Ergebnis 1 bis 10 von 10
  1. #1
    Avatar von jeko
    jeko ist offline Foren-Gott
    registriert
    03-06-2004
    Ort
    [CH]Vor meinem PC[/CH]
    Beiträge
    3.069

    [apache] Bei Zeichenkette "fetch " im Formular -> 403

    Hallo zusammen,

    Ich bin mal wieder verzweifelt, hilflos, deprimiert etc., und so weiter.

    Ich habe ein simples Formular:
    HTML-Code:
    <form action="bug_fetch.php" method="post">
            <p>Enter text: </p>
            <textarea name="text"></textarea>
            <p><input type="submit" value="Send" /></p>
    </form>
    Das funktioniert auch gut. Doch komischerweise bekomme ich beim Absenden einen 403 - Forbidden wenn der Text in der Textarea die Zeichenfolge "fetch " enthält! Kanns das sein?

    Zusätzliche Angaben: Apache/1.3.36, PHP 4.3.1

    Ein Beispielfile ist hier.

    Vielen Dank im voraus,

    jeko
    Arbeit an der Sprache ist Arbeit am Gedanken.
    NoPaste / Format / Analyze / Crypt
    Ich bin ein Schwätzer.

  2. #2
    Avatar von slosd
    slosd ist offline Kaiser
    registriert
    19-02-2006
    Beiträge
    1.359

    AW: [apache] Bei Zeichenkette "fetch " im Formular -> 403

    Der Fehler tritt bei mir nicht auf.

    EDIT
    Ah, doch. Aber nur wenn nach "fetch" noch was kommt.
    Geändert von slosd (30-06-2007 um 15:19 Uhr)

  3. #3
    Avatar von René
    René ist offline Lebende Foren-Legende
    registriert
    09-06-2000
    Ort
    Boitzenburger Land
    Beiträge
    1.790

    AW: [apache] Bei Zeichenkette "fetch " im Formular -> 403

    ... hier auch nicht bzw. wenn ich fetch ins Textarea schreibe dann wird mir das nach dem Submit in der Seite angezeigt (graue Zeile unter Submitted text:).

    ----

    Edit zu slosd, stimmt bei mir auch so.
    Geändert von René (30-06-2007 um 17:08 Uhr)
    Gruß
    René

    ----------------------------------------------------
    » WebExplorer
    » Lange Weile, Webchess 2003
    » PHP unter JanaServer 2 installieren

  4. #4
    Avatar von Albu
    Albu ist offline Foren-Gott
    registriert
    04-07-2001
    Beiträge
    13.501

    AW: [apache] Bei Zeichenkette "fetch " im Formular -> 403

    Eine lokale Kopie des Codes läuft wunderbar, folglich ist Dein Server eine Zicke.

    Nein, es kommt kein Edit...
    1. Get people to play Space Taxi
    2. Sell real estates on neptun
    3. Profit!

    IE is not a browser, it is a scream.


    Outside of a dog, a book is man's best friend. Inside of a dog, it's too dark to read.

  5. #5
    Avatar von jeko
    jeko ist offline Foren-Gott
    registriert
    03-06-2004
    Ort
    [CH]Vor meinem PC[/CH]
    Beiträge
    3.069

    AW: [apache] Bei Zeichenkette "fetch " im Formular -> 403

    Zitat Zitat von slosd Beitrag anzeigen
    Der Fehler tritt bei mir nicht auf.

    EDIT
    Ah, doch. Aber nur wenn nach "fetch" noch was kommt.
    Deswegen hat die Zeichenkette in meinem Post auch noch ein Leerzeichen nach dem fetch -> "fetch " (6 Chars)

    Dass mein Server eine Zicke ist weiss ich, bloss nicht wieso. Kann es mit installierten Modulen zu tun haben, ...?

    Vielleicht würde mir schon eine Anleitung zur Analyse helfen, wo ich anfangen könnte nach dem Fehler zu suchen. Google sagt überhaupt nichts zu dem Thema; bzw. wie immer viel, aber nix gscheits.
    Arbeit an der Sprache ist Arbeit am Gedanken.
    NoPaste / Format / Analyze / Crypt
    Ich bin ein Schwätzer.

  6. #6
    Avatar von jeko
    jeko ist offline Foren-Gott
    registriert
    03-06-2004
    Ort
    [CH]Vor meinem PC[/CH]
    Beiträge
    3.069

    AW: [apache] Bei Zeichenkette "fetch " im Formular -> 403

    Hm, irgendwie laufen Threads von mir immer nach dem gleichen Schema ab; Problembeschreibung, 3-4 Posts, Windstille und Problem immer noch da.
    Mach ich was falsch...?

