:strip_exif()/u/13214/schanulleke.gif?f=community)
Klaar voor een nieuwe uitdaging.
:strip_icc():strip_exif()/u/20300/icon_shrek.jpg?f=community){kind=icon}
:strip_exif()/u/11775/SoulTaker.gif?f=community)
:strip_exif()/u/49248/DPCkoeienUD.gif?f=community)
Leek mij ook maar durfde niks te zeggen
Is dit het fenomeen dat als ik iets bij guru3d.com wil downloaden en het redirecten begint ik weer bij de hoofdpagina uitkom en dus niks kan downloaden daar
Heb dat namelijk niet meer sinds ik een andere Firewall gebruik .........
|| Stem op mooiere Topic Search linkjes! :) " || Pi-Hole : Geen advertenties meer voor je hele netwerk! >:) ||
KewlKiddo: heb je een link van een goede OpenSSL manual voor me?
AvOn: ICMP pakketten hebben niks met een webserver te maken, ze komen niet eens aan bij m'n webserver.
chem: logging heb ik. Log analyse tools nog niet, maar heeft niet direkt met de veiligheid van de server te maken. Maar zal het noteren, thnx
vicz: ik durf voorzichtig te garanderen (
) dat mijn server bufferoverflow-vrij is.
soultaker: uploadsnelheid limieteren is ook niet bedoeld voor alle files, maar voor grote files (zoals bijvoorbeeld films) die mogelijkerwijs een lange tijd de lijn dicht kunnen trekken. chroot omgeving is idd niet handig als je userdirectories (/~username/) wil serven. Maar voor een server met maar een paar vaste websites is het zeer veilige feature. Daarbinnen CGI scripts uitvoeren is geen probleem. Ik lever bij de webserver een tool mee die programma's (zoals bijvoorbeeld bash of perl) inclusief bijbehorende libraries kan 'verhuizen' naar binnen de chroot omgeving. Werkt perfect.
AvOn: ICMP pakketten hebben niks met een webserver te maken, ze komen niet eens aan bij m'n webserver.
chem: logging heb ik. Log analyse tools nog niet, maar heeft niet direkt met de veiligheid van de server te maken. Maar zal het noteren, thnx
vicz: ik durf voorzichtig te garanderen (
) dat mijn server bufferoverflow-vrij is.soultaker: uploadsnelheid limieteren is ook niet bedoeld voor alle files, maar voor grote files (zoals bijvoorbeeld films) die mogelijkerwijs een lange tijd de lijn dicht kunnen trekken. chroot omgeving is idd niet handig als je userdirectories (/~username/) wil serven. Maar voor een server met maar een paar vaste websites is het zeer veilige feature. Daarbinnen CGI scripts uitvoeren is geen probleem. Ik lever bij de webserver een tool mee die programma's (zoals bijvoorbeeld bash of perl) inclusief bijbehorende libraries kan 'verhuizen' naar binnen de chroot omgeving. Werkt perfect.
[ Voor 4% gewijzigd door Verwijderd op 04-04-2004 22:17 ]
/u/18178/logo-60x60.png?f=community){kind=logo}
Waar kunnen we deze webserver downloaden? 
En mag ik vragen waarom je niet voor Apache hebt gekozen; dat volgens mij standaard al deze features heeft? Als je zegt dat je gewoon zelf wat wilde programmeren is dat ook goed 
Het lijkt me alleen flink veel werk
En mag ik vragen waarom je niet voor Apache hebt gekozen; dat volgens mij standaard al deze features heeft? Als je zegt dat je gewoon zelf wat wilde programmeren is dat ook goed Het lijkt me alleen flink veel werk
---
Prozium - The great nepenthe. Opiate of our masses. Glue of our great society. Salve and salvation, it has delivered us from pathos, from sorrow, the deepest chasms of melancholy and hate
:strip_exif()/u/34938/futurama.gif?f=community)
:
Waar kunnen we deze webserver downloaden?
Lezen
[ Voor 37% gewijzigd door chris op 04-04-2004 22:46 ]
Je mag mijn vraag ook lezen als "Waarom start je een hobby project op om bestaande functionaliteit te herschrijven":
[...]
[...]
Lezen
---
Prozium - The great nepenthe. Opiate of our masses. Glue of our great society. Salve and salvation, it has delivered us from pathos, from sorrow, the deepest chasms of melancholy and hate
De webserver heet Hiawatha is te downloaden via http://hiawatha.leisink.org/:
Waar kunnen we deze webserver downloaden?
Zoals in de reply hierboven al zegt: het is een hobby project. Je moet als nerd toch een hobby project hebben
Het is allemaal begonnen met dat ik voor veel vrienden Linux servers installeerde om internet te delen (tja, als je eenmaal bekend staat als Linux nerd). En dan wilde ze ook nog hun studentenhuis website erop kwijt. Beetje kut om Apache op een 386 met 16 MB te plaatsen. Helemaal als die huiswebsite uit 1 pagina en wat plaatjes bestaat en 1 keer in de week wordt opgevraagd. Heb toen zelf een webserver van een paar kilobyte geklust. En als je eenmaal aan het klussen gaat......
