Как правильно отключить / отключить URL по схеме ftp / ftps? - PullRequest
Новая
       42

Как правильно отключить / отключить URL по схеме ftp / ftps?

0 голосов
/ 15 мая 2019

Нет проблем с: HTTP / HTTPS

При очистке / снятии с охраны схем URL (например, с python-defang ):

  • http становится hXXp
  • https становится hXXps

Итак, здесь нет проблем.

Но что происходит с: FTP / FTPS / FXP

Но как эти схемы можно должным образом очистить?

  • ftp становится fXp

    • как я узнаю, что данный URL-адрес очищен или это настоящий URL, который просто использует File eXchange Protocol (fxp) вместо обычного File Transfer Protocol (ftp)?

  • ftps становится чем? fXps

    • что такое "официальная дефантированная" версия ftps?!

  • fxp становится чем? fXxp

    • что такое "официальная дефантированная" версия fxp?!

Альтернатива

Есть ли что-то вроде эмпирического правила для отмены / снятия с охраны: просто чтобы убедиться, что URL-адрес больше не работает в браузере, чтобы клиент случайно не открыл вредоносный URL-адрес?

1 Ответ

1 голос
/ 15 мая 2019

Источник ссылки указывает, что он поддерживает только HTTP HTTPS и FTP. Не SFTP, FTPS или FXP. Хотя поддержка кажется тривиальной, обновляя список PROTOCOL_TRANSLATIONS в init .py

FXP: // SFTP: // и FTPS: // не поддерживаются * в современных браузерах. В лучшем случае щелчок по такому URL-адресу покажет диалог запуска внешнего приложения. Подобно тому, что вы получаете с магнитной ссылкой.

Как правило; если целью является искажение URL-адресов Я бы заменил ':' на что-то другое. Изменение самого имени протокола не делает URL недействительным, просто вряд ли будет понятым / существующим. Он по-прежнему будет анализироваться расширениями, плагинами и т. Д., Что может быть достаточно для запуска плохого mojo. Изменение двоеточия сделает их строками.

...