Skydda katalog

[Dahlgren]

Hej!

 

Jag undrar om man på något sätt kan skydda filer från att bli nedladdade. Om jag t.ex. har en katalog med filer som användare kan ladda upp till men jag bara vill att de ska kunna bli nedladdade genom det användargränssnittet och inte genom att skriva URL till filen, kan man ordna det?

 

Jag kan inte ändra något på webbservern så det måste vara på något annat sätt.

 

Mvh

 

[JANspeed]

Det ända sättet jag kan tänka mig är ju om du genom ASP döper om filen till nått kryptiskt och sen flyttar den till en kryptiskt döpt mapp. Fast det hindrar ju inte någon från att surfa till filen bara gör det svårare.

 

/JANspeed

 

 

[Magnus Gladh]

kan du inte ändra något på servern blir det svårt. Kan du så är det inga problem. Man kan skapa ett extra bibliotek som har endast "Script Source Access". Det betyder att ASP kan komma åt filen, men man kan inte surfa till den.

 

Det är inte speciellt svårt att göra och ditt webhotell borde kunna göra det åt dig. Tar max 5 minuter att göra.

 

- Magnus

-----------------------------------------------------

Ropen skalla, BBB (eller BOSTREAM) åt alla!!!

 

[Dahlgren]

Hmm, ja, jag får nog höra med dom då.

 

Tack för tipsen, mvh.

 

[Dahlgren]

Tänkte testa att göra det lokalt först så om du kan berätta hur man ställer in "Script Sourse Access" på kataloger så vore det perfekt

 

Mvh

 

[Magnus Gladh]

Om du går in i IIS Managern, väljer din site, sedan den katalogen som du vill skydda.

 

Högerklicka på katalogen och välj properties. Under flicken Directory. Där har du några checkboxar.

 

- Magnus

-----------------------------------------------------

Ropen skalla, BBBs 100 mbps tjänst åt alla!

 

[Dahlgren]

Men "Script sourse access" det låter som att besökarna skulle kunna få tillgång till mina ASP-filers källkod, är det så?

 

Ska jag slå av läsrättigheter på katalogen också?

 

Mvh

 

[Magnus Gladh]

Men "Script sourse access" det låter som att besökarna skulle kunna få tillgång till mina ASP-filers källkod, är det så?

 

Givetviss är det så! MS har gjort denna funktion bara så jag skall kunna berätta för folk att de skall kryssa för denna ruta, och sedan skall jag kunna gå in och hämta din ASP-kod.

 

Ska jag slå av läsrättigheter på katalogen också?

 

Man kan skapa ett extra bibliotek som har endast "Script Source Access".

 

Hmm...

 

Skall jag vara riktigt ärlig (det skall man väl aldrig vara!) så har jag faktiskt inte testat om Script Source gör vad du vill, bara läst om det

 

- Magnus

-----------------------------------------------------

Ropen skalla, BBBs 100 mbps tjänst åt alla!

 

[Dahlgren]

Är lite tveksam att till det där. Har testat ganska mycket nu och det verkar inte fungera hur jag än gör.

 

Någon som har något annat förslag?

 

Mvh

 

[Magnus Gladh]

Gjorde det precis. Fungerar alldeles utmärkt.

 

Skapade en mapp i wwwroot som jag döpte till TestMapp.

Satte ENDAST "Script Source Access" på den och ladde ner en fil som heter Test.Txt i den mappen. Filen Test.Txt innehåller endast ordet: HEJ.

 

Skapade sedan en Test.ASP som jag lade i wwwroot, denna sida använder FSO till accessa filen Test.Txt.

 

<%
'create the file system object
set fso = Server.CreateObject("Scripting.FileSystemObject")

'open the text file
set f = fso.OpenTextFile("C:\Inetpub\wwwroot\TestMapp\Test.txt", 1)

do until f.AtEndOfStream
response.write f.ReadLine()
loop

f.Close()
set f = nothing
%>

 

Fungerar utmärkt, min Test.ASP skriver ut HEJ på sidan och jag kan inte surfa till sidan http://localhost/TestMapp/Test.txt

 

- Magnus

-----------------------------------------------------

Ropen skalla, BBBs 100 mbps tjänst åt alla!

 

[Dahlgren]

Det fungerar endast på textfiler tyvärr. Jag hittade ett inlägg på eforum som jag inte har hittat tidigare som löste problemet. Tack för all hjälp ändå Magnus, du skulle ha fått ett wienerbröd av mig om jag hade haft någon möjlighet att ge den till dig

 

Här är tråden: //eforum.idg.se/viewmsg.asp?EntriesId=314776#314787

 

Mvh

 

[Magnus Gladh]

Lugnt har redan ätit ett

 

Men vad menar du med att det endast fungerar på TextFiler. Det borde fungerar på alla filer.

 

"Script Source Access" gör så att endast ASP kan komma åt filen. Det betyder att man kan inte göra en response.redirect() från en ASP sida och tro att man kommer åt filen. Eftersom du inte kommer åt filen via ASP då utan via HTTP.