Heeft Apache de mogelijkheid om 'kuttende IP adressen' te blokkeren? Upload snelheid aanpassen? En maximale aantal connecties (per IP)?:
[...]
Je mag mijn vraag ook lezen als "Waarom start je een hobby project op om bestaande functionaliteit te herschrijven"
[ Voor 5% gewijzigd door Verwijderd op 04-04-2004 22:55 ]
Heb je zin om het lange verhaal uit de doeken te doen? Ik ben namelijk wel benieuwd. (En een groot fan van single-threaded netwerkservers waar mogelijk).
(En een groot fan van single-threaded netwerkservers waar mogelijk).
Als je select() gebruikt, dan handel je een stukje binnengekomen data af en duik je weer terug de select() in, wachtend op een volgend stukje data. Tijdens de afhandeling van een zo'n stukje data mag je, voor een optimale afhandeling, geen gebruik maken van systemcalls, want dan staat je process-state op sleeping. Een webserver die select() gebruikt voor de connectie afhandeling zal daarom ook een te uploaden file ook via select() afhandelen, dus: stukje lezen en select() in, stukje gelezen->uit select(), stukje sturen en select() in, stukje gestuurd->uit select(), stukje lezen enz. Doe je echter wel een systemcall tussen het uit de select() springen en terugkeren naar select(), dan ligt je process tijdelijk dood. Geen ramp in een multitasking omgeving, maar als je zo'n webserver dedicated gebruikt is dat dus niet optimaal. Er is nog niet echt een probleem geschetst voor webservers, maar wat als je bijvoorbeeld een directoryindex wilt weergeven (HTML geformateerd). Een directory inlezen is natuurlijk een systeemcall. Het is goed mogelijk, maar je code wordt er niet echt handig of leesbaar door als je elke directory-lees actie via select() gaat doen. En als je bijvoorbeeld een directory wilt scannen op de aanwezigheid van een userconfigfile (.htaccess in Apache) en indien aanwezig wilt inlezen, ga je dit dan ook via select() doen? Niet handig dus.:
Heb je zin om het lange verhaal uit de doeken te doen? Ik ben namelijk wel benieuwd.
Gebruik je echter threading, dan kan, als een thread tijdens de afhandeling een systemcall doen, een andere thread een andere connectie verder afhandelen. Een webserver kan dan altijd iets doen en hoeft nooit te wachten op een systemcall.
Waar select() wel ideaal voor is (select() heeft als voordeel dat het tijd scheelt door het niet te hoeven aanmaken en weghalen van nieuwe processen) is voor daemons die simpele recht-toe recht-aan acties moeten uitvoeren. Goed voorbeeld: inetd. Keb zelf een daemon geklust die luistert naar meerdere poorten en logt wat daar op binnenkomt (soort van honey-pot), dus lezen van socket en schrijven naar disk, meer niet. Zoiets is ideaal voor select(). Een eenvoudige webserver kan ook goed met select(), maar zo gauw je geavanceerdere dingen gaat doen (waar dus heel simpel gezegd tussen de select()'s door systemcalls voor nodig zijn) dan zal select() geen optimale performance leveren denk ik. Je moet er dus voor zorgen dat je door het gebruik van select() niet soort van cooperative muilti-tasking code moet gaan schrijven.
[ Voor 84% gewijzigd door Verwijderd op 04-04-2004 23:29 ]
Verwijderd
Leuke site.... ik mis alleen de screenshot sectie:
[...]
De webserver heet Hiawatha is te downloaden via http://hiawatha.leisink.org/
Zoals in de reply hierboven al zegt: het is een hobby project. Je moet als nerd toch een hobby project hebben
Het is allemaal begonnen met dat ik voor veel vrienden Linux servers installeerde om internet te delen (tja, als je eenmaal bekend staat als Linux nerd). En dan wilde ze ook nog hun studentenhuis website erop kwijt. Beetje kut om Apache op een 386 met 16 MB te plaatsen. Helemaal als die huiswebsite uit 1 pagina en wat plaatjes bestaat en 1 keer in de week wordt opgevraagd. Heb toen zelf een webserver van een paar kilobyte geklust. En als je eenmaal aan het klussen gaat......
:strip_exif()/u/53367/Superman.gif?f=community)
Het verhaal op je site ziet er leuk uit... Vergeet niet dat je extention spelt als extension
---
Prozium - The great nepenthe. Opiate of our masses. Glue of our great society. Salve and salvation, it has delivered us from pathos, from sorrow, the deepest chasms of melancholy and hate
:strip_exif()/u/22670/td_icon2.gif?f=community)
Niet zozeer te maken met security (ligt eraan hoe je het leest ) maar meer met een feature, wanneer kunnen we dit op windows knallen?
) maar meer met een feature, wanneer kunnen we dit op windows knallen?
Heart..pumps blood.Has nothing to do with emotion! Bored
Uhh, nee. Nog niet uitgezocht hoe dat werkt. Source tarball is ook nog niet compleet: make install werkt nog maar half. Ben het nog aan het leren
De debian package is wel compleet.
