Webové servery na Windows 2000 v ohrožení

cituji ze serveru http://www.cdr.cz/a/novinky

"Pokud nainstalujete tuto opravu na server, který má jednu z dvanácti záplat pro Windows 2000, které distribuovala Product Support Services (PSS) od Microsoftu mezi prosincem 2001 a únorem 2002, již nenabootujete (objeví se hláška Stop 0x00000071). To se vám může stát pouze v případě, že ještě nemáte Windows 2000 SP3. Více detailů i s informacemi jak oživit takový systém najdete v MS Security Bulletinu MS03-007.

Na vině je nekompatibilní verze souboru ntoskrnl.exe, který je standardně uložen v adresáří „C:\WINNT\SYSTEM32\“. Podíváte-li se na verzi tohoto souboru (pravé tlačítlo a vybrat Vlastnosti a následně záložku Verze), tak nekompatibilní jsou od 5.0.2195.4797 do 5.0.2195.4928 a to včetně. Zjistíte-li přítomnost této verze a potřebujete opravit IIS 5.0 (tj. využíváte WebDAV), pak byste si u PSS měli říct o speciální opravu, nebo nainstalujte SP3."

tim se vsechno vysvetluje...

Týká se to pouze Service Pack 2 a ještě pouze těch co získali opravy přes službu Product Support and services. pokud dnes někdo aplikuje aktuální záplaty a nemá Service Pack 3, tak je s prominutím hodně mimo. i z těch, co jsou takto mimo se to pak týká jen omezeného procenta kvůli jinému kanálu pro záplaty (kdo ví jestli to skutečně někdo zažil). proto jsme o tom ani nepsali.

zdravím všechny... nechci se mýlit, ale valná část této diskuze se zaobírala jen rozebíráním nejednoznačnosti některých tvrzení... je těžké (a v tomto případě myslím i nesprávné) vyřknout jedno univerzální tvrzení typu IIS je špatný / Apache je špatný... to je něco podobného jako když někdo řekne: "OpenBSD je bezpečný systém"... OpenBSD je opravdu bezpečný systém, ale pouze tehdy, když do něj neistalujete nic víc než Open SSH... ostatní součásti (třeba SSH 1) jsou díry do sytému... mně osobně je sympatičtější Apache než IIS (mám podobné zkušenosti jako PH)... ale v žádném případě bych neoznačoval za slaboduchého toho člověka, který si myslí opak (je přece svoboda názoru)... obecně lze říci, že když je admin lamer, tak může být systém sebebezpečnější a nebude to nic platné, takže do hodnocení bezpečnosti se musí započítat i (nebo možná hlavně) lidský faktor... možná by diskuzi pomohlo, kdybyste se nejprve dohodli, jestli chcete dojít ke koncensu a jestliže ano, tak formulovat jen rozumnější tvrzení a ne flamewar... vzhůru ke konstruktivní diskuzi...

Kdo potrebuje stabilni system a nehacknutelny, nepouziva zadny IIS ani Apache. udela si to jako treba google.com (tj. pouze hardware). btw: Jestli si z vas nekdo mysli, ze kdyz si na server nainstaluje IIS,Apache + SP, opravy atd..  a bude to bezpecne, tak to at se de radsi zakopat. To se da jednoduse parfrazovat se sexem aneb cim vice tim lepe .... Jinymi slovy, kdyz si zabezpecite ve stylu napr. ceske e-banky ci zahranicnich serveru, je jasne, ze nikdo se k vam jen tak nedostane(ale pravda, kdo na to ma ). Ostatne nemel byste nejaky link na hacknute stranky hmmm..... treba msdn.microsoft.com ? Ja pohybuji zda vubec nejaky utok byl a to bezi na Windows 2003.NET Server a IIS 6.0 .

To same s RedCode, kdyz je nekdo blbej, tak je proste blbej a nepochopi, ze musi min. kazdy tyden updateovat system(hmm radsi denne) a odbirat security bulletiony. A to plati jak pro Apache a IIS. Je smutne, kdyz chteji zalovat Microsoft za to, ze vetsina administratoru nevi, co znamena slovo "updateovat" a dobre jim tak :) maji si na tom nechat vice zalezet a vymyslet nejaky uplne jiny programovaci model, ktery by omezil lidsky faktor chyby v kodu na 0% !.

Konecne rozumny prispevek

hm, k tomu není moc co dodat... snad jen, dívejme se na to s humorem: kdyby verze X.Y neobsahovala žádné chyby, tak z čeho by pak vycházela verze X.Y+1?

mozno sa mylim, ale ked porovnavam scenare bezpecnostnych problemov IIS a Apache (resp. obecne MS produktov verzus Opensource), tak sa mi zda, ze pri IIS problemoch najskor niekto odhali problem, na svet sa dostane exploit a potom pride riesenie.
Kdezto pri Apache (a openssl, sendmail a podobne) sa najskor urobil velke halo, ze v tom softe je diera .. clovek si stiahne patch, prekompiluje a zase sa moze venovat niecomu inemu.
V par clankoch hore ludia spominali vyssiu mieru integracie IIS a MSSQL s Windows .. ale to ma aj druhu stranku. Vyssia miera integracie (priam by som povedal ze prerastenost tych systemov) znamena na druhu stranu niziu modularitu a oddelitelnost .. niekto to nazve tak, niekto inak.

Nemam skusenosti s "velkymi" web a intranet servermi .. ale iba s malou firmou. Ale pokial robim napr. Freebsd server, ktory sluzi ako postovy server, intranetovy web server, je tam webmail, samba, squid, zabezpecuje routovanie, je tam firewall, DNS server .. jeden alebo viac demonov na preklad adries .. sql server pre webove aplikacie ..co ja viem, LDAP databaza .. a par podobnych drobnosti, tak cely ten system bude fungovat. A ked to chcem upgradovat, tak jednotlive komponenty su samostatne (upgradnem squid a nezacne mi padat sendmail alebo apache). A ked to clovek potrebuje preklopit na novy server (upgradovat samotny OS), tak nainstaluje novy server, aplikacie, a vecsinu konfiguracie uplne sprosto prekopiruje vo forme textovych suborov.

Tototo mi nejak vo Windowsoch chyba. Modularita. Moznost pridavat/uberat komponenty a nestratit kontrolu nad vecou.

Verim, ze odbornik dokaze vyladit a zabezpecit vysokovykonny web server WIN+IIS na nejakej multiprocesorovej brutalite .. ale skor by som potreboval maly server, pre par uzivatelov, kde by bezali vsetky nainstalovane programy a neovplyvnovali sa.

Alebo iny priklad: upgradujem Apache, a bezi mi tam zaroven stara verzia (port 80) a nova verzia (port 81) .. a ked som spokojny s novou verziou, tak zastavim stareho a spustim noveho .. a system je mimo prevadzky tak 5 sekund. To iste ked upgradujem php alebo iny komponent.

Kdezto s windowsami (NT4.0 server, Exchange 5.0 a 5.5, MSSQL) sme mali tu skusenost, ze to fungovalo iba ked sa to nainstalovalo (najlepsie kazdy produkt zvlast - Exchange + MSSQL na jednom stroji moc neslo .. kazdy zozral kolko pamate mohol)  a potom sa toho NIKTO NECHYTAL ! Kym to bezalo, bolo dobre. Ked sa vyskytol problem, prehladal sa Technet, ak sa nieco naslo, vyskusalo .. pripadne sa cez to hodil service pack .. ale nikto nevedel dopredu povedat, co ten service pack spravi .. takze pre istotu sa ten server zalohoval pomocou Ghosta (image celej partition).. aby v pripade potreby sa to dalo obnovit. Migraciu z Exchange 5.0 na 5.5 som nejak moc nezvladol ..takze som to radsej cele rucne vytvoril a uzivatelske konta premigroval cez PST subory.
Ok, poviete si, ze amater .. no dobre, tak som - ale napriek tomu dokazem spravovat zopar unixovych serverov .. s ktorymi taketo problemy nemam. Cize TCO (total cost of ownership, ci ako sa ta pekna kategoria vola) je nizsia, ako keby mala firma zvlast zamestnavat (alebo prenajimat) nejakeho spickoveho odbornika, tak sa nam to pekne predrazi. Zasahy do unixov zatial vykonavam iba v dvoch pripadoch: 1.- treba nieco zmenit (vylepsit)  2.- treba nieco opatchovat

Alebo si predstavte jednu kancelariu, kde su 3-4 tetusky a ich server je Pentium 120 +128MB RAM, so zrkadlenymi diskami .. sluzi ako file server, dialup server na internet, proxy server .. pripadne tam moze byt nainstalovany antivirak (NOD) .. DNS.. a vsetko chodi a bude chodit, ak kym neodidu disky alebo napajaci zdroj. Raz sa to spravi a funguje .. kdezto mali sme znamych kde podobnu funkciu robil podstatne nadupanejsi stroj s Windows a niekedy bolo treba restartovat system, lebo prestal fungovat dialup .. a rozbehol sa az po restarte .. alebo Exchange po par desiatkach dni si povedal, ze uz dalej nejde .. a podobne.

A navyse, zakial co Windowsak musi svoje znalosti velmi rychlo NAHRADZAT novymi, tak opensource softver sa tak nejak pomaly VYVIJA, takze k znalostiam treba iba PRIDAVAT. Ked viem, ako sa konfigurovala samba a sendmail pred 4 rokmi, tak odvtedy pribudlo par novych crt .. ale inak vsetko po starom..

Berte to prosim iba ako nazor, ktory nechcem nikomu vnucovat ..ale kym si druha strana bude n-ty krat preinstalovavat server, tak ja si idem oddychnut.

