为面向 Internet 的服务器保护 ColdFusion

Question

我需要做什么来收紧面向 Internet 的应用程序的 ColdFusion 服务器？唯一特别想到的是将 CFIDE 和 JRunScripts 目录限制为本地子网。

我可以调整管理员中的设置以使应用程序更安全吗？

Answer 1

2010 年 5 月 30 日更新：

Adobe 刚刚发布了ColdFusion 9 锁定指南(PDF)，其中包含用于正确锁定和保护 ColdFusion 服务器和应用程序的各种信息。

原帖：

如果只有您自己的应用程序将在服务器上运行，请从锁定您选择的 Web 服务器开始。Milner 的建议是放置一个站点范围的错误处理程序来捕获任何预期，这是防止数据泄露的好方法。只要输出仅限于您指定的特定 IP 地址，您就可以在生产环境中运行调试。至于CFIDE文件夹，唯一真正需要锁定的部分是“administrator”子文件夹。如果您使用任何 ColdFusion 表单控件，CFIDE 文件夹中有很多您的应用程序可能需要的东西。

在 ColdFusion 服务器本身之外，您需要在代码中考虑很多事情，例如：

1. 对您的查询使用 CFQUERYPARAM。
2. 不要相信来自 CGI、COOKIE、URL 或 FORM 范围的用户输入。始终对输入进行消毒，不要冒险。
3. 对于用户输入的将显示层的数据，确保它用 HTMLEditFormat() 或 JSStringFormat() 函数包装，以应对跨站点脚本攻击。

Answer 2

1. 确保关闭生产环境的调试
2. 有一个站点范围的错误处理程序来掩盖任何未处理的错误；否则将显示来自 CF 的丑陋的灰框错误消息，其中可能包含有关您的服务器设置的信息