Wellicht dat het onder cigwin werkt. Maar porten naar Windows zal ik niet doen, ik heb echt een gloeiende hekel aan Windows: teveel gezeik mee gehad.:
Niet zozeer te maken met security (ligt eraan hoe je het leest
zal het veranderen! thnxUhh.... hmmm.... hoe werkt dah?
Ik bedoel eigenlijk meer beveiligingsfeatures die je graag in een webserver wilt zien maar nog niet in de bestaande webservers zitten. Ik heb met Hiawatha niet echt heel grote plannen (hoewel ik een tijdje terug van een amerikaan een mailtje kreeg die enthousiast was over Hiawatha en het momenteel aan het testen is voor gebruik in zijn bedrijfje). Hiawatha is een hobby project van me en de features die ik erin prop zijn meer experimenteel. Ik heb nog geen idee hoe ze uitpakken op het moment je Hiawatha gebruikt voor een druk bezochte website (ook nog niet de mogelijkheid voor gehad). Hiawatha is nog niet blootgesteld aan de slashdot test.
[ Voor 47% gewijzigd door Verwijderd op 05-04-2004 10:06 ]
:strip_exif()/u/7759/red_cat.gif?f=community)
Weet je hoe vaak 'Hello world' al is geschreven? En hoeveel mensen hier op het forum in PHP een stack-based parser hebben geschreven?:
[...]
Je mag mijn vraag ook lezen als "Waarom start je een hobby project op om bestaande functionaliteit te herschrijven"
Leren programmeren doe je door te programmeren. Wat moet je doen als je voor je hobbyprojectje iets moet maken dat nog nooit iemand gemaakt heeft? Een 3D-OS dat de toekomst kan voorspellen of zo?
Oftewel: beperk je aub tot on-topic commentaar. Vanzelfsprekend is dit (nog) geen revolutionair wereldschokkend project, nobody cares
Maar met wat nuttige input gaat het dat zeker worden!:
Oftewel: beperk je aub tot on-topic commentaar. Vanzelfsprekend is dit (nog) geen revolutionair wereldschokkend project, nobody cares
Dus kom maar op met je beveiligings ideeen. Wat mis je in Apache/IIS/sunONE/NSCA/enz?Hoewel de al aanwezige beveiligingsfeatures nog puur theoretisch zijn (wel geimplementeerd, maar nog niet grootschalig getest), ben ik van mening dat ze zeker de moeite waard zijn.
Okay, het was meer in de trend van handige/leuke ideeën:
[...]
Ik bedoel eigenlijk meer beveiligingsfeatures die je graag in een webserver wilt zien maar nog niet in de bestaande webservers zitten. Ik heb met Hiawatha niet echt heel grote plannen (hoewel ik een tijdje terug van een amerikaan een mailtje kreeg die enthousiast was over Hiawatha en het momenteel aan het testen is voor gebruik in zijn bedrijfje). Hiawatha is een hobby project van me en de features die ik erin prop zijn meer experimenteel. Ik heb nog geen idee hoe ze uitpakken op het moment je Hiawatha gebruikt voor een druk bezochte website (ook nog niet de mogelijkheid voor gehad). Hiawatha is nog niet blootgesteld aan de slashdot test.
Verder zal ik nog even verder verzinnen
- het tegengaan van "deeplinks" e.d. (zit toch in referrer checking?)
Ik wil de "zware" taak op me nemen om het op windows platform aan de praat te krijgen, zonder cygwin
[ Voor 5% gewijzigd door TeeDee op 05-04-2004 10:23 ]
Heart..pumps blood.Has nothing to do with emotion! Bored
Cool natuurlijk, maar is dat niet tering veel werk?:
Ik wil de "zware" taak op me nemen om het op windows platform aan de praat te krijgen, zonder cygwin
Da's idd wel cool. *genoteerd* Zit idd in de referer. Wel kut dat sommige gebruikers zo paranoia zijn dat ze alle HTTP headers met sterretjes of hekjes overschrijven.
More, more!
[ Voor 41% gewijzigd door Verwijderd op 05-04-2004 10:30 ]
Uiteraard herschrijf ook ik het wiel vele malen; dus het is niet zo dat ik het nut van dit project in twijfel wil trekken. Ik vond het gewoon leuk om te horen waarom de TS ervoor kiest om juist een webserver zelf te gaan programmeren; met zo'n achtergrond verhaal is de scope van het product en zijn mogelijkheden en features dus ook makkelijker in te schatten:
[...]
Weet je hoe vaak 'Hello world' al is geschreven? En hoeveel mensen hier op het forum in PHP een stack-based parser hebben geschreven?
Leren programmeren doe je door te programmeren. Wat moet je doen als je voor je hobbyprojectje iets moet maken dat nog nooit iemand gemaakt heeft? Een 3D-OS dat de toekomst kan voorspellen of zo?