Myslim, ze to nema cenu komentovat. Prominte, ale vy vlastne parazitujete na praci jinych, jak jsem pochopil  Vy si OS nekupujete, ani nikam neprispivate, jen proste vyuzivate snahy a dotaci jinych.

Co se tyka bezpecnosti a stability unix systemu, tak tady mate seznam exploitu, co jsou pro linux/unix systemy:

http://www.palisadesys.com/~ghelmer/unixsecurity/unix_vuln.html

Rozhodne nezavidim Vam jako linux adminu

Dakujem za linku, pozrel som si, nenasiel som tam nic vzrusujuce .. bud to je davno opatchovane alebo sa ma to netyka.

Akurat nerozumiem to s tym parazitovanim. Pokial viem, ked si stiahnem a nainstalujem a rozbeham lubovolny opensource pod GPL alebo inou licenciou .. tak to nie je parazitovanie, ale pouzivanie. Na to ten soft je. Aby ho ludia pouzivali. A pokial mi ten soft vyhovuje, nemam dovod ho menit. (nie ze by som mal na to aj znalosti :-]

Takze doteraz som "prispel" iba par drobnostami ohladne sendmailu (akurat to co som hlasil nebol bug ale vraj feature , amavisd (a zistil som, ze v aktualnom CVS je chyba co som nasiel uz opravena ..) a tak.

"Vy si OS nekupujete" - zistil som, ze server mi pojde LEPSIE ked si ho nekupim v microsofte, ale STIAHNEM z www.freebsd.org a nainstalujem. Co je na tom zle?

Momentalne nemam dost znalosti (ani casu) na to, aby som aktivne prispieval do nejakeho opensource projektu. Ale presviedcam okolie, ze najlepsie veci nie su vzdy za tazke peniaze . A ze drahy komercny soft este nie je zaruka spokojnosti. A uz som preinstaloval niekolko Windows serverov na FreeBSD .. a nainstaloval niekolko novych .. takze mozno som znizil mnozstvo nelegalneho softveru na slovensku!

Ten zoznam bezpecnostnych problemov je sice dlhy, ale vacsinou sa tykaju iba konkretnej konfiguracie systemu..

Tak to je super, ze jste takovy vzorny admin. Mnoho adminu na svoji praci kasle a pak se divi, ze je zaskoci nejaky cerv

S tim parazitovanim jsem to myslel tak, ze ja osobne nemam rad koncept OSS. Vite, vadi mi, ze v OSS nemusite davat protihodnotu za neco, co pouzivate. Nic proti tomu, kdyby clovek byl perpetummobile, tak nemusime prezivat. Ale preci jen je ten zivot tvrdsi a je nutne si nechat platit za to, co delate (rekl bych, ze ani vy nedelate admina jen tak).

A co se tyka toho, aby soft byl drahy, tak to je relativni. Vite, vyvoj OS je hodne nakladna zalezitost. A pochopitelne to nekdo mlusi platit. A zel v OSS muzete zatim jen videt, ze ty projekty jsou dotovane prave temi firmami, co sami maji uzavreny kod. Puvodne, kdyz vznikal free soft, tak se vedli diskuze, ze je to vhodne jen pro akademickou sferu a ze OSS nema co lezt do komerce. Ale pozdeji se z toho stalo to, ze OSS stal politickym nastrojem proti MS a k tomu se pouziva dneska. Puvodni skvela myslenka na predavani znalosti se presunulo v tom, ze OSS projekty jsou nyni jen k tomu, ze maji upoutat na nekoho pozornost nebo byt pouzite jako dumping pri prosazovani nejaky dalsich cilu.

Napr. pokud byste prispival do OSS, tak to budete delat ve sve pracovni dobe? Nebo ve svem volnu, pravidelne a regulerne dodrzovat timing projektu atd?

Vite, nic proti Linuxu, ale jak muzete videt, linuxove firmy sotva prezivaji. Ja osobne si toto nepreji a i kdyz jsem zastancem MS, tak preji i linuxu uspech a stejne i tem lidem okolo, aby nemuseli zebrat. Zatim ale mohou jen prosit o almuzny velkych firem, co je dotuji. Jak jsem jiz napsal, model OSS neni spravny a ani udrzitelny bez dotaci.

Chtel bych neco poznamenat o tom "spatnem" konceptu OSS. Dle meho nazoru platite za OSS trochu jinou formou a tou je cas. Jestlize se ted rozhodnu prejit na Linux, musim pocitat s tim, ze se budu ucit spoustu novych veci. Linux si mohu vylepsovat az do idealni formy (a to zcela zdarma), ale pokud nemam obetaveho kamarada, tak se jenom ucim a zkousim.

Ted si zkusme predstavit, ze vetsina potrebnych programu je zdarma a jsou velmi dobre ovladatelne a nastavitelne. Zanikne soukromy sektor? Podle mne ne. Vzdy se objevi problem, ktery nikdo z OSS sektoru neresi ve svem volnem case a pokud ano, pak nemusi jeho reseni dosahnout pozadovane efektivity ci formy.

A ted extrem. Uplne vsechny pozadovane programy jsou udelane a dostupne zdarma. Znamena to konec soukromeho sektoru? Podle mne ne. Budou se platit lide, kteri se v technologiich vyznaji, kteri na konkretni pozadavek najdou optimalni produkt. Nekdo Vas to bude muset naucit, cili placene kurzy atd. Vidim paralelu se soucasnym stavem: vymysli se XML, lide kteri na to maji cas se to uci sami, ostatni si zaplati kurz, koupi literaturu, pripadne zaplati dodavatelskou firmu, ktera se o to postara. Presto mohu tvrdit, ze XML je dostupne vsem, protoze za jeho pouzivani nic neplatim a jeho specifikaci si mohu precist na W3.org.

Model OSS z velké části je spíše o obecné prospěšnosti než o komerci. Z tohoto pohledu se mi jeví jako velice zajímavý i když nesmí se to přehánět stejně jako všechno. Nicméně vytváři nějaký trh a z tohoto trhu dokáži firmy žít.

Parazitování bych v něm neviděl. Firmy, které z něj žijí se snaží do něj zase investovat, a i firmy typu IBM, které mají hromady proprietálního software překvapivě začínají přispívat Open Source kódem. Možná, že by Vás překvapilo kdo všecchno vlastěn Open Source produkuje.

Pokud jde o boj s Microsoftem tak tam je to opravdu ideologická otázka. Microsoft je přímým ztělesněním opaku ideálu Open Source. Mě například Microsoft rozhodně nesedí i když v poslední době ubylo něco technických námitek vůči jeich produktům, prakticky zůstalo vše zásadní a to způsob jakým Microsoft ničí ä degeneruje trh v IT a brzdí inovace, sodporem sleduji FUD praktiky Microsoftu, kterých je plná jeho historie, hry s valoware, které ničí konkurenci bez jakéhokoliv přímého efektu pro zákazníka, který je jen nucen čekat na Microsoft atd.

I ta myšlenka s tím žebráním je zajímavá, povídejte to firmám které zanikly díky FUD a vapoware Microsoftu, povídejte to firmám jimž konkurenční produkty byly začleněny do operačního systému.  Domnívám se že Linuxové firmy jsou s tím "žebráním" stabilnější než ty, které dělají něco co Microsoft začne považovat za strategické, ale ono to není žebrání. Tahle rétorika je možná zbytečná, jsou úspěšné firmy a jsou neúspěšné firmy. I v Linuxu jsou úspěšné firmy. Bylo by diivné pokud by tam ybyl jen a pouze ty úspěšné. To by byla asi nějaká opravdu zvláštní výjimka.  

: ... naopak IIS patri mezi jedny z nejlepsi produktu, co MS ma ...

Bud blouznite nebo ten IIS prodavate. Vzdyt i Gartner ho doporucil nahradit necim bezpecnejsim, viz napr. http://news.com.com/2100-1001-273461.html.

Vidim, ze se zde muj prispevek objevil dvakrat, ackoliv jsem ho odeslal jej jednou (Konqueror 3.1.0, KDE 3.1.0, SuSE Linux 8.1). Ocividne jde o bug. Tento prispevek posilam z Mozilly 1.3.

Ze by MS dvoj-dvoj-dvoj-dvoj-klik?

Nevim, co si autor predstavuje pod kolovanim kodu na zneuziti chyby, ale pokud ja vim, ty kody ma v rukach par lidi, pravdepodobne i par hackeru..

Nicmene na internetu nic nekoluje Pokud byl myslen web, tak na nejznamejsich hackerskych portalech zadne exploity ke stazeni nejsou a nelze nalezt ani presny popis chyby. Ja si tipuji, ze se to zverejni za 2 tydny.

Pokud nekdo nahodou nejaky exploit objevi, sem s nim, budu se fakt divit... Staci i presny popis chyby. Nicmene jedine co zatim na internetu je je exploit na WebDav utokem DoS, coz jak sami jiste uznate se neda srovnavat s maximalnimi pravy

Souhlas. Není co dodat. Třeba nám autor zveřejní i ten kód

Kolik potřebujete zdrojů dostupnosti, abyste tuto chybu považoval za závažnou? jeden, dva, více? chyba je závažná už při nulové dostupnosti exploitů, sám říkáte, že kódy venku jsou, takže myslím, že diskuze o počtu zdrojů je jen čistě akademická.

Postaci mi jeden verejne dostupny zdroj dostupnosti

Navic nerekl jsem, ze kody venku jsou, ale ze je ma par lidi, tzn. vsechny bezpectnostni organizace a co ja vim (podle infa, ze uz tento utok byl zneuzit na nektere servery) i par elitnich hackeru.

Nicmene mi postaci, kdyz napriklad bude neco o kodech na adrese neworder.box.sk nebo trebas na Security Focus.

Ani v diskuznich skupinach nelze nalezt popis teto chyby, takze myslim ze zvesti o tom, ze tu kod koluje jsou liche...