 

Du måste använda dig av Stream objektet ändå (kanske skulle ha påpekat det tidigare ). Så det blir inte så mycket skillnad jämfört med det exempel som du har hittat. Skillnaden mellan att ha filerna utanför wwwrooten och i en mapp med Script Source Access är ju bara att du har dina filer mer samlade och det tror jag ett webhotell uppskattar mer.

 

- Magnus

-----------------------------------------------------

Ropen skalla, BBBs 100 mbps tjänst åt alla!

 

[Dahlgren]

Men nu blev det ju inte riktigt som jag hade tänkt mig här. Jag har fått det att fungera perfekt på min egen server men när jag laddar upp det till webbhotellet så går det åt skogen.

 

Jag misstänker att FTP-programmet jag kör med (för närvarande ftp i kommandotolken) gör mina filer synliga igen. Hur kan jag göra så att filerna är dolda även på webbhotellets server?

 

Någon som vet det här??

 

Mvh

 

[Magnus Gladh]

Ditt FTP-program kan INTE göra sidorna synliga via HTTP om det var det du menade.

 

Om du bara lägger dina filer i någon mapp i din wwwroot så kommer man garanterat alltid kunna komma åt dessa filer från en webläsare.

 

För att man inte skall kunna komma åt dem via en webläsare måste de:

1. Läggas utanför wwwrooten

eller

2. läggas i en mapp med endast Script Source access

 

1. Detta lär du knappast få göra.

2. Finns ibland en DB mapp som endast har script source access. Men det är inte alls säkert det är så på ditt webhotell.

 

Så det enda sättet att lösa det på är att prata med webmastern och be att få en mapp med Script Source Access rättigheter, eller att du får en mapp utanför din wwwroot.

 

- Magnus

-----------------------------------------------------

Ropen skalla, BBBs 100 mbps tjänst åt alla!

 

[Dahlgren]

Nej det fungerar att dölja filerna. Då kan de inte laddas ner via URL:en det har jag testat på min egen webbserver så det vet jag fungerar.

 

Frågan är bara varför det inte fungerar på webbhotellets server...

 

Mvh

 

[Dahlgren]

Det går heller inte att ha en katalog med enbart script source access för den rutan kan man inte kryssa i ifall man har kryssat ur läsrättigheter-rutan.

 

Mvh

 

[Dahlgren]

Men nu verkar det ha löst sig. Jag ändrade rättigheterna för katalogen till enbart skrivrättigheter. Så nu går det inte alls att ta hem filerna genom att ange URL:en. Det enda sättet man kan få hem filerna på är genom att läsa dom binärt och skicka till klienten.

 

Har inte testat på webbhotellet ännu men det borde fungera felfritt tror jag eftersom det bara är att ändra rättigheter på katalogen och det kan de ju göra.

 

Mvh

 

[Magnus Gladh]

Hur gör du för att dölja filerna då?

 

- Magnus

-----------------------------------------------------

Ropen skalla, BBBs 100 mbps tjänst åt alla!

 

[Magnus Gladh]

Kryssa i Script Source Access först, och kryssa sedan ur läsrättigheter.

 

- Magnus

-----------------------------------------------------

Ropen skalla, BBBs 100 mbps tjänst åt alla!

 

[Magnus Gladh]

Japp, det borde ju bli samma som att ta bort Läsrättigheter och sätta ditt Script Source Access.

 

Skrivrättigheter är dock inget som jag rekomenderar dig att ge ut, det kan användas av hackar att lägga upp elak kod på din server, och om man sedan har missat att sätt rätt exekveringsrättigheter så kan man starta detta program på servern.

 

Så återigen, sätt endast Script Source Access på din mapp.

 

- Magnus

-----------------------------------------------------

Ropen skalla, BBBs 100 mbps tjänst åt alla!

 

[Dahlgren]

Men script source access, kommer inte folk åt källkoden till filerna i den mappen då? Fast förvisso så har jag spärrat så att man inte kan ladda upp asp-filer och katalogen godkänner inte att exe-filer körs så det är nog ganska säkert ändå.

 

 

Mvh

 

[Magnus Gladh]

Men script source access, kommer inte folk åt källkoden till filerna i den mappen då?

 

Det har du helt rätt i!!!! Efter ha läst på lite bättre.. *SKÄMS* borde ha läst lite bättre själv. Men bara om man använder sig av WebDAV vilket ditt webhotell säkert inte stödjer.

 

http://www.microsoft.com/technet/treeview/default.asp?url=/technet/prodtechnol/windowsserver2003/proddocs/deployguide/iisdg_sec_wtzf.asp

 

Är dock nyfiken på att om det inte fungerar om du tar bort både alla rättigheter på din mapp. Mitt förra exempel fungerarde om jag tog bort alla rättigheter i TestMappen. ASP kunde fortfarande läsa filen men jag kunde inte komma åt den via URL.

 

- Magnus

-----------------------------------------------------

Ropen skalla, BBBs 100 mbps tjänst åt alla!

 

[Dahlgren]

Ja jag har för mig att jag testade att ta bort alla rättigheter på mappen och jag har för mig att det fungerade. Men fungerar det för dig fungerar det säkert här med.

 

Mvh