Oftewel: beperk je aub tot on-topic commentaar. Vanzelfsprekend is dit (nog) geen revolutionair wereldschokkend project, nobody cares
Oftewel; voordat ik kan inschatten welke features nuttig kunnen zijn in dit project heb ik een achtergrond nodig. Die heb ik nu en wat mij betreft was die vraag dan ook niet offtopic
---
Prozium - The great nepenthe. Opiate of our masses. Glue of our great society. Salve and salvation, it has delivered us from pathos, from sorrow, the deepest chasms of melancholy and hate
Jah
* TeeDee wil ook graag leren
Heart..pumps blood.Has nothing to do with emotion! Bored
Da's dus een violation of protocol en mag je afstraffen
Een 'conforming HTTP/1.1 client' geeft geen HTTP-referer veld indien er een user-induced actie aanleiding is tot de pageview (adres ingetypt of favorite aangeklikt), oftewel bevat een geldig veld. Indien er geen geldige content instaat mag jij een "HTTP 400 Malformed Request" teruggeven 
Zozo, stenge BOFH hoor.:
[...]
Da's dus een violation of protocol en mag je afstraffen
Maar ik geef je helemaal gelijk. En in Hiawatha is een 400 een mogelijke ban. Rotte met die paranoia huisvaders die 'veilig' het internet op gaan!
Tja, hoe doen we dat dan? Terwijl jij een Hiawatha versie naar Windows port, prog ik natuurlijk door aan een volgende versie. Een CVS kan natuurlijk, maar om heeeeel eerlijk te zijn, ik zie het niet zo zitten om allemaal Windows code door mijn code te zien verschijnen.....:
[...]
Jah
* TeeDee wil ook graag leren
:strip_icc():strip_exif()/u/43473/crop5e12eeae6a054_cropped.jpeg?f=community)
En andersom ? Het keihard binden aan een interface ? Denk aan een WAN-kant met DHCP.
Denk dat dat juist de "hindernis" is
[ Voor 5% gewijzigd door 0xDEADBEEF op 07-04-2004 14:25 ]
"Religion is an insult to human dignity. With or without it you would have good people doing good things and evil people doing evil things. But for good people to do evil things, that takes religion." - Steven Weinberg
Ik denk dat je daarvoor toch echte meerdere sockets moet openen
kan dat niet gewoon als CGI proces draaien?
:strip_exif()/u/27042/12inchicon.gif?f=community)
offtopic:
Hahah als ik die site bekijk en die grafiek onderaan met "lines of code added" moet ik meteen aan een uitspraak van Bill Gates denken: "Measuring programming progress by lines of code is like measuring aircraft building progress by weight."
Hahah als ik die site bekijk en die grafiek onderaan met "lines of code added" moet ik meteen aan een uitspraak van Bill Gates denken: "Measuring programming progress by lines of code is like measuring aircraft building progress by weight."
Rookworst zonder R is ook worst.
:strip_exif()/u/31626/eend.gif?f=community)
:strip_icc():strip_exif()/u/2626/nice_eye.jpg?f=community)
Ben uiteraard al helemaal los gegaan op m'n eigen webserver. Ik ben geen leek op het gebied van hacken en buffer overflows en durf daarom best te stellen dat mijn server veilig is.
Er zal nog best een foutje in de code zitten, maar dat zal zich dan alleen uiten in het niet goed werken van een bepaalde feature.
Iemand anders die los wil gaan? 82.210.86.227 poort 80 Let op, de banning-feature staat uiteraard aan. Dus als je los gaat kan het zeker gebeuren dat je voor een bepaalde tijd (max 1 minuut in mijn config) gebanned wordt.
(En nee, niet op andere poorten gaan kutten. En ja, ik (lees Snort) zie alles.)
Er zal nog best een foutje in de code zitten, maar dat zal zich dan alleen uiten in het niet goed werken van een bepaalde feature.
Iemand anders die los wil gaan? 82.210.86.227 poort 80
Let op, de banning-feature staat uiteraard aan. Dus als je los gaat kan het zeker gebeuren dat je voor een bepaalde tijd (max 1 minuut in mijn config) gebanned wordt.(En nee, niet op andere poorten gaan kutten. En ja, ik (lees Snort) zie alles.)
[ Voor 9% gewijzigd door Verwijderd op 21-08-2004 19:48 . Reden: laatste regel ]
:strip_icc():strip_exif()/u/70284/misc3.jpg?f=community)
:strip_exif()/u/25166/new-ico.gif?f=community)
Moest het geen veilige server worden?:
Mogelijkheid tot PHP ondersteuning? Want dan zou het wel eens een interessant project kunnen worden
Je kicked nu pas mensen nadat de verbinding is tot stand gebracht. Misschien dat je moet blocken via een firewall. Dat maakt je wat beter bestending tegen dos attacks.
putStr $ map (x -> chr $ round $ 21/2 * x^3 - 92 * x^2 + 503/2 * x - 105) [1..4]
Hm : ).
Voor de rest: je kan het ook embedden lijkt mij en what about packages ?.
:Heb gemerkt dat als pagina's te snel na elkaar opgevraagd worden, dat voor rare dingen kan zorgen icm een proxy ( hiawatha is vast een vhost
).iptables/ipfw/ipfilter kan prima traffic shapen/rate limiten
Voor de rest: je kan het ook embedden lijkt mij
en what about packages ?.edit:
Ah, .deb's
Ah, .deb's
offtopic:
While trying to retrieve the URL: http://hiawatha.leisink.org/index.php?