Uz sa popisalo o tonach bugov vo win a produktov M$pozitiv, stale sa najde niekto kto si na tom urobi server. Nexistuje lepsia cesta ako padnut na hubu a rozhodnut sa pre *NIX riesenie. Casom mozno na to mozno pridu aj ti najvacsi amateri...

Hmm, mám na starosti servery á la MS i Linux (a kdysi jsem měl i jeden *NIX, ale bylo to moc drahé, tak se nechal vyhnít). Nutnost sledování bugů je skoro stejná na obou systémech, záleží na období. To, že se více píše o MS nevypovídá nic o tom, jaký je poměr chyb. Jestě stále se předpokládá, že Linux používají profíci, kteří nepotřebují články třeba na Živě a MS kromě profíků  i nadšení BFU, kterým možná ani článek na Živě nepomůže.

BTW: Kdo provozuje web na Windoze + Apache z jiných, než experimentálních nebo ladících důvodů, je blázen. Ostatně si stačí přečíst vyjádření autorů Apache.

Tym *NIX som myslel vsetky unix-y(urcite lepsia lepsia volba ako win, mal som sa moznost o tom x krat presvedcit), samozrejme hlavne linux+apache+mysql, ktory pouzivam na web serveri...

Neni lepsi mit Apache nainstalovaneho na UNIX-like ?? ( WIN jenom na to aby bezeli spolknou 60 procent vykonu HW.. Pak se Vas nebude tykat 99 procent objevenych bezpecnostnich der... a nikdo vam nebude tvrdit, ze za pouzivani softu, ktery byl draze zaplacen, vyrobce nenese odpovednost..

Ano ano, dekujeme za podnetny  a obsahove hodnotny prispevek, ktery plne koresponduje s tematem clanku, tedy OS Windows2k a serverem IIS. Dekuji za vsechny ty, kteri se po precteni Tve moudre a nescestne informace, citi byt obohaceni o relevantni informaci, kterou se snazili ziskat pri otevreni diskuze na zminene tema. Opravdu jsi nam vsem pomohl. Jeste jednou dekujeme.

Mám nainstalovaný na winsech Apache a jsem s pokojený, takže se mě netýkají problémy s IIS

TO se Vas netykaji, ale nejen, ze vykon Apache je na 30% IIS (viz. srovnani vykonu IIS, Zeus, Apache atd. na , ale jsou zde i stejne bezpecnostni problemy:

napr:

http://linux.oreillynet.com/pub/a/linux/2002/10/07/insecurities.html

http://www.linuxsecurity.com/advisories/other_advisory-2414.html (hlavne crosssite scripting atd.).

http://www.nwfusion.com/newsletters/bug/2002/01628303.html

Rozdil je, ze pro casopisy je popularni se vozit po MS kdyz je nejaky problem, dela to flameware a ke vsemu maji hodne uzivatelu. U jinych systemu to neni tak ctenarsky zajimave. Je to vsechno nekorektni jednani a naopak IIS patri mezi jedny z nejlepsi produktu, co MS ma a to nerikam kvuli obhajobe, ale proto, ze snad by lidi konecne mohli zacit uvazovat profesionalne a ne takhle manipulacne jen kvuli mediim, co nas v dusledku zneuzivaji pro svuj prospech.

Boze - to je blabol...
Samozrejme je nejlepsi mit Apache na UNIX/Linux systemu. I presto je i na Windows radove bezpecnejsi. Co se tyce vykonu, je zhruba srovnatelny s IIS - samozrejme zalezi na tom, jake verze porovnavame, za jakych podminek a jak testy zmanipulujeme, ze.... Na to jsou MS pozitivni mistri...

Ja jsem uvedl jasne odkazy, tak co to tady placate?

A porad jenom reci o manipulacich apod. Co je to za paranoiu? Ja jsem uvedl nejaka fakta, ale vy jste tu jen napsal omacku blabolu. Apache ma uvadeno mnohem vice bugfixu a der, nez IIS, take jsou na to statistiky (ano, opet tu zapracuje paranoia a bude neco kecat o zmanipulovani, ale tyhle udaje uvadeji samotne linuxove firmy a apache org.).

Jinak test, kde je videt, jak je IIS nesrovnatelne vykonnejsi mate tady (ano, vy zase bude neco placat o manipulaci, jak jinak, paranoidni cvoku):
http://www.pcmag.com/article2/0,4149,84181,00.asp
 
Jen k tomu testu, ten vykon je lepsi proto, ze pouze IIS je takto integrovan s kernelem, vlastne jej obchazi, diky cemuz musi mit vzdy lepsi vykon nez soft postaveny na hornich vrstvach, jako je to Apache klidne i na Linuxu (ale ja vim, vy tu zase budete pindat o manipulaci, jasne jasne, za vsechno muze ms, patrne i ta bouracka co jsem dneska videl byla vinou billa, on to vsechno ridi a je to tajny guru, co manipuluje telepaticky s lidmi, ze ano).

A doplnek. To CGI tam ma pomaly vykon proto, ze MS uz asi 5 let tuhle technologii nerozviji, takze spise by se hodilo srovani ASP.NET, PHP, JSP apod. CGI jsou v IIS uz jen z historickych duvodu.

Pokud usuzujete na kvalitu serveru jen dle výkonu tak to je opravdu těžké. Apache kdyby nic jiného je schopno běžet na v řádech výkonějším hardware. Integrace s jádrem je super, ale nepřijde Vám to poněkud riskantní? Tedy když pominuto to, že kombinace Linux Kernel+kttpd+Apache je také možná, jen bych řekl, že ji téměř nikdo nepoužívá jelikož se hodí hlavně do testů.

Já naprosto šílím když vidím architekturu IIS a její integraci s OS, přijde mi to jako hodně hloupý nápad. Konečně když se podívám na ten test co uvádíte tak je to takový test netest, ˇpřijde mi, že do testu je zahrnut i OS, pokud bych testoval statické stránky pak je blbost do testu nezahrnout khttpd apod.

Další věcí je škalovatelnost na více procesorech (např. 1,2,4,8,16,32,64,128) kde si nejsem jist kdo by by byl vítězem, něco mi říká, že iPlanet jelikož vím, že Apache s tím měl jisté potíže, které se musely řešit jistým addon věcmi k němu. 

To snad neni pravda. Kdyz neni mozne napadnou manipulaci s daty, tak se oprou odpurci do vykonu, kdyz nejde napadnou vykon, opre se do nejake pofiderni diskuze nad tim, jesti je to dobre to takhle postavit.

A nechtel byste nahodou prenaset ty pakety v upraveny krabickach, hezky spravne formatovanych a pekne zabalenych a zabezpeceny? To by pak byl design aplikace ;)

A ad iPlanet Vam muzu potvrdit, ze by to URCITE nebyl! Delal jsem s nim od jeho vzniku, co ho jeste meli Netscape a takovy sunt jsem nevidel. Je pravda, ze sice od 7micky je upravena ta KVM, ale i tak je to desne s ohledem na praci s heap. Takze to zase jen blafujete. Proc nedokazete uznat, ze proste IIS je lepsi? Co se stane? Polozi se vase nabozenska vira?

TO nema cenu resit, na ne se vykasli  Asi i kdyby videli TCP-C testy, kde MSSQL server jasne vede v poctu absolutnich transakci (a novy yukon pravdepodobne ziska prvenstvi ve vsem, tedy nejen v clustrovanych serverech), tak by zase rikali, ze ten test je stary, ze uz to podle nej nejde delat, ze si ho ms upravil atd  To jsou argumenty linuxaku Proste jen fanatikove, tak to ber a nebav se s nima

Zcela souhlasim. Prijde mi, ze prave tihle lide jsou vic nebezpecni nez MS, ptz jsou fanaticky. Neuznaji NIC co je dobreho od jine firmy, co se jim aktualne nelibi. Pamatuji se, jak jsem s jednim vedl diskuzi o tom, ze Sun je spatny, ze vydelava penize :))) Ted, kdyz Sun dela neco s OSS (a kdyz krachuje :)))) ) tak je najednou zase dobry. Asi Linuxakum se libi krachujici firmy :))))))))))))))))))) Jinak s tim yukonem to je pravda. Ceka se, ze ted MS ziska vsechna prvenstvi v TPC-C. Kazdopadne tech 700k co maji ted je dooost slusny vejvar ;) 

Pánové, zmírněme flamewar:

1. Chci vidět testy, které budou zahrnovat:

   a, meziplatformní rozdíly

   b, plynulost škálování dle dostupného výkonu a počtu CPU (od 1 do alepon 64, od PC k IBM zSeries)

   c, optimalizace vazané na platformu (tj. IIS+W2K, Linux+khttpd+Apache

   d, srovnatelné testování dynamických aplikací i statických stránek

2. Pokud jde o bezpečnost:

   a, chci vidět počet chyb rozložených do času s rozdelením dle:

     - možno získat práva administrátora

     - možno získat práva lokálního uživatele

     - DoS útok

   b, chtěl bych vidět dobu za níž jsou dostupné záplaty, je možné zprůměrovat u chyb stejné skupiny

Ostatní věci se již velice špatně hodnotí, třeba kam zahrnout takové věci jako je možnost běhu více verzí na jednoms serveru, rozšiřující funkcionality jako mod_proxy apod. Takže o tom zatím nemluvme.

Pokud pro Vás představuje problém tyto data získat a dát je sem, pak se prosím zamyslete nad významemem slova fanatik. Já říkám, že vycházíte z neúplných tendenčně zpracovaných dat, v lepším případě pouze jednostraně zaměřených testů. Přidávám, že komplexní zhodnocení je hodně těžké a i proto Vám kladu otázky jak je kladu. Vy jste ten kdo si je jist.  Tedy směle do toho.

