End If

Deze code werkt opzich prima op mijn ontwikkel machine, maar op de "live" server heb ik wat ruzie met de security settings.

Ik heb op de live machine het aspnet account schrijf rechten (zijn ook zijn enige rechten) gegeven op de c:\www\admin\images\temp\ folder.
op de bovenliggende folders zijn de permissies als volgt ingesteld, administrator full control en everyone alleen read.

Als ik wil uploaden krijg ik de volgende melding:

code:

Access to the path "c:\www\admin\images\temp\eenplaatje.jpg" is denied. 

The ASP.NET process is not authorized to access the requested resource. For 
security reasons the default ASP.NET process identity is '{machinename}\ASPNET', 
which has limited privileges. Consider granting access rights to the resource to the
ASP.NET process identity.

Dit zou met de huidige security instellingen toch gewoon moeten werken?
En ik vroeg me tevens af of deze manier veilig is, zodat niet iemand van buitenaf onze temp folder kan misbruiken voor andere doeleinden.

[ Voor 10% gewijzigd door Verwijderd op 17-01-2003 11:46 ]

[Janoz]

Met \temp wordt meestal wat anders bedoeld dan \www\admin\images\temp\. Weet je zeker dat je het over de juiste directory hebt?

[Verwijderd]

sorry met de "\temp" bedoel ik ook de volledige "c:\www\admin\images\temp\" zal het even aanpassen

[Woy]

Als ik jou was zou ik eens proberen om de gewone IUSR ook rechten te geven op de directory. Ik heb het op mijn werk namelijk ook een keer gehad en het bleek dat de directory permisions niet op de aspnet user nodig waren maar bij de IUSR? ik snap ook niet waarom maar nadat ik deze user rechten had gegeven deed hij het opeens wel

[syllaz]

Je moet volgens mij net als met traditioneel ASP de IUSR write rechten toekennen in je IIS. Hoeft alleen als je gaat uploaden (filesystem object geloof ik).

[Woy]

syllaz schreef op 17 januari 2003 @ 14:36:
Je moet volgens mij net als met traditioneel ASP de IUSR write rechten toekennen in je IIS. Hoeft alleen als je gaat uploaden (filesystem object geloof ik).

Ja bij mij bleek dit dus ook de oplossing te zijn alleen ik vindt het wel vreemd want in alle documentatie die je leest staat dat alles onder het ASPNET account draait. Dus dan lijkt het me ook dat het deze user is die rechten moet hebben om op de schijf te schrijven.

[gorgi_19]

* gorgi_19 snapt het probleem niet... Dit is een van de meest duidelijke foutmeldingen uit ASP.Net

For security reasons the default ASP.NET process identity is '{machinename}\ASPNET',
which has limited privileges. Consider granting access rights to the resource to the
ASP.NET process identity.

Dit zou met de huidige security instellingen toch gewoon moeten werken?
En ik vroeg me tevens af of deze manier veilig is, zodat niet iemand van buitenaf onze temp folder kan misbruiken voor andere doeleinden.

Instellen dat in een folder, waarin het ASP + ASP.Net-account schrijfrechten heeft, geen executerechten + leesrechten heeft.

[ Voor 37% gewijzigd door gorgi_19 op 17-01-2003 19:05 ]

[D2k]

^^^^