The following error was encountered:
* Zero Sized Reply
Squid did not receive any data for this request.
While trying to retrieve the URL: http://hiawatha.leisink.org/index.php?
The following error was encountered:
* Zero Sized Reply
Squid did not receive any data for this request.
[ Voor 19% gewijzigd door 0xDEADBEEF op 21-08-2004 20:20 ]
"Religion is an insult to human dignity. With or without it you would have good people doing good things and evil people doing evil things. But for good people to do evil things, that takes religion." - Steven Weinberg
:strip_icc():strip_exif()/u/6754/image.jpg?f=community)
Dit zijn nog eens echte Tweaker-projectjes ! Ben zelf beetje aan het experimenteren met linux, dus zal zeker eens gebruik maken van je programma.
[edit]
Waarom eigenlijk deze naamkeuze ?
Ben zelf beetje aan het experimenteren met linux, dus zal zeker eens gebruik maken van je programma. [edit]
Waarom eigenlijk deze naamkeuze ?
[ Voor 13% gewijzigd door Exe-cuter op 21-08-2004 22:00 ]
Verwijderd
Een Apache is een indiaan, en Hiawatha is een klein en dapper indiaantje.
Ken je klassiekers! (Donald duck)
Leuke naamkeuze. Dat Hiawatha een indiaan (stam) was wist ik nog niet:
[...]
Een Apache is een indiaan, en Hiawatha is een klein en dapper indiaantje.
Ken je klassiekers! (Donald duck)
Verwijderd
Ik denk zelf dat het zo goed als onmogelijk is om in een taal waarin mogelijk bufferoverflows voorkomen een veilige applicatie te bouwen, tenzij je een of ander verificatietooltje voor je applicatie bouwt. 
Onzin, kwestie wat weten wat je doet en elke buffer goed controleren.:
Ik denk zelf dat het zo goed als onmogelijk is om in een taal waarin mogelijk bufferoverflows voorkomen een veilige applicatie te bouwen, tenzij je een of ander verificatietooltje voor je applicatie bouwt.
:strip_exif()/u/88216/Goomba-animated.gif?f=community)
Ziet d'r al goed uit
Misschien een feature om bepaalde User-Agent's te blokkeren (download accelerators enzo)?
Misschien een feature om bepaalde User-Agent's te blokkeren (download accelerators enzo)?
/u/56680/gurgi.png?f=community)
* gorgi_19 gaat eventjes opruimen....
Klein verzoekje aan iedereen, mag het wat liever naar elkaar toe? Een stelling tot de grond toe afmaken op basis van argumenten, geen probleem.
Maar laat dan wel de argumenten overheersen
Het hele unit test gedeelte heb ik afgesplitst naar [rml][ ALG] Unit Tests: vereist voor veiligheid of niet? *[/rml] Gaarne daar verder
Klein verzoekje aan iedereen, mag het wat liever naar elkaar toe? Een stelling tot de grond toe afmaken op basis van argumenten, geen probleem.
Maar laat dan wel de argumenten overheersen
Het hele unit test gedeelte heb ik afgesplitst naar [rml][ ALG] Unit Tests: vereist voor veiligheid of niet? *[/rml]
Gaarne daar verder
[ Voor 91% gewijzigd door gorgi_19 op 22-08-2004 19:35 ]
Digitaal onderwijsmateriaal, leermateriaal voor hbo
Wat betreft C zijn kwa veiligheid een aantal regels aan te bevelen :
- Gebruik geen str*cpy, str*cat of gets(). Voor gets() kun je fgets() gebruiken, en voor de stringfuncties zijn de strlcpy en strlcat uit OpenBSD aan te raden.
- Vermijd functies die statische libc buffers gebruiken. De thread-safe functies gebruiken deze niet.
- Check begincondities in functies met assert()'s. Het spaart je soms uren zoekwerk uit, en met een assert is tenminste duidelijk dat d'r wat fout gaat.
- Vertrouw geen invoer van buitenaf. Ga geen buffer van x bytes allocateren als dat aangegeven wordt, maar check eerst of het wel logisch is
- Gebruik valgrind
- Ik zet zelf een sloot warnings aan, meestal betekend warning == bug.
De code van de TS zag d'r degelijk uit, maar ik heb toch wat opmerkingen :
- Gebruik indien mogelijk statische variabelen
- Tonnen else - if voor de error checking maakt het onleesbaar, ik gebruik dan een goto maar label aan het einde van de functie, en schoon dan op. Da's ook meteen de enige goede toepasing van een goto
- Valgrind klaagt een x aantal keer over het gebruik van uninitialized variabele in syscalls en condities
- 't lekt memory
in log.c : Waarom de logfile constant openen en weer sluiten ? Ik zou de FILE * gewoon statisch maken, en d'r een pthread_mutex omheenzetten op concurrent access te regelen. Indien de messages < 512 bytes zijn kun je dat zelfs achterwege laten.
Verder net werk, van dit soort code moet d'r meer komen
- Gebruik geen str*cpy, str*cat of gets(). Voor gets() kun je fgets() gebruiken, en voor de stringfuncties zijn de strlcpy en strlcat uit OpenBSD aan te raden.
