Sicherheit in ASP-Files

[Philipp Hasenfratz]

Halihallo Rannh

ich habe in ASP-Files sicherheitsbedenklichen Code und frage mich, ob das sicher ist. Es ist so, dass dieser Code im VB geschrieben ist, d.h. normalerweise sieht der User davon nix, falls er es sich im Browser ansieht, da das vom Server bearbeitet wird.

In Windows geht alles über Dateiextensionen. Der IIS ist normalerweise darauf
konfiguriert, alle .asp Dateien über ASP laufen zu lassen (sprich Code ausführen).
Es könnte höchstens sein, dass ein Verzeichnis explizit keine Scripte ausführt und somit
deren Code sichtbar ist, oder man den selten dämlichen Vorschlag von M$ befolgt, seine
Include-Scripte .inc zu taufen (denn diese, wenn sie auch meistens "versteckt" sind,
_kann_ man meistens lesen).
Wenn also das Script auf .asp lautet und sich in einem Verzeichnis befindet, wo ASP-
Scripte ausgeführt werden, wird niemand (ausser Crack-Angriff) den Code sehen. Der
Angreifer müsste auf den Server direkt zugreifen können und dann hast du wohl noch ganz
andere Probleme, falls er dies kann.

Kann es ein Pro schaffen, meine ASP-Seite vom Server herunterzuladen, ohne dass diese verarbeitet wird, falls ihr versteht was ich meine.

Entweder du lieferst ihn explizit aus (Fehlkonfiguration) oder er müsste sich illegaler
Mittel behelfen.

Ich schätze, das hat mit dem Zugriffsprotokoll oder sowas zu tun.

Nicht wirklich. Das Protokoll ist bei beiden HTTP. Wichtig ist allein, was der IIS mit
der Extension .asp im fraglichen Verzeichnis macht.

Viele Grüsse

Philipp