Ta poznámka o SUNu mi přijde totálně mimo, nemám chuť rozpoutávat další větev flamewar, pokud neumíte udržet směr tak nediskutujte. Chovejte se profesionálně. To, že umíte napsat slova jako TPC-C z váš ještě znalce nedělá. IPlanet byl můj tip a nepřekvapilo by mě pokud bych se právě v tomto mýlil, vaše reakce jsou ale zajímavě tendenční, v podstatě stále trváte na svém, vůbec nereagujete na obsah sdělení reakce, typické vedení flamewar.  Zamyslete se nad tím.

PS. POstačí když mi pošlete odkaz na tabulku v excelu kde tyto data budou.

Ok, tohle beru jako fer vyzku a rusim flameware. Ten soupis tech podminek je korektni a bylo by vhodne takovy test udelat. Ja sam jiz na takovem prehledu pracuji, ale bylo by vhodne to udelat ve vice lidech. Kazdopadne na netu se daji vystopovat data, kdy doslo kde a jak k rpuniku, co byl duvod a zavaznost takoveho pruniku a rychlost reakce firmy.

Proto jsem psal co jsem psal, ptz vetsinou jde o dojmy ne o fakta. Kazdopadne takovyto test budu pokladat za solidni a snad i tento, co se pripravuje, bude publikovan. Nejde mi o obhajobu MS (oni si ji mohou udelat sami), ale o skutecny pohled na fakta. Ten soupis mi pripomel neco, ceho bych si mel jeste vsimnout, tak diky za poznamku ;) A sorry za sun, mam je rad, ale byla to flameware, tak jsme se museli trochu kockovat ;)

ja by som postavil otazku takto.... postavte za $20,000 (hw + licencie za sw + priemerna cena z mojich poznatkov) vykonny web server a porovnajme ich navzajom. ja tvrdim, ze takto najlepsie porovnate vykonnost  stavat na abstraktnych testoch z 32 nodovych clustrov je nezmysel

ja navrhujem 2 procesorovy intel server ibm xseries, za ~10,000 USD, oradb se ~5000, rh lin es ~800, pre mna za instalaciu a rozbehanie 4200

puk

Proc specifikujete sw? To preci je prave chyba. Ma se to udelat jako TPC-C. Urcit procesni podminky a sw nechat na dodavateli. Napr. kdyz budete mit yukon + longhorn + IIS, tak nema prakticky nikdo sanci. Nejen, ze MSSQL server je primo ve fajlsystemu a tim nejsou prakticky uz zadne mezi operace mezi zelezem a OS, ale je jeste primo spojen s IIS. Pak uz jste prakticky jen omezen vykonem zeleza, nicim jinym. Kdyz tam date Ora na Win, tak je tam horsi integrace. Ale osobne by me zajimalo oboji, tedy IIS + MSSQL a IIS + Ora.

to bol moj navrh. kazdy si moze navrhnut svoj, ale hlavne nech je cena do stanoveneho limitu. a taketo nieco potom mozeme porovnat.
realneho 95% zakaznika nezaujima ze tento a system by na ultra super clustri bezal rychlejsie ako iny system. dolezite je, co si za normalnu cenu moze kupit a co to dokaze. 20000 usd sa mi zda celkom normalna cena, to co som navrhol je iba priklad jedneho z moznych testovanych systemov.
problem takehoto testu ale je, ze v slovenskej realite sa asi tazko da uskutocnit mozno nejake zahranicne - americke test centrum by sa toho mohlo chytit

btw... odporucam pozriet si Oracle Server Appliances

mno myslim ,ze M zapomel zahrnout jeste polozku -velmi dulezitou -avaibility ,aby seznam byl kompletni - nicmene vsechny dnesni testy se delaji pomerne tendencne a neverim ,ze tva snaha udelat neco podobneho bude uspesna - hardware je prilis drahy - tech 20000$ je pomerne malo na komplexni test a zadny dodavatel ti to bohuxel nedovoli -  v dnesni agresivni dobe jde kazdemu o kazde %. a proto VZDY u techto testu se na nejaky ten parametr "pozapomene"- a neni to jen pripad MS

ohledne vykonu MSSQL - je pravda ,ze se dotycna databaze objevovala na prvnich mistech ,ale mezi malymi databazemi - t.j. do 100GB dat - a tuhle hranici prelezes pomerne rychle - hodi se to tak na databazi k malemu webu.

ohledne vykonu longhornu - az bude 2-3 roky v provozu ,tak se projevi jeho kvalita - jak to to znam ,tak se vetsi resseni zacinaji stavet na systemech ,ktere jsou minimalne 2 roky stabilni a uspesne - k tomu si pripocti tak 1 rok na implementaci a vyjde ti asi tak cas ,kdy je rozumne se bavit o kvalite systemu longhorn

ohledne hardware - pokud stavis reseni ,tak volba vhodneho hardware je soucasti reseni a nesmi byt oddelovano... -cily bude mit tak uzasny vykon ,jen dobre ,ale zatim moc neverim kvalite takoveho spojeni - ale mozna ,nicmene zatim MS je predevsim vyrobce kancelarskeho baliku ala word  - mereno podle vydelku - ostatni divize jsou vylozene ztratove ,nebo mirne zizkove

a ohledne viru a bezpecnostnich chyb ? nezesmesnuj se - MS ma nekolikanasobne mensi podil mezi web servry a presto na internetu na mem osobnim webu (apache) sleduji kolem 5-10 utoku denne IIS viru(kolisa to - v obdobi code red to bylo i vice) - a toje uzavreny web(prez autentif),bez jakekoliv umyslneho zvyditelnovani nawebu!!!!!!!!!(na vyhledavacich ho nenajdes...) a nebudu se ani zminovat o tom ,ze na apache neni ani jeden - ne opravdu to nebude tim ,ze uz by byl nabourany....

Apache kdyby nic jiného je schopno běžet na v řádech výkonějším hardware..

Hehe, když si tak čtu, že Apache končí u 32 současnejch requestů, zatímco IIS jich zvládne 5200+ v pohodě, tak mě napadá, jestli to neni z nouze ctnost....;o)

Napište zdroj kde to čtete. Rozhodně zvládne více současně probíhajících dotazů, to vidím i na serverech kolem sebe běžně.

Zkuste to trochu rozepsat co tím číslem myslíte.

Jinak i kdyby tomu tak bylo pak bych to třeba zSeries konfiguroval takto 20 000 logických particí, v každé Apache, celkový výkon pokud bych Vás vzal za slovo a těch 32 byla pravada je 640 000 . Ale 32 mi přijde opravdu jako divné číslo.

Kolega se asi prehledl. Je tam 32 useru na ten stess-test. Ale i tak je tam rozdil nekolik tisic requestu ve prospech IIS ;)

1. Takže to číslo znamená kolik requestu vygenerovalo 32 uživatelů (myšleno testovacích programů) zřejmě na statické stránky (otázka) za nějaký časový interval? Třeba sekundu? Stále mi to nedává smysl.

2. k zSeries: IIS na něm není schopen běžet a dalo by se tedy říci, že libovolný web server na takovém hardware bude výkonější než IIS na libovolně velkém serveru na němž je schopno běžet a to ve velkých násobcích.

Vazeny chytraku:
Nema cenu se s vami poustet do polemik, ale napiste sem, kdy byla naposled v Apache serveru nalezena bezpecnostni chyba takto fatalnich rozmeru jako nyni na IIS a kolikrat rocne (napr.) je treba u Apache takovy problem resit.... U IIS jiz snad patri k dobremu tonu takove chyby neustale zaplatovat.
S vami je polemika velmi tezka, pokud se opirate o tendencni mereni. Libovolne mereni lze zmanipulovat tak jak ja potrebuju - to uz byste snad mohl vedet, pokud se v IT nejaky rok pohybujete.
Jen jeden priklad z praxe (aby rec nestala) - na serverech v mem okoli, ktere maji to stesti a jede na nich Unix/Linux + Apache neni treba vyvijet prilis mnoho aktivity na jejich udrzeni v chodu (obcas nejaky ten FIX a clovek o serveru ani nevi)... Oproti tomu je smutny pohled na adminy, neustale zapasici s nejakymi zahadnymi problemy u IIS...opravdu jim nezavidim.

Vazeny hlupaku!

Poradim vam na vasi obecnou cancaci omacku jedine. Jdete na google, tam zadejte do toho okenka apache a treba vulnerabilities, bugs apod. a hledejte.

JInak mel jsem pravdu, uz je to tady!!! Uz nekdo zase mluvi o tendencnim mereni ;) :))) Dokud se to hodi do kramu, tak se o tom mluvi, ze ano, a kdyz nekdo rekne jiny vysledek testu, je to zmanipulovane :))) Nezklamal jsem se, je tu jeden blazinek, co zacal znovu tohle tvrdit, kdyz uz neni jiny argument :)))))

Taková metodika by ale šla použít i na důkaz existence UFO

V Apache jsou chyby, ve všem jsou chyby. A nyní objektivně:

1. Kolik

2. Jak závažné

3. Jak často a jak často ty závažné

4. Jak rychle vychází opravy

A nyní srovnejme

Uz to dal nekomentuju, je to o nicem tahle diskuze.