    Habe jetzt mal den Hoster kontaktiert, mal schauen was rauskommt.
    Arbeit an der Sprache ist Arbeit am Gedanken.
    NoPaste / Format / Analyze / Crypt
    Ich bin ein Schwätzer.

  7. #7
    Avatar von slosd
    slosd ist offline Kaiser
    registriert
    19-02-2006
    Beiträge
    1.359

    AW: [apache] Bei Zeichenkette "fetch " im Formular -> 403

    Lass dir weniger ausgefallene Probleme einfallen

  8. #8
    meto ist offline Doppel-As
    registriert
    21-06-2007
    Beiträge
    145

    AW: [apache] Bei Zeichenkette "fetch " im Formular -> 403

    Ist ein sehr spezielles Problem was mir so auch noch nicht untergekommen ist. Sofern in deinem PHP-Code nichts spezielles zu "fetch" definiert ist würde ich stark an ein fehlerhaftes Apache- oder PHP-Modul glauben. Hoster kontaktieren ist ne gute Idee. Wenn Du Zugriff auf access und error.log hast lohnt evtl. auch ein Blick dort hinein.
    Tritt das Problem denn auch auf wenn Du die Daten per GET sendest? Nicht dass das eine Lösung wäre...aber ist interessant.
    Und schreib mal wenn Du (oder Dein Provider) rausgefunden hast was es ist. Interessiert mich.

  9. #9
    Avatar von jeko
    jeko ist offline Foren-Gott
    registriert
    03-06-2004
    Ort
    [CH]Vor meinem PC[/CH]
    Beiträge
    3.069

    AW: [apache] Bei Zeichenkette "fetch " im Formular -> 403

    Zitat Zitat von slosd Beitrag anzeigen
    Lass dir weniger ausgefallene Probleme einfallen
    Hm, ist es gar unpassend wenn ich jetzt nicht in Schenkel-Klopfer-Lachen ausbreche ?

    Zitat Zitat von meto
    Sofern in deinem PHP-Code nichts spezielles zu "fetch" definiert ist
    Zu diesem Zweck habe ich's mal als reines HTML-Dok getestet (kein PHP drin). Selbes Ergebnis (Pure HTML-File)...
    Zitat Zitat von meto
    würde ich stark an ein fehlerhaftes Apache-[modul]
    Dito.
    Zitat Zitat von meto
    Wenn Du Zugriff auf access und error.log hast
    Leider nein
    Zitat Zitat von meto
    Tritt das Problem denn auch auf wenn Du die Daten per GET sendest?
    Ja, siehe 1. Zitat von meto.

    @meto/all: Ich halte euch gern auf dem Laufenden

    Danke für die Bemühungen trotzdem,

    und natürlich einen schönen Samstagabend noch!

    gruss jeko
    Arbeit an der Sprache ist Arbeit am Gedanken.
    NoPaste / Format / Analyze / Crypt
    Ich bin ein Schwätzer.

  10. #10
    Avatar von jeko
    jeko ist offline Foren-Gott
    registriert
    03-06-2004
    Ort
    [CH]Vor meinem PC[/CH]
    Beiträge
    3.069

    AW: [apache] Bei Zeichenkette "fetch " im Formular -> 403

    Also, habe nun endlich Antwort erhalten. Ich habe meinem Hoster (hoststar.ch) mein Problem geschildert. Hier das entsprechende Rückmail:
    Zitat Zitat von hoststar.ch
    Sehr geehrter Herr Sandoz

    Wir haben die erwähnte Problematik analisiert. Das Problem ist darauf zurückzuführen, dass der Wert "fetch " nicht gestattet ist und durch das Apache Modul "mod_security" bewusst blockiert wird.

    Wir können diese Serverkonfiguration leider aus Sicherheitsgründen nicht anpassen.

    Für Ihr Verständnis danken wir Ihnen im Voraus.


    Mit freundlichen Grüssen

    Hoststar* - Multimedia Networks AG [Switzerland]
    [...]
    Das "störende" Modul heisst hier also mod_security. Ein bisschen Googlen brachte mir die Erkenntnis, dass es sich hierbei um eine Application-Level-Firewall handelt. Dabei werden nicht nur die Herkünfte der Verbindungen analysiert, sondern auch der Paketinhalt. Und hier reagiert dieser anscheinend empfindlich auf die Zeichenkette "fetch ".