- Vermijd functies die statische libc buffers gebruiken. De thread-safe functies gebruiken deze niet.
- Check begincondities in functies met assert()'s. Het spaart je soms uren zoekwerk uit, en met een assert is tenminste duidelijk dat d'r wat fout gaat.
- Vertrouw geen invoer van buitenaf. Ga geen buffer van x bytes allocateren als dat aangegeven wordt, maar check eerst of het wel logisch is
- Gebruik valgrind
- Ik zet zelf een sloot warnings aan, meestal betekend warning == bug.
De code van de TS zag d'r degelijk uit, maar ik heb toch wat opmerkingen :
- Gebruik indien mogelijk statische variabelen
- Tonnen else - if voor de error checking maakt het onleesbaar, ik gebruik dan een goto maar label aan het einde van de functie, en schoon dan op. Da's ook meteen de enige goede toepasing van een goto
- Valgrind klaagt een x aantal keer over het gebruik van uninitialized variabele in syscalls en condities
- 't lekt memory
in log.c : Waarom de logfile constant openen en weer sluiten ? Ik zou de FILE * gewoon statisch maken, en d'r een pthread_mutex omheenzetten op concurrent access te regelen. Indien de messages < 512 bytes zijn kun je dat zelfs achterwege laten.
Verder net werk, van dit soort code moet d'r meer komen
[ Voor 5% gewijzigd door igmar op 22-08-2004 19:44 ]
ik heb hem zojuist gedownload en ging hem compilen (zorg er even voor dat je README niet een of ander perl scriptje is:
Mooi.... weet iemand nog leuke security-features voor in mijn webserver?
) en kwam er achter dat je verplicht bent om hem als root te starten. Op zich begrijpelijk als je daarna direct naar een eigen user gaat (oid) echter het lijkt me toch ook wel handig dat ik hem als normale user kan starten zonder root rechten. (uiteraard kan je dan poort 80 niet gebruiken, maar daar gaat het niet om, daar draait Apache al )
@igmar: dank voor je commentaar, zoiets wilde ik horen. Ik gebruik valgrind, maar ben geen geheugenlekje tegengekomen. Zal nog eens kijken. thnx.
Keb zelf een hekel aan goto's. Dan liever do-while(false) icm breaks. Veel checks achter elkaar zijn naar mijn mening nooit mooi te krijgen. Het werkt nu goed, dus ik laat het zo.
De logfile descripter. Da's idd een puntje.
@Erkens: ik weet het, de README is niet de juiste plaats voor een script. Maar ben autotools nog aan het leren en wist niet zo gauw hoe ik zo'n extra script goed moest toevoegen. Een vriend van me is me autotools aan het leren en ik hoop na les 2 wat meer te kunnen Probleem is alleen dat we beide een beetje krap in onze tijd zitten, maar er word aan gewerkt.
Keb zelf een hekel aan goto's. Dan liever do-while(false) icm breaks. Veel checks achter elkaar zijn naar mijn mening nooit mooi te krijgen. Het werkt nu goed, dus ik laat het zo.
De logfile descripter. Da's idd een puntje.
@Erkens: ik weet het, de README is niet de juiste plaats voor een script. Maar ben autotools nog aan het leren en wist niet zo gauw hoe ik zo'n extra script goed moest toevoegen. Een vriend van me is me autotools aan het leren en ik hoop na les 2 wat meer te kunnen
Probleem is alleen dat we beide een beetje krap in onze tijd zitten, maar er word aan gewerkt.
mja, maakt mij niet uit, maar zoiets verwacht ik niet in een README, dan liever geen README, maargoed.:
@Erkens: ik weet het, de README is niet de juiste plaats voor een script. Maar ben autotools nog aan het leren en wist niet zo gauw hoe ik zo'n extra script goed moest toevoegen. Een vriend van me is me autotools aan het leren en ik hoop na les 2 wat meer te kunnen
Maar ik kon in de readme dus niet vinden of het wel mogelijk is om als een normale user die server te kunnen starten?
Je bent natuurlijk vrij om de code aan te passen.
Onderaan in hiawatha.c effe de getuid()==0 check wegslopen.
true (+ die "Warning: can't change uid/gid.") maar een setting hiervoor zou handig zijn, zeker met het oog op security, want ik zou echt nergens voor root rechten nodig hebben, immers ik draai ook niet op een poort <1024:
[...]
Je bent natuurlijk vrij om de code aan te passen.
[edit]
hmm, zelfs dan is het niet aan de praat te krijgen icm php:
Alleen als ik PHP enable in de config (met het juiste path!), heb verder niks bijzonders gedaan. Verder draait hij prima, alleen de combi met php niet.
[ Voor 28% gewijzigd door Erkens op 22-08-2004 21:01 ]
Ik weet heus wel hoe TCP poorten etc werken hoor
Maar als een applicatie afgesloten wordt dient deze de die poorten vrij te geven, iets wat jij blijkbaar niet doet
Heb het nu werkend gekregen door steeds het poortnummer te veranderen want anders kost het me teveel tijd
Kwam er wel achter dat ik mijn PHP hiervoor opnieuw moet compilen.Het is een keuze om PHP via CGI te benaderen, aan de ene kant kan het veiliger zijn (rechten van PHP bijvoorbeeld) maar aan de andere kant kost het performance.