Jen se Podivejte, ze se take VELMI zavazne chyby objevuji i pro jine produkty, jen se o tom nemluvi. Napriklad ta posledni pro Tomcat je dost neprijemna (tohle, co ma IIS je proti tomu nic, ptz WebDAV si kazdy rozumny admin vypne).

http://www.cve.mitre.org/cgi-bin/cvekey.cgi?keyword=apache

hmm... akoze tato chyba ? :
"Jakarta Tomcat before 3.3.1a, when used with JDK 1.3.1 or earlier, allows remote attackers to list directories even with an index.html or other file present, or obtain unprocessed source code for a JSP file, via a URL containing a null character."

brr.. desive.. kto uz dnes vyvija tak, ze ma v JSP, resp.pristupnych adresaroch vobec nejaku aplikacnu logiku (o nejakej bezpecnosti, prihlasovani a pod. ani nehovoriac) ?? Kto pouziva Tomcat verzie 3.* v kritickom nasadeni bez ineho web servera (t.j. aj na staticke stranky) - (uz len z hladiska vykonnosti je to hlupost, 4-ka je radovo vykonnejsia..) ? a dokonca na starsej jdk ako 1.3.1 ? Ak taketo subjekty este existuju.., dobre im tak !
A co ma vlastne Tomcat spolocneho s web serverom Apache ? Ze je tiez pod Apache licenciou, to ma akoze co dokazovat ??

Existuji? To je preci vetsina enterprise klientu! Copak si myslite, ze budou instalovat kazde nove JDK? Kor kdyz 1.4 ma sama v sobe spoustu bugu? Nejste tak trochu mimo?

haha, Tomcat pred 3.3.1a na Sunovskej JDK 1.3.1 urcite nie je "vetsina enterprise klientu". Imho 99,99% instalacii tomcatu 3 je len na vyvoj a je celkom znama vec, ze 3-kova a prve 4-kove verzie, co sa mnozstva problemov a bugov za vela nestali...

Aha, tak se jdi blbecku podivat do bank, co tam je. Jdi do KB, sporky atd. Na vyvoj tam mas klido 1.4, ale beh je na 1.3.

Jen taková faktická poznámka: a co žeto má společného s apache (httpd) servrem?

moj zlaty, ty nemas ani paru, co to vlastne je Tomcat a co JDK, ze, priznaj sa ??

 Tak pro tu 4ku tady mate podobny exploit:

http://www.linuxsecurity.com/advisories/debian_advisory-2740.html

A mmx nepsal nic o linceci tomcatu. Mel na mysli to, ze je to mod do Apache a tedy vstupni dvere v ramci web serveru, tedy totez, co mohou zneuzivat cervove v IIS, tedy nejaky dalsi proces napojeny na IIS.  Chce to trochu premyslet a ne sem motat nejakou licenci 

Aha, takže pokud ten Tomcat poběží pod IIS tak je to chyba IIS . No jo,ale on Tomcat může běžet pod IIS, to se nám to nějak motá, což?

A co se mota na tom, co napsal kolega? Tam o chybe v IIS nebylo ani slovo? Co to tady placas? A pak tohle jsou klasicke hlavni chyby tech web serveru, pres ruzne pluginy, ktere je oteviraji. Ale je to jen v navaznosti na jejich definovane API, tedy Tomcat je tam jako ISAPI service a osobne spise v tomhle bych videl chybu v koncepci ISAPI a totez plati pro Apache.

Neni to prima chyba MS nebo Apache, ale je to koncepcni chyba. V tomto ohledu by melo existovat VM, ktere zde bude provadet kontrolu a nepovoli ISAPI pristup ke vsemu.

Tak tady neplacej kraviny.

Dokážeš si tak zhruba představit co je to ISAPI a VM a jak ty dvě věci by tak asi mohly jít dohromady? V podstatě tak jak to píšeš mi to nedává moc logický smysl. Existují sice koncepty, které do jisté míry vytváří jakási pevně vymezená rozhraní viz. Apache + FCGI, ale kombinace s VM ..... to je možná spíše neporozumění smyslu VM.

Nápad je to zajímavý a designově by to byla pěkná prasárna, která by ještě k tomu neúměrně zvedala složitost aplikace.

Nicméně paradoxem je, že konfigurovatelnost Apache a Unixu je tak velká, že by to zvládl zkušený administrátor udělat již nyní za předpokladu, že by se jednalo o aplikace využívající  FastCGI nebo nějakou obdobu FastCGI, kterých je vícero. To je co?

Část toho řešení bych dokázal dát dohromady dokonce i na Windows, ale bohužel ne celou takže by to nebylo funkční. Dokázal bych jen aplikaci oddělit od kontextu webserveru,a le již ne od OS. Podmínkou je podpora FastCGI. Možná existuje i cesta jak to udělat bez ní, ale to mě teď narychlo nenapadá.

Pro znalé jedná se o kombinaci Apache, fastcgi chroot, remote fast cgi apps přes loopback a nebylo by to použitelné u aplikací, které fungují jako filtr, alepoň u Apache 1.3 jsem si tím zcela jist, u Apache 2 nevím, ale spíše asi také ne (tedy bez zásahu do kódu).

aha, takze ak Tomcat dokaze fungovat ako mod do Apache a ma bug, tak je to vlastne bug Apache, hej ????? (to, ze rovnako moze bezat aj s IIS je asi vedlajsie, ze ?) Takze ak napr. bude mat bug Java runtime od Sunu, alebo iny plug-in do IE, tak je to vlastne tiez bezpecnostna diera Internet Exploreru ??
Ad exploit na Tomcat 4 - nejaky novsi nez z January 9th, 2002 by nebol ?
(aktualna stable v. je 4.1.18, t.j. pre nu to uz davno nie je aktualne..)

souvisi to s apache a iis neprimo. uz jsem to napsal vyse. jde o to, ze ten server by mel de facto fungovat jako vm a garantovat urcity beh operaci i s ohledem na pluginy. podobne by to bylo mozne i pro IE nebo jiny prohlizec a taky si to tak muzete nastavit. taky ani nahodou bych si nejaky ActiveX nebo plugin od Sunu nenainstaloval. ale to mohu orezat v nastaveni IE a je to jedno, nemusi uzivatele bezet pluginy, ale mohou se drzet jen ciste normy bez pouziti activexu. ale u web serveru musite mit prostredi na provadeni dynamickych stranek (to zandy ie nepotrebuje). proto zde by vm melo smysl. a souvisi to s koncepci serveru. i kdyz pripadna chyba je jineho tymu, ale to bude jedno, az se nekdo prolomi do kompu, jestli ten plugin delal franta nebo pepa. proto je nutne to hodnotit jako nedostatek v navrhu a to obou serveru.

a koukam, ze kdyz se pise o chybach produktu, co jsou z druhe strany, tak to se to porad tady omlouva, jako tim, ze to nic neni, nebo ze je to z jineho data atd. ani jeden z vas tu neuvedl zadny fakticky udaj! jen same plky o tom, ze tohle se nam nelibi, chceme dalsi udaje, a takhle formatovane atd atd. uz je to cista flameware, nema to dal cenu a klido si zijte s tim, co delate.

Tady to mate, Apache je na tom stejne ne-li hur jako IIS.

2003-03-11: 
OpenSSL SSLv2 Malformed Client Key Remote Buffer Overflow Vulnerability


 2003-03-06: 
Apache 2 WebDAV CGI POST Request Information Disclosure Vulnerability


 2003-03-06: 
Apache AB.C Web Benchmarking Buffer Overflow Vulnerability


 2003-03-06: 
Apache AB.C Web Benchmarking Read_Connection() Buffer Overflow Vulnerability


 2003-03-06: 
Apache Server Side Include Cross Site Scripting Vulnerability


 2003-03-06: 
Apache Web Server Scoreboard Memory Segment Overwriting SIGUSR1 Sending Vulnerability


 2003-02-25: 
Apache Web Server MIME Boundary Information Disclosure Vulnerability


 2003-02-25: 
Apache Web Server ETag Header Information Disclosure Weakness


 2003-01-22: 
Apache Web Server Default Script Mapping Bypass Vulnerability


 2003-01-22: 
Apache Web Server MS-DOS Device Name Denial Of Service Vulnerability


 2003-01-22: 
Apache Web Server MS-DOS Device Name Arbitrary Code Execution Vulnerability


 2003-01-22: 
Apache Web Server Illegal Character HTTP Request File Disclosure Vulnerability


 2002-12-12: 
Mod_SSL Wildcard DNS Cross Site Scripting Vulnerability


 2002-12-09: 
Apache/Tomcat Mod_JK Chunked Encoding Denial Of Service Vulnerability