    Zitat Zitat von http://www.heise.de/security/artikel/69070
    Die Apache-Firewall
    Web-Server mit mod_security absichern

    Eine Application-Level-Firewall wie mod_security für den weit verbreiteten Webserver Apache braucht sich nicht mit einzelnen TCP-Paketen herumzuplagen. Sie integriert sich vollständig in die zu schützende Applikation und versteht dadurch auch die Einzelheiten des verwendeten HTTP-Protokolls.

    Die wesentliche Einschränkung von Paket-filternden Firewalls wie IPTables und der Windows-Firewall besteht darin, dass sie im Grunde nichts von den Nutzdaten in den Paketen verstehen, die sie verarbeiten. Für sie ist nur wichtig, welche Pakete zu welcher Netzwerkverbindung gehören, woher sie kommen und wohin sie gehen. Application-Level-Firewalls hingegen verstehen die verarbeiteten Protokolle und können so viel differenzierter beispielsweise auf den Inhalt von HTTP-Verbindungen reagieren als dies auf Paketebene möglich wäre.

    Die Probleme von Paketfiltern beginnen schon dabei, beispielsweise TCP-Pakete mit bekannten Exploits oder Webseiten mit schädlichen Links zu sperren. Zu suchende Muster befinden sich durch Fragmentierung nicht immer innerhalb eines einzelnen TCP-Paketes und die verwendeten Übertragungsprotokolle repräsentieren Daten häufig auch nicht in einem einheitlichen Format. Browser und Server würden den Deteipfad /docs/2.0/configuring.html zum Beispiel auch in der teilweise hexadezimal kodierten Form /%64o%63s/2%2E0/con%66igu%72ing%2Ehtml korrekt verarbeiten, was für die Erstellung von treffenden Suchmustern eine enorme Herausforderung darstellt. Entsprechend noch komplizierter wird die Angelegenheit bei der Erkennung von problematischen Inhalten in Variablenparametern in URLs oder gar POST-Anweisungen.

    Darüber hinaus lässt sich von einem reinen Paketfilter auch nicht zuverlässig bestimmen, ob es sich bei den vorbeikommenden Paketen tatsächlich um Daten einer HTTP-Verbindung handelt. Der Ansatz, eine solche Zuordnung nach Ports vorzunehmen, scheitert in der Regel schon an den vielen Ausnahmen. So werden zur Umgehung restriktiver Firewalls viele Dienste, wie Internet-Telefonie, Filesharing oder Instant-Messenger ebenfalls über den HTTP-Port 80 abgewickelt. Die immer weitere Verbreitung SSL-verschlüsselter Verbindungen tut ihr Übriges, Paketfilter vom Protokollverständnis auszuschließen.

    An diesem Punkt setzen Application-Level-Firewalls an. Wie der Name schon sagt, arbeiten sie nicht mehr wie Paketfilter auf der Netzwerk- und Transportschicht des OSI-Modells, sondern auf der Applikationsebene, über die die jeweiligen Anwendungen (in obigem Beispiel Browser und WWW-Server) miteinander kommunizieren. Hieraus leitet sich für diese Technik auch die alternative Bezeichnung Level-7-Filterung ab.

    Im Falle von HTTP lässt sich eine Filterung auf Protokollebene noch recht bequem als Proxy realisieren. Doch es liegt nahe, die notwendige Funktionalität direkt in die Applikationen selbst zu integrieren, um eine engere Verzahnung und größere Flexibilität zu erreichen.
    Quelle: heise Security - Know-how - Die Apache-Firewall

    Was es nicht alles gibt & grüsse,
    jeko
    Arbeit an der Sprache ist Arbeit am Gedanken.
    NoPaste / Format / Analyze / Crypt
    Ich bin ein Schwätzer.

Ähnliche Themen

  1. Formular -> Bildrefresh
    Von m0rf im Forum JavaScript
    Antworten: 1
    Letzter Beitrag: 04-03-2007, 09:57
  2. Formular senden -> Fehler 405 !?
    Von fd0311 im Forum Serverseitige Programmierung
    Antworten: 9
    Letzter Beitrag: 06-05-2006, 23:13
  3. Antworten: 0
    Letzter Beitrag: 03-04-2005, 22:22
  4. Formular -> Textfeld
    Von FileFX im Forum JavaScript
    Antworten: 4
    Letzter Beitrag: 03-07-2003, 16:10
  5. Antworten: 10
    Letzter Beitrag: 27-02-2003, 08:19

Lesezeichen

Berechtigungen

  • Neue Themen erstellen: Nein
  • Themen beantworten: Nein
  • Anhänge hochladen: Nein
  • Beiträge bearbeiten: Nein
  •