Commentaar is de basis van opensource
(Allez, niet dat ik er iets van afweet, maar vind het toch verdomd handig )
(Allez, niet dat ik er iets van afweet, maar vind het toch verdomd handig
)
Een paar puntjes van commentaar. Als ik met het configure-script de installation prefix aanpas, dan worden de paden naar de config files en HTTP directory niet aangepast (en dan kan 'ie ze dus niet vinden).
Ik heb 'm getest onder FreeBSD 5 en daar geeft 'ie bij het compileren de melding:
Dit is op te lossen door in serverconfig.h eerst pthread.h te includen. (FreeBSD 4 en 5 hebben allebei native UNIX threads, in tegenstelling tot Linux.)
Daarna de volgende melding:
Dit is op te lossen door -pthread aan de CFLAGS toe te voegen. (Geen idee of dit kwaad kan onder andere systemen of dat deze optie alleen onder BSD toegevoegd mag/moet worden.)
Verder missen sommige header files inclusions guards (#ifndef ... / #define .. / #endif); niet vereist maar naar mijn mening onnodig tegen de conventies ingaan.
Tenslotte vond ik ook de root-check nogal irritant; ik maak zelf wel uit onder welke user ik 'm uitvoer. (Zeker als ik een non-priviliged TCP port gebruik.) Als je exploits wilt voorkomen door niet als root user te draaien, dan zou het juist geen kwaad moeten kunnen om 'm direct al onder de goede user uit te voeren. Onder BSD is het bijvoorbeeld gebruikelijk om start-up scripts te gebruiken die al naar de juiste user su'en. Dit voorkomt bijvoorbeeld problemen wanneer de hiawatha executable zelf gehacked is.
Als ik tijd teveel heb zal ik er nog eens wat gedetailleerder naar kijken. Dat zal er dus wel niet van komen.
Ik heb 'm getest onder FreeBSD 5 en daar geeft 'ie bij het compileren de melding:
In file included from libstr.c:13: serverconfig.h:39: error: syntax error before "pthread_mutex_t"
Daarna de volgende melding:
hiawatha.o: In function `accept_connection': /home/maks/hiawatha-2.7/hiawatha.c:880: undefined reference to `pthread_attr_init' /home/maks/hiawatha-2.7/hiawatha.c:881: undefined reference to `pthread_attr_setdetachstate' /home/maks/hiawatha-2.7/hiawatha.c:883: undefined reference to `pthread_create'
Verder missen sommige header files inclusions guards (#ifndef ... / #define .. / #endif); niet vereist maar naar mijn mening onnodig tegen de conventies ingaan.
Tenslotte vond ik ook de root-check nogal irritant; ik maak zelf wel uit onder welke user ik 'm uitvoer. (Zeker als ik een non-priviliged TCP port gebruik.) Als je exploits wilt voorkomen door niet als root user te draaien, dan zou het juist geen kwaad moeten kunnen om 'm direct al onder de goede user uit te voeren. Onder BSD is het bijvoorbeeld gebruikelijk om start-up scripts te gebruiken die al naar de juiste user su'en. Dit voorkomt bijvoorbeeld problemen wanneer de hiawatha executable zelf gehacked is.
Als ik tijd teveel heb zal ik er nog eens wat gedetailleerder naar kijken. Dat zal er dus wel niet van komen.
[ Voor 10% gewijzigd door Soultaker op 24-08-2004 17:38 ]
Ik ben bezig met versie 2.8. Daarin is de root-check weg, per functie commentaar opgenomen met een omschrijving van de functie, het TCP-timeout probleem bij een herstart opgelost en een aantal andere kleine bugjes gefixed. Ik zal ook kijken naar het FreeBSD probleem, keb hier ook ergens nog een FreeBSD bak staan
Maar eerst nog effe hard leren voor een tentamen die ik morgen ochtend heb. (statistiek, bleeeeh!)
Alvast bedankt voor de feedback allemaal!!
Is er iemand van jullie btw goed met openssl? Ik probeer al een tijdje ssl aan de praat te krijgen in Hiawatha, maar vanwege de pthreads lukt me dat niet. Bij het verbinden naar de server krijg ik dan een "unknown SSL error".... fijn he!
Iemand die er effe wil kijken, mail me op hugo@leisink.net. Dan stuur ik je de SSL versie van Hiawatha toe.
Maar eerst nog effe hard leren voor een tentamen die ik morgen ochtend heb. (statistiek, bleeeeh!
)Alvast bedankt voor de feedback allemaal!!
Is er iemand van jullie btw goed met openssl? Ik probeer al een tijdje ssl aan de praat te krijgen in Hiawatha, maar vanwege de pthreads lukt me dat niet. Bij het verbinden naar de server krijg ik dan een "unknown SSL error".... fijn he!
Iemand die er effe wil kijken, mail me op hugo@leisink.net. Dan stuur ik je de SSL versie van Hiawatha toe.