 2002-11-13: 
Apache HTPasswd Insecure Temporary File Vulnerability


 2002-11-13: 
Apache HTDigest Insecure Temporary File Vulnerability


 2002-11-06: 
Apache mod_php File Descriptor Leakage Vulnerability


 2002-11-05: 
Apache /tmp File Race Vulnerability


 2002-10-17: 
Multiple Apache HTDigest Buffer Overflow Vulnerabilities


 2002-10-17: 
Apache HTDigest Arbitrary Command Execution Vulnerability


 2002-10-17: 
Multiple Apache HTDigest and HTPassWD Component Vulnerabilites


 2002-09-27: 
Apache 2 mod_dav Denial Of Service Vulnerability


 2002-09-24: 
Apache Oversized STDERR Buffer Denial Of Service Vulnerability


 2002-09-09: 
Apache Chunked-Encoding Memory Corruption Vulnerability


 2002-08-16: 
Apache 2.0 CGI Path Disclosure Vulnerability


 2002-08-16: 
Apache 2.0 Path Disclosure Vulnerability


 2002-08-16: 
Apache 2.0 Encoded Backslash Directory Traversal Vulnerability


 2002-07-17: 
Apache httpd 2.0 CGI Error Path Disclosure Vulnerability


 2002-03-25: 
Apache Double-Reverse Lookup Log Entry Spoofing Vulnerability


 2002-03-25: 
Apache Win32 Batch File Remote Command Execution Vulnerability


 2002-03-16: 
Apache Possible Directory Index Disclosure Vulnerability


 2002-03-16: 
Apache Split-Logfile File Append Vulnerability


 2002-02-07: 
Apache 2 for Windows OPTIONS request Path Disclosure Vulnerability


 2002-02-07: 
Apache 2 for Windows php.exe Path Disclosure Vulnerability


 2002-01-08: 
Apache HTTP Request Unexpected Behavior Vulnerability


 2002-01-07: 
Apache Non-Existent Log Directory Denial Of Service Vulnerability


 2002-01-07: 
Apache Win32 PHP.EXE Remote File Disclosure Vulnerability


 2001-11-29: 
Apache Artificially Long Slash Path Directory Listing Vulnerability


 2001-11-08: 
Apache mod_usertrack Predictable ID Generation Vulnerability


 2001-09-10: 
MacOS X Client Apache Directory Contents Disclosure Vulnerability


 2001-08-13: 
Apache Mod ReWrite Rules Bypassing Image Linking Vulnerability


 2001-08-13: 
Apache Server Address Disclosure Vulnerability


 2001-06-11: 
MacOS X Client Apache File Protection Bypass Vulnerability


 2001-05-22: 
Apache Web Server HTTP Request Denial of Service Vulnerability


 2000-12-06: 
Apache Web Server with Php 3 File Disclosure Vulnerability


 2000-09-29: 
Apache Rewrite Module Arbitrary File Disclosure Vulnerability


 2000-09-07: 
SuSE Apache WebDAV Directory Listings Vulnerability


 2000-05-31: 
Apache HTTP Server (win32) Root Directory Access Vulnerability


 1999-09-25: 
NCSA/Apache httpd ScriptAlias Source Retrieval Vulnerability


 1999-06-01: 
phf Remote Command Execution Vulnerability


 1999-06-01: 
Multiple Vendor nph-test-cgi Vulnerability


 1999-06-01: 
Multiple Vendor MIME Header DoS Vulnerability


 1999-06-01: 
Apache mod_cookies Buffer Overflow Vulnerability


 1999-06-01: 
Multiple Vendor test-cgi Directory Listing Vulnerability


 1999-06-01: 
Apache Web Server DoS Vulnerability


 1900-01-01: 
Apache PrintEnv/Test_CGI Script Injection Vulnerability


 1900-01-01: 
Apache Error Message Cross-Site Scripting Vulnerability

To už větší cenu má vyhledávání na Securityfocus než váš příspěvek:

Vulnerabilities IIS: 117

Vulnerabilities Apache: 92

Když bych vzal množství platforem na němž apache běží (ono ne vše se projevuje všude) ...

Ale jinak to jsou argumenty jak koleno, prostě dokážete hledat na securityfocus, teď je otázka zdali umíte ty data také vyhodnotit.

Otazkou spise zustava co umite vy, doposud jste nepredlozil jediny argument, kdyz nebudu pocitat ty vase s odpustenim "kecy"

No a ze teda vyhozene cislo 117 vs. 92 je fakt rikajici. POdivej se, ze tohle vubec nic nerika. Kolega aspon uvedl seznam linku na ty bugy. A ze ty jsi neco vyhodnotil, zatim se jen ptas jak nouma.

Cut & Paste umí každý blbec. Můžu dělat to co on, na securityfocus kliknu na sekci Microsoft a udělám stejný cut & paste a to budu borec a odborník. nebo ne? opravdu to není težké, pokud to bude uznáno jako argument klidně to můžui udělat.

Já, ale tvrdím, že to jednak argument není a jednak to lecos vypovídá i o tom kdo top jako argument používá. Je to prostě pár linků z securityfocus, které říkají, že i v Apache jsou chyby, některé z nich tedy spíše to, že i v rozšířeních a apalikacích nad aApache sjou chyby, ale nic moc víc. V Nějaký vztah k tomu zdali je bezpečnější to nebo ono v tom nevidím.

Pokud jde o otázky tak já si spíše všímám, že se mi na ně nedostává odpovědi, překvapivě, zatímco několik fanatiků se mě snaží zavalit linkama z Internetu, které obsahují jakási data, která by jistě k zhodnocení tématu byla zajímavá a použitelná pokud by byla částí rozsáhlejšího celku , ale s takovým přístupem jak vykřikovat soudy mi přijde úlet. S takovým přístupem bych dokázal odůvodnit cokoliv co by se mi zamanulo. Třeba právě to zdali UFO existuje nebo ne. Stačí si jen s tím správným záměrem vybírat ty správná data. Otázky, které jsou mířeny mimo tenhle koncept zůstávají však nezodpovězené.

Není to náhoda?

Asi mate kratkou pamet, nebo uz si nevzpominate na cerva Slapper ktery masove napadal instalace Apache? Nebo ze by to podle Vas take bylo jen UFO?

A vzpomenete si ještě na další dva?

A kolik z hlavy Vás jich napadne u u IIS?

Vite, Vase reakce mi silne pripominaji jednoho diskutujiciho na konkurencnim serveru o Linuxu. Byla rec o firewallech. Zacal se rozepisovat o IPTABLES atd. Kdyz jsem mu ale polozil jednoduchou otazku, jak hodla pomoci IPTABLES resit napriklad spyware (vime ze by potreboval aplikacni proxy coz IPTABLES rozhodne neni) vite co mi odpovedel?

"Proc bych to mel resit? Na Linux prece zadny spyware nemuze byt"

Opravdu fundovana odpoved "bezpecnostniho experta". Zacinam mit pocit ze Vase argumenty smeruji prave do teto oblasti.

Děkuji za odpověď, myslím, že je plně dostačující.

nechci se dotycneho cloveka zastavat ,nicmene placate tu veci ,ktere jsou podobneho razu

a k odstraneni spyware vam nepomuze ani konktrola na urovni protkolu ,protoze mate v podstate dve moznosti ,v obou

je mozne pouzit klasicky firewall   - bud zakazat pristup na urcite adresy (nebo na ne povolit pristup jen s autorizaci) ,nebo omezit komplet provoz... - je nesmysl myslet si ,ze si nainstalujete "nejaky " program a vsechno pujde dobre - proti spyware ve firme je jedina ucinna obrana a tou je absolutne striktni dodrzovani nainstalovaneho software s postihy za zasahy do instalace systemu + pravidelna kontrola jak na tom dotycny system je.

jinak co se tyka traficu je mozne pouzit i iptables ,jakekoliv skenovani na urovni protkolu je mrhani energiii

Docela rad bych videl ono srovnani vykonu IIS, Zeus a Apache a zajimalo by me, zdali byla benchmarku podrobena verze 2.x?

S temi casopisy - ono je to pravda jen castecne. Ja ctu treba CW kazdy patek a tam je sekce o bezpecnostnich chybach kdeceho a nepripada mi, zeby tam byl nekdo zatizeny na MS.

Na druhe strane - MS si radu veci zavinil sam - bylo to prave kvuli jejich arogance.

A taky zde muze byt jeste docela jiny duvod - Winy jsou na 95 ci vice procentech desktopu, proto se o nich mluvi nejvice

Co se IIS tyce - ten nikdy nebudu pouzivat - nemam duvod - Apache mi jede na linuxu i Windowsech, troufam si rict ze neverim onem 30% vykonu. Dam prednost samostatnemu baliku, jez nainstaluju a nakonfiguruju za 3 - 5 min a vim ze jinak neni nijak vice svazan se systemem a ze pripadnou zaplatou si nerozdrbu dalsich x veci ....

toz tak,
-pekr-

Znovu opakuji: http://www.pcmag.com/article2/0,4149,84181,00.asp

A jeste jsem videl jeden aktualni, co delal ZDNet, ale ten link si nepamatuju, ale tam uz nebyl Zeus, ptz ta firma krachuje.

Ja osobne delam hodne s Javou, ale musim uznat, ze IIS je top produkt, co do vykonu a to jsem delal i dlouho s apache a musim rici, ze tak shitovy soft jsem dlouho nevidel. Dokonce jsme si i pro jednoho klienta zaplatili cloveka primo z Apache Org aby ho prijel nastavit (byl to dost prestizni klient) a i stejne tam bylo dost pruniku, takze se ten web server nakonec vyhodil a dalo se tam orezane IIS (tam byl doposud zaznamenan jen jeden prunik).

Takze i kdyz mohu stat na druhe strane a hlasovat pro JSP, tak musim uznat, ze IIS je mnohem lepsi nez Apache, pokud tedy nebudu jednat jako nejaky nabozensky fanatik v podobe linuxoveho idiota (a to linux tu mam a prave v nem pisu odpoved). Ale nejsem fanatik a hodnotim kvalitu a ne nabozeske zaujeti.

Ukazte mi IP adresu toho serveru kde bylo skrze apache 'dost' pruniku a ted skrze IIS 'pouze' jeden.

Apach uz tam neni ;) Ale muzete se porozhlednout po sajtach telecomu  (i kdyz ted je asi i to IIS nahrazene iPlanetem, ptz ho tam Sun prodal).

Pochopil jsem ze apache uz tam neni. Takze podle vas byl IIS ktery byl zarucene nejlepsi nahrazen iPlanetem z duvodu politickych?

Ano, pokud budete neco vedet o tom, co udelal SUn, tak mel 2 hlavni dealy. KB a Telecom, kde je iPlanet. Slo o hodne penez a rozhodlo o tom vedeni ,ktere ma odbornou kvalifikaci v ekonomii a to z VSE minuleho rezimu a dokonce skoro ani pocitace nepouzivaji :))))) Myslite si, ze oni rozhodli odborne? Slo tam o jednani Sun, Telecom a softtronic, ktery tam prodava lidi.

Pane, možná nejste fanatik, ale rozhodně se tak vyjadřujete. Berte to jako fakt k zamyšlení

Napodobne ;)

A nemyslel jste doufam Cesky Telecom?

