Про .htaccess

Discussion in 'Уязвимости' started by Shram-spb, 31 Jul 2007.

  1. Shram-spb

    Shram-spb Member

    Joined:
    6 Jun 2007
    Messages:
    64
    Likes Received:
    42
    Reputations:
    35
    Не знаю в какой раздел написать, наверное в этот :)

    А общем такая ситуация: есть папка, в ней подпапки..
    в коренной папке есть .htaccess, задающий basic auth на подпапки.
    как сделать, так, чтобы в одной из подпапок он не действовал, НЕ ИЗМЕНЯЯ оригинального .htaccess?
    Пока получилось только изменить пароль, путем создания в этой подпапке своего .htaccess..
    Как убрать его вообще?
     
  2. Rebz

    Rebz Banned

    Joined:
    8 Nov 2004
    Messages:
    4,052
    Likes Received:
    1,534
    Reputations:
    1,128
    мда.. как же это не изменяя оригинального .htaccess? в нем то ты и прописываешь правила для подпапок.
    Задать пустой пароль пробовал?
     
  3. Basurman

    Basurman Elder - Старейшина

    Joined:
    10 Nov 2006
    Messages:
    363
    Likes Received:
    271
    Reputations:
    29
    Вроде как был сниффер, который перехватывает basic auth... сам им не пользовался никогда.

    А добавить в .htpasswd юзверя еще одного?
     
  4. Helios

    Helios Elder - Старейшина

    Joined:
    14 Jan 2007
    Messages:
    414
    Likes Received:
    180
    Reputations:
    103
    положить в нужную паку .htaccess в текстом

    Code:
    allow from all
    
    Апач читает конфиги в глубь, начиная с document_root, таким образом последний конфиг переопределит все остальные
     
  5. Rebz

    Rebz Banned

    Joined:
    8 Nov 2004
    Messages:
    4,052
    Likes Received:
    1,534
    Reputations:
    1,128
    Кстати да. Неплохое решение. Попробуй.
     
  6. Shram-spb

    Shram-spb Member

    Joined:
    6 Jun 2007
    Messages:
    64
    Likes Received:
    42
    Reputations:
    35
    Пробовал.. не получается :(

    Кстати, он не переопределяет, а добавляем конфиг..
    Переопределяет только одинаковые параметры..
    А так просто к Basic Auth добавляется allow from all, и все равно остается Basic Auth, т.к. у нее приоритет выше :)
     
    #6 Shram-spb, 31 Jul 2007
    Last edited: 31 Jul 2007
  7. Shram-spb

    Shram-spb Member

    Joined:
    6 Jun 2007
    Messages:
    64
    Likes Received:
    42
    Reputations:
    35
    Хм.. а как выглядит DES пустого пароля? Че-то ничем не могу закодировать.. %)
     
  8. ENFIX

    ENFIX Elder - Старейшина

    Joined:
    6 Jun 2006
    Messages:
    175
    Likes Received:
    122
    Reputations:
    75
    ..X8NBuQ4l6uQ
    такой вроде)
     
  9. groundhog

    groundhog Elder - Старейшина

    Joined:
    12 May 2007
    Messages:
    1,159
    Likes Received:
    425
    Reputations:
    180
    Если каталог верхнего уровня уже ограничен в доступе через Basic авторизацию, то во вложенных каталогах ты это никак не уберёшь... Только можешь влиять на вводимые логин/пароль и нахождение базы авторизации. Как альтернатива попробуй пользоваться не модулем mod_auth а mod_auth_anon. Вроде он помимо авторизованного доступа позволяет задавать правила для гостевого доступа.
     
    #9 groundhog, 31 Jul 2007
    Last edited: 31 Jul 2007
  10. Alexsize

    Alexsize Fail

    Joined:
    17 Sep 2005
    Messages:
    1,771
    Likes Received:
    1,221
    Reputations:
    704
    Ты сказл, что не получаеться? А должно. Ты просто что то не так сделал. У меня все получалось=)
     
  11. darky

    darky ♠ ♦ ♣ ♥

    Joined:
    18 May 2006
    Messages:
    1,773
    Likes Received:
    825
    Reputations:
    1,418
    Выполняться будет тот .htaccess который находится как можно ближе к рутовой дире

    не изменяя оригинального ты ничего не сделаешь, как я скаазал - он выполняится по любому. Единственное . да - можешь добавить в htpasswd другого юзверя
     
  12. Basurman

    Basurman Elder - Старейшина

    Joined:
    10 Nov 2006
    Messages:
    363
    Likes Received:
    271
    Reputations:
    29
    .htpasswd правда может лежать вне www (по крайней мере я так делаю).
    И зачем тебе в DES туда шифровать? MD5 хватит