[ Voor 28% gewijzigd door Verwijderd op 25-08-2004 10:24 . Reden: ssl vraagje ]
Verwijderd
Als je echt zoveel vertrouwen hebt in je webserver, moet je maar prijsgeld uitloven voor de persoon die je webserver als eerste hackt. Je moet dan al die "verlangzaam een hack-poging" dingen uitzetten, omdat het anders zo lang duurt, maar dat heeft niets met de veiligheid te maken.
Als het veilig is=> iedereen gaat je webserver gebruiken en je bent cool
.
Als het niet veilig is=>dan sta je lekker voor paal .
Je kunt gewoon niet zeggen dat het de meest veilige webserver is, omdat je dat niet weet.
Als het veilig is=> iedereen gaat je webserver gebruiken en je bent cool
. Als het niet veilig is=>dan sta je lekker voor paal
. Je kunt gewoon niet zeggen dat het de meest veilige webserver is, omdat je dat niet weet.
@Defied: heb ik over zitten denken. Alleen, denk niet dat mijn huis ADSL lijntje dat trekt.... En daarbij, het is te massaal opeens. Mocht er toch nog een foutje in zitten, dan krijg ik op die manier natuurlijk nooit te weten wat het foutje is geweest.
@gang-ster: prijzengeld.... tja, als ik geld zou hebben Maar bij deze daag ik iedereen van Tweakers.NET uit om mijn webserver te hacken. En die "verlangzaam een hack-poging" dingen blijven natuurlijk aan, juist om ongeduldige hackers tegen te gaan. En dat heeft zeker wel met veiligheid te maken, alleen op een niet-technisch vlak .
In ieder geval, versie 2.8 is uit! Geen root-check, elke functie is van commentaar voorzien, plus nog een aantal andere features. Ik heb de source van mijn libssl toegevoegd. Mocht er zich een SSL guru onder jullie bevinden, of ie even wil kijken naar die lib. Ben namelijk niet zo goed in OpenSSL icm pthreads....
@gang-ster: prijzengeld.... tja, als ik geld zou hebben
Maar bij deze daag ik iedereen van Tweakers.NET uit om mijn webserver te hacken. En die "verlangzaam een hack-poging" dingen blijven natuurlijk aan, juist om ongeduldige hackers tegen te gaan. En dat heeft zeker wel met veiligheid te maken, alleen op een niet-technisch vlak .In ieder geval, versie 2.8 is uit! Geen root-check, elke functie is van commentaar voorzien, plus nog een aantal andere features. Ik heb de source van mijn libssl toegevoegd. Mocht er zich een SSL guru onder jullie bevinden, of ie even wil kijken naar die lib. Ben namelijk niet zo goed in OpenSSL icm pthreads....
[ Voor 16% gewijzigd door Verwijderd op 26-08-2004 18:52 . Reden: daarom ]
Verwijderd
Leuk project, nette code ook. Heb even vluchtig met cscope gekeken naar buffer overflows, maar het zag er wel netjes gecode uit
Wel 1 opmerking, ik las dat je getuid() gebruikt om te kijken of je wel root bent.
Dat kan je in theorie wel doen, maaarrr...
Je kan dit soort LD_PRELOAD truukjes voorkomen door met de -static flag te compilen (gcc). Nadeel is dat je binary dan wel wat groter word
Wel 1 opmerking, ik las dat je getuid() gebruikt om te kijken of je wel root bent.
Dat kan je in theorie wel doen, maaarrr...
code:
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
| blasty@peyote:~$ cat getuid.c
#include <unistd.h>
#include <stdio.h>
int main() {
if (getuid() == 0)
printf("You are root!\n");
else
printf("You are not root!\n");
return 0;
}
blasty@peyote:~$ gcc -o getuid getuid.c -Wall
blasty@peyote:~$ ./getuid
You are not root!
blasty@peyote:~$ cat uidzero.c
int getuid() { return 0; }
int geteuid() { return 0; }
int getgid() { return 0; }
int getegid() { return 0; }
blasty@peyote:~$ gcc -shared uidzero.c -o uidzero.so
blasty@peyote:~$ LD_PRELOAD=./uidzero.so sh
root@peyote:~# ./getuid
You are root!
root@peyote:~# unset LD_PRELOAD
root@peyote:~# sh
blasty@peyote:~# |
Je kan dit soort LD_PRELOAD truukjes voorkomen door met de -static flag te compilen (gcc). Nadeel is dat je binary dan wel wat groter word
Ik wil deze discussie in dit geval een klein beetje bijsturen
Een discussie over features voor een goede webserver heb ik geen problemen mee. Eventueel bediscussieerbaar is de gebruikte code en implementaties van bepaalde zaken. (zoals in [rml]sh0wtime in "[ disc] Features voor in een veilige webs..."[/rml])Echter, het moet geen support draadje worden van jouw applicatie
Daar is Programming & Webscripting de plek niet voor Dit geldt ook voor 'gebruikersfeedback' als: "Mooie applicatie", "Hij doet het goed","Hoe installeer ik het?" etc
[ Voor 6% gewijzigd door gorgi_19 op 02-09-2004 08:52 ]
Digitaal onderwijsmateriaal, leermateriaal voor hbo