The site telecom.cz is running Apache/1.3.27 (Unix) CSacek/2.1.9 PHP/4.2.3 mod_ssl/2.8.12 OpenSSL/0.9.6c on Linux

To opravdu ne ;) :))))))) Hledejte a naleznete, neb kralovstvi je sdilene ;)

Nemam moc casu hledat. Spise Vy podeprete sve tvrzeni argumenty, jinak jste u me jen dalsi fanatik, ktery se zaradi vedle fanatiku 'nic od MS'.

Uvedl jsem jasne odkazy na testy a data. To vam nestacilo, ten link posilat nebudu, ptz bych se tim zviditelnil a to nemam kvuli blbe diskuzi na zive zapotrebi. Kazdopadne to, ze se snazite vytrhnout jeden priklad a nekomentujete jasne ty testy, to ej uhybny manevar. No nic, musim jit taky vytvaret hodnoty.

Kazdopadne linux a apache je sunt a at mi tihle lidi neco tvrdi o kvalite. Nejen, ze delaji blbe produkty, ale taky firmy, co jsou kolem linuxu krachuji a svym zamestnancum muzou nabidnout tak par kacek. Proste opravdu HOOOOODNE uspesny model

Mate vyjadrovani fanatika. Stojite si za svym a na odpovedi reagujete pouze svym zuzenym vyhledem. Tolik muj nazor.
Zeptal jste se me na muj nazor na testy. Klidne Vam odpovim, ano zda se ze IIS je lepsi nez jine produkty. Stejne tak jako MS SQL ma v poctu transakci prvenstvi. Pro mne jsou to vsechno zprostredkovana data, nemam svoji osobni zkusenost. Microsoft jsem nevybral na budovani IS, protoze se mi nelibi jejich licencni politika a obecne chovani k zakaznikovy. Asi se divite, ale i to muze hrat pri vyberu velkou roli a ne jen pouze surovy vykon. Btw. Rocni rozpocet pro IT je v organizaci ve ktere pracuji v radech stomilionu a vyse.

No chat zkresluje ;) Ale jinak diky za uznani. Holt mam vydrz byva rvat se za sve myslenky ;)

Co pisete o tech dalsich duvodech, tak to mate i nemate pravdu. Osobne si myslim, ze MS nakonec zlevni, je to diky linuxu a diky mu za to. Presto si myslim, ze volba reseni od komercni firmy (a to si vyberte klido sun, oracle, ms, kohokoliv) je spravna i u firem a to proto, ze linux je nespolehlivy diky nestabilite firem za nim stojicich. Ano, ted mi tu nekdo bude placat o tom, ze je sdileny a kdyz krachne jedna firma, tak prijde dalsi atd. A to budete kazdy druhy rok menit dodavatele? :))) Uz to vidim :)))) Vite, apache mam rad jako produkt, ale jako produkt pro small a middle projekty a hlavne takove ty projekty, kde to delaji ruzni patlalove, co maji hluboko do kapsy. Nic proti, je to cast trhu, ale hlavni a dulezity je ekonomicky obrat a ono to souvisi i s vynalozenymi investicemi, tedy prestiz firmy a projektu. Reknete mi, verila by treba vase firma me, jako dodavateli, kdyz bych mel obrat 300tisKc rocne a investoval bych 50tiskc/rok a resil to OSS? Myslim, ze byste si to mooooc rozmyslel, do neceho takoveho jit ;) Vite, proto jsem se do apache oprel, ptz se tlaci tam, kam nema a tvrdi se o nem nesmysly. Je fajn ho pouzit na freeweby! Na to je SUPER! I proto je tolik rozsiren na hosting. Ale mel by byt pouzit pro velke systemy? Ani nahodou. Nejen, ze je nevykonny, ale je i problematicky s ohledem na strategii.

Nedavno jsem videl, ze pro firmy v podstate neni vubec dulezite sdileni kodu (reknete uprimne, kolikrat jste prepisovali jadro linuxu (ja to za sebe mohu rici, delal jsem to rok, ale uz nikdy vice ;) ).  Prakticky zadna firma nema penize predelavat si nejaky produkt, kdyz by jim dodavatel krachnul ale chce mit stabilitu. Proto je vhodne treba i si koupit Solaris nebo HP-UNix nebo Windows (to je jedno) a mit podporu silne firmy, ktera to zastit. To je podle mne rozumne rozhodnuti a pak prichazi ke slovu vyber podle vykonu a dalsich technickych a cenovych parametru.

Zdar humoristo.

Je to fakt zahada, ze nase velke projekty, jedouci na Oraclu maji WWW rozhrani nad Apache, ktery dodal Oracle jako soucast instalace Oracle8 a Oracle9. Jede to velmi spolehlive a rychle Ja vim, Oracle - to jsou jen patlalove, kteri nedosahuji tvoji velikosti
Stejne tak IBM a jejich Linuxova reseni - IBM - to jsou jen patlalove a amateri, kteri namaji na tebe ani na Vilika Branu
No - proste - je to v tech firmach samej amater a vsichni uz tam urcite cekaji, az je zachranis vokynkama.

Ja se to tady snazim trochu odlehcit, protoze ty ptakoviny, ktere pises jsou spis k placi.

Pro zamysleni: Rozumny clovek si na kriticky server nenasadi IIS uz treba pro to, ze vetsina jeho hacknuti automaticky znamena mit prava Administratora serveru. Oproti tomu instalace Apache jsou zpravidla delany tak, ze po pruniku mame prava specifickeho prosteho uzivatele a ziskat prava roota pak predstavuje uz dalsi problem a potrebu casu a vetsich znalosti... No to bylo jen takove upozorneni na velmi jednu trivialni vlastnost...

Ahojky! Diky za srandu a za humorne pripominky ;)

Hele Viliku, nema to cenu dal komentovat. Uzij si to a hezky si zaplac ;) Ale bacha, at nelehne ten ora ;)

Jde videt ze do platformy Windows nevidis. Neni problem nakonfigurovat IIS tak aby jel pod mene privilegovanym uctem.

A znas velke firmy ktere pouzivaji Linux, Oracle atd. Ja znam take velke firmy ktere jedou na platforme MS. Kdyby to nefungovalo a nebylo dobre myslis si ze by MS investoval miliardy do mrtvych produktu?

mmx, presto ze mam trochu problem stravit tvuj styl diskuse (v nemz spatruju jisty zpusob arogance), rekneme ze muj zajem diskutovat toto prevysuje , a proto:

Delam pro pomerne velky podnik. Ty asi take delas nekde, kde je IT dost hodne exponovanym pojmem, nicmene za svou praxi jsem se setkal s jednim (pro me) zjistenim/faktem - nekdy proste neni potreba vice nez je potreba

Rekneme to takhle - mame jeden server na postu, ktery bezi na Linuxu - ten server se vypinal tak 3 krat za par let (premistovani, update RedHat), zatimco kdyz firemni posta bezela u kolegu na NT, ten stroj i po pridani druheho procaku sel vykonem hodne dolu a casto se bootoval. Ale to bylo davno. Me jde ted o neco jineho - je strasne zajimave, jak tady mluvis o dostatecnem a robustnim reseni a vykonu. To uz se tu ale probiralo v dobe 486, dnes, kdy je i bezne kancelarske PC dost vykonne a mnohokrat vykonnejsi nez kdejaky server pred lety, mas porad tentyz nazor?

My tady mame nejmenovany IS na tri pismenka A to co z technickeho pohledu vidim je, ze dnesni softy jsou tak komplexni, ze vsechno stoji desetkrat neli vicekrat vice, nez by muselo stat. Je to samozivici se svet konzultantu co berou desne prachy a podnik musi stejne x veci v systemu kompletne prekopat. Obchodni taktiky se omlouvaji robustnosti reseni

Jak velky je tedy jiny nez "small a middle" projekt podle tebe? Protoze ja bych si treba Apache 2.0 nasadit dovolil, samozrejme zalezi na situaci. Pokud jde o surovou rychlost, bylo mi treba receno, ze jsou i rychlejsi servery, jeden z nich eventualne Xitami. Mozna bude i rychlejsi nez IIS (o spatne skalovatelnosti tu ale nebyla rec, ze?

My treba mame v podniku i hodne Novellu a zrejme jen tak menit nebudeme - jsou ruzne technologie, ruzni dodavatele, ruzne politiky - absolutni vykon IIS jeste nemusi byt konecnym duvodem jeho nasazeni oproti byt i pomalejsi technologii ...

A neprotirecis si? Rikat diky za to, ze je Linux, protoze alespon MS uz neni tak arogantni a snad i slevi? Takze ti precejenom na cene nakonec zalezi, ze jo? Chci tim jen rict, ze nic neni absolutni ...

Ja jsem odrostly amigista, takze mi architektura Linuxu moc nevoni, ale diky za projekty jako Linux, Apache, Mozilla - nikdo nemuze tvrdit, ze jsou totalni shit, aniz by nebylo zahodno pochybovat o jeho dusevnim zdravi

Co se tyce toho mnozstvi chyb v Apache, mozna je jich na google tolik proto, ze treba MS nezverejnuje tyto databaze, natoz zdrojaky? (to nevim, jen odhaduju ...)

A kdyz uz je Linux shit, co rikas na BSD? At tak ci tak, vyhody proprietarnich Unixu zacinaji pomalu mizet, coz je videt u IBM a nakonec treba i Sunu ...

PS: pro pripadne stouraly - me nazory nevyjadruji nazory meho zamestnavatele

cus,
-pekr-

Nedavno jsem videl, ze pro firmy v podstate neni vubec dulezite sdileni kodu ...

Ja teda nevim, ale hlavni vyhoda opensource na urovni firemniho uzivatele je moznost okamzite osetrit bug (nevim jak jses silny v kramflecich a jestli kvuli tobe MS osetruje kazdou chybu na kterou prijdes a v jake lhute), pripade okamzite zmenit nekterou z vlastnosti produktu (dtto). Vyuzil jsem to tolikrat, ze by mi na to prsty obou ruk nestacily. A firma o tom nevedela. Proc taky, plati mne za to aby veci fungovali, ne za to, abych jim tahal prachy z kapes za licence nedokonalych produktu.

Na zbytek snad ani reagovat nema smysl, je to snuska plku, nepresnosti a nepodstatnosti od a) a z). Napr. by mne zajimalo, ktery zasadni Open Source projekt skoncil diky nestabilite firem za nim stojicim. Mluvime totiz o aplikacich, ne o distribucich linuxu (normalni spravce stejne pouziva Debian). Zato ja ti mohu vyjmenovat desitky komercnich projektu, ktere jsou v riti. Ten argument, ktery si pouzil, svedci ve skutecnosti vyrazne ve prospech Open Source. A tak je to s vetsinou Tvych mouder.

Jasne jasne borce....nejsi nahodou linus? nebo nejsi hlavni akcionar RH?

Co to tady kecas? Nikdo neni zvedavy na to, jestli si opravis nejaky bug nekde pro vyhazovani stringu v PHP. Nebo snad jsi bruce schneier? nebo snad delas jen tak zaskokove jako senior architekt pro oracle a navrh enginu? nebo snad jsi specialista na 3D rendering? nebo snad jsi spickovy matematik a venujes se modelovacim funkcim? Kdo tu plka jsi ty a vycet veci, co bys musel znat, aby sis to opravil je v podstate nekonecny. Jo a rekni mi, Oracle ti taky da zdrojaky k tomu, abys mohl menit jejich engine? nebo ze by ti IBMka dala zdrojaky k Lotus Notes? Nebo ze by SAP najednou zverejnil svuj system? nejsi magor?

dal to nehodlam komentovat, zkratka jsi super genius, holt moje moudra nemaji na tvoji genialitu

Neřekl bych, že jde o akcie RH,ale spíše o snahu pomoci si co nejdříve sám sobě s problémem.

S tém  SAPem jsi to trefil. Byl by asi nesmysl (přesdněji: nevidím z toho nějakou výhodu pro nikoho), aby zveřejnil většinu toho co dělá pod Open Source licencí, ale to nic nemění na tom, že SAP produkuje software, které je Open Source to dokonce v te nejryzejší podobě GNU GPL . To jen tak pro informaci, iz např. SAP DB.

Kolega se mi dokonce snažil tvrdit, že SAP je jedním z nějvětších producentů Open Source v Německu, ale to nevím podle čeho by se to tak mohlo měřit a tak to běrte spíše jako pokus o vtip.

Každopádně příště můžete být opatrnější při titulování někoho za magora, může se to nečekaně obrátit proti Vám a Vaší genialitě.

nebudu to tady vubec rozvadet, ale je videt ze nemate zadnou primou zkusenost ze systemy jako SAP. Zvlaste co se tyka mmx je videt ze keca naproste hovadiny a to tak ze sebejiste a pritom vubec ani netusi, jak to s temi zdrojaky sapu je apod ...

-pekr-

Reakce pod tímto příspěvkem se již nevětví

nemas nahodou neco spolecneho s JXD, ze ses taky tak chytrej?

Jasně, a Frerrari je na 30% Porsche. Asi takový smysl má to co tvrdíte. Když by jste si pořádně přečetl ty URL a dal si dohromady duplicity, možná by jste musel v Google hledat lepší URL. I tak to nic neříká o četnosti.

Kromě toho, že vážně nechápu jak lze v IIS zaslat SIGUSR1 resp. obdobnou věc

Až budete mít přehled v tom co ty čísla znamenají, až bude chápat rozdíl mezi platformami na niž Apache běží, až dokážete mít vlastní nestraný názor na testy kohokoliv ať již v nich vítězí Apache nebo IIS nebo někdo jiný, prostě až sám dokážete reagovat profesionálně, opět se ozvěte a můžeme diskutovat.

Neříkám, že linky, které uvádíte jsou o ničem, to vůbec ne, ale vaše interpretace mi zavání amatérismem a neporozuměním.

Aha, jdete do skolky a reknete si miminkam, at vam udelaji ty testy samy. Uz jsem to tu jasne psal.

Nicmene jste neodpovedel jak provest na IIS ten SIGUSR1.

Naucte se neco o IISku a nehazejte sem takovou kravinu, jako je SIGUSR1. Naopak to je desna blbost a debugging se prave v IIS resi velmi jednoduse, kdy muzete i programove uplne snadno pres WMI nastavit tenhle mod (a taky zvysovat level jako pro SIGUSR1). Ale tohle je blbost a to uz bychom se mohli bavit o tom, jestli na IIS je ikonka vlevo nebo vpravo (ano ja vim, ted mi tu bude povidat, jak v PHP nebo jinem se tohle siroce pouziva atd atd.)

Kazdopadne napr. MSSQL server tento koncept vyuziva a to dokonce i ve formatu, ktery je podobny SIGUSR1.

Ale to je jedno....

Následujicí otázky jsou určeny výhradně pro mmx

1. Co je to SIGUSR1

2. Co je obdobou SIGUSR1 ve Windows

Uz jsem napsal jasne co je SIGUSR1 v prechozi odpovedi. Naucte se cist (pro neznale je to typ signalu vyuzivany primarni  mod pro debugging s rznymi levely, napr. ja jej vyuzival v USLOSS pro testovani. Jinak muzete mit i SIGUSR2 nebo dalsi signaly, ktere jsou definovane jako znamy SIGKILL, SIGTERM atd.

A ted odpovezte vy me: vite co to jsou Qcka? (a nemyslim tim IlikeQ ;) ). A tam mate odpoved.

Ta věta věta v závorce mi rozhodně na první přečtení nedávala nějaký valný smysl. Každopádně pochopil jsem, že popisujete zřejmě jedno z možných použití, v některých případech tomu však může být jinak, když si vemu třeba OpenGL nebo LinuxThreads tak jistě interně SIGUSR1 nepoužívají kvuli tomu, že by se za běhu debugovaly, ale budiž. Myslím, že je to smysluplná odpověď i když ne zrovna moc obecně použitelná.

Pokud jde o Q tak nevím, tomůže být téměř cokoliv, od osoby z filmu o 007 až po MSMQ což je ale poněkud jiná filozofie než relativně triviální signály v UNIXu, které v podsattě nenesou žádou informaci a nemají garantováno (dle implementace) ani doručení. Obecně bych řekl, že ani neřeší stejné problémy i když se to nutně nevylučuje. Takže toto asi nebude, nechám se překvapit.

ná odpověď, že bych se přece jen trefil? :)

: ... naopak IIS patri mezi jedny z nejlepsi produktu, co MS ma ...

Bud blouznite nebo ten IIS prodavate. Vzdyt i Gartner ho doporucil nahradit necim bezpecnejsim, viz napr. http://news.com.com/2100-1001-273461.html.

Jojo, a myslim, ze Gartner odhadoval na tento a pristi rok rust IT kolem 20%?  (pardon, ten link si nepamatuji, bylo to nekdy zacatkem roku 2002 na news.com)

Takže to, že je to patlal poznáme podle toho, že se jmenuje Gartner a to, že je to věrohodná informace podle toho, že se jmenuje PC Magazine?

Gartneři dělají chyby a PC Magazine dělá chyby. V čem je tedy rozdíl?

Napadlo, mě, že Gartneři dělají předpovědi a v PC Magazine jsem viděl chyby i ve faktických věcěch jako jsou právě testy (svého času jsem k některým testům měl opravdu velké výhrady).

Opet demagogie. Ja jsem tim chtel zdruraznit, ze to neni nic nerikaji doporuceni ani stanovistko. PCMag proste udelal test a zverejnil vysledky. Zadne emoce, jen fakta co namerili.

To, co pisete o Gartnerech a co od nich hlavne cteme jsou konzultantske doporuceni, ktere se prave v pripade teto firmy VELMI mijeji s realitou. Kdybych dal na jejich doporuceni, budu nyni planovat na tento rok vyrazny rust, inevstovat a nakonec budu bez cashflow a propoustet. A totez s IIS. Nyni se spojili s MS a zase vydavaji pro ne prizniva rozhodnuti.

Proste u toho PCMagu je to jen o tom, ze neco namerili. Garneri to ale interpretuji a svym jmenem tomu davaji jakoby punc, ale pritom strileji uplne mimo a porad je to jen dohad. To je ale jejich byznys a budiz jim prano, at maji hodne lidicek, co neumi sami myslet. Me staci ty fakt od PCMag, nepotrebuji, aby mi interpretaci delal Gartner. SNad jste to jiz pochopil.

Nevím jestli Gartneři, ale zatím vedete diskusi jako by jste tu interpretaci potřeboval od někoho dodat.

Nemyslim si, ze by zde vzniko riziko infekce mnoha serveru. Kazdy rozumny Admin totiz urcite instaloval IIS Lockdown Tool jehoz soucasti je URL Scan. Tato utilitka teto chybe zabrani naprosto doknale. Takze i kdyby Admin nezapklatoval server nebude v ohrozeni.

Samozrejme ale, ze zaplatu je dobre nainstalovat tak jako tak.

Jenže kolik je rozumných adminů? IIS má na počítači nainstalovaný každý druhý moula, vzpomeňte si na CodeRed a následovníky...

Rozumny admin nepouziva IIS

Nepocitam sa za rozumneho admina, preto ani neviem co je to IIS Lockdown Tool? Budem Ti vsak povdacny, ked mi napises, kde to najdem a ako to nainstalujem.

"Use Google before asking dumb questions"

http://www.microsoft.com/windows2000/downloads/recommended/iislockdown/default.asp