Newsgroup: it.comp.www.php
Titolo: Script banale ma non va

Ciao NG
Ho trovato uno script che cripta le pagine html al volo su
http://cleverscripts.com
, per l'installazione l'autore riporta:
// just put  include('csource.php') in the beginning
// of your script. The HTML content will be automatically
// encrypted via Base64 algorithm so nobody can view it.
Io allora ho inserito all'inizio di una pagina html che ho rinominato in
criptato.php il seguente testo:
<?PHP include('csource.php'); ?>
la pagina con il codice si chiama csource.php e si trova allo stesso livello
della pagina criptato.php
Ho un server linux e ho impostati i chmod su 755 ma il risultato e' una
pagina che non contiene assolutamente niente (e vuoto anche il sorgente). Do
scontato che lo script funzioni anche perche l'autore sul suo sito ne fa
largo uso. Qualcuno mi aiuta?
Grazie in anticipo
##########################
 Gibe
 Modena Italy
 Utente Macintosh dal 1991
 Il mio vero indirizzo e'
 
gi...@freemail.it
##########################

largo uso. Qualcuno mi aiuta?
E' un bug che avevo osservato nella versione 1.0 di quell'altro script,
quello descritto nel link piu' sopra. Puo' darsi che tu usi la funzione
ob_* nel tuo script, oppure che ci sia un errore, che impedisce a tutto
il resto di funzionare.
Non e' una gran criptazione - parlo della MIA, sia chiaro - perche' con
poco sforzo si puo' riportare il codice perfettamente in chiaro (ad es.
usando SquidFilters).
Leonardo


Non si puo in quel senso 'crittare' una pagina html in modo che
nessuno possa vederne il contenuto, al massimo la si può offuscare, ma
bastano poche righe di programma per rendere di nuovo la pagina
leggibile.
fe...@delenda.net
-- 
It happened in Monterey, without thinking twice
I left her and I threw away the key to paradise
My indiscreet heart, longs for a sweetheart, 
That I left in ol' Monterey! 

usando SquidFilters).
Forse non ti sei reso conto che se la pagina č crittata, non č
crittato il decrittatore. Per decrittare la pagina ci ho messo 10
secondi, senza neanche guardare il javascript, basta :
1) Fare Visualizza HTML
2) Levare tutto a parte il javascript
3) sostituire l'ultimo document.write con WScript.Echo
4) salvare da qualche parte come bubba.js
5) cscript bubba.js > chiaro.html da prompt dei comandi
fe...@delenda.net
-- 
For a successful technology, reality must take precedence over public
relations, for nature cannot be fooled. (R.P.Feynman report on STS-51)

 neanche guardare il javascript, basta :
Beh, per questa ci ho messo il tempo di una sigaretta:
http://www.zen11494.zen.co.uk/
e la poverina ci aveva speso 19.95$, hehehe!
Tieni conto che la criptatura di una pagina la rende praticamente
invisibile ai motori di ricerca.
Inoltre i dati devono essere leggibili dal browser, e se li vede il
browser li puoi vedere anche tu, in un modo o nell'altro.
ciao
Marco
-- 
bernama -coda di porchetto- libero -- it
Esibizionista: una persona che scarta 3 assi giocando a poker-strip.
+- PHPRndSig 0.02 --------------------------------------------59/67-+

Marco


e la poverina ci aveva speso 19.95$, hehehe!
Pero', e' una sfida interessante. Mi rendo *perfettamente* conto che e'
impossibile riuscirci, gia' a livello teorico - pero' mi domando se non
si possa far di meglio.
Leonardo

5) cscript bubba.js > chiaro.html da prompt dei comandi
Certo. In effetti intendevo che e' facile farlo "automaticamente" (cioe'
in Explorer vedi direttamente, con Visualizza HTML, il codice in chiaro,
senza neanche sapere che e' stato "criptato").
Leonardo

 leggibile.
Ringrazio l'intero NG, pero adesso mi e rimasto un problema
Il mio scopo é di non far vedere a quale indirizzo invio un form, esiste un
sistema sicuro?


 si possa far di meglio.
Bhe, il sistema ci sarebbe: puoi sempre fare un controllo activex e/o un
plugin che prenda una pagina criptata a piacere, la decripti e la
renderizzi.
A quel punto hai la stessa sicurezza di un eseguibile 'blindato', più o
meno. Il problema è renderizzare, non credo che esistano API per cui ci si
possa agganciare al motore di rendering del browser per disegnare la pagina,
per cui si tratta di ..riscrivere il motore di rendering , oppure più
realisticamente usare qualcosa di già fatto (come Gecko, che è stato già
adattato come oggetto activex al posto del WebBrowser di Microsoft). Pesante
e poco compatibile, certo.
fe...@delenda.net
--
Any technology distinguishable from magic is insufficiently advanced.

sistema sicuro?
Certo: fatti spedire le variabili allo script php, che con la funzione
mail() li inviera' ad un indirizzo che il browser non ha.
Se non vuoi farlo vedere neanche al provider la cosa si complica. Puo'
essere utile un relay anonimizzatore, od una casella ad hoc su qualche
provider che implementi un 'redirector'.
Leonardo
-- 
Time's angles, mages tell, conceal a place
incredible, beyond the mundane mind;
night-shrouded and between the seas of space
dread creatures drift in the ageless winds.

renderizzi.
Stavo pensando a qualcosa tipo crittografia asimmetrica in Javascript. Il
client trasmette un 'challenge', e il server replica usandola come chiave
pubblica. La chiave privata dovrebbe essere salvata in RAM, pero'. Forse,
in un frame nascosto (introducendo problemi di compatibilita'). E inoltre
il tutto sarebbe orribilmente lento.
Leonardo e le ***** mentali :-)


il tutto sarebbe orribilmente lento.
In pratica è come guardare dietro le spalle a due persone invece che a
una, comunque il javascript è facilmente visibile e taroccabile come
nell'altro caso. Senza 'cambiare browser', cambiando browser proprio o
incapsulandolo in un plugin o inventandosi un nuovo protocollo credo
ci sia ben poco da fare. Oddio, c'è un'altra soluzione, più
praticabile ma che farà storcere il naso a molti, rifare il sito in
Flash <g> (anche si trovano in girano crack per swf protetti e
decompilatori di ActionScript). Non si tratta di pippe mentali, il
problema in una web agency si pone molto spesso: capita ad esempio che
il cliente taldeitali voglia passare dalla agenzia A alla B, facendosi
modificare da B il sito fatto da A, che però per ragioni contrattuali
e/o di pura e semplice ripicca si rifiuta di consegnare i file di
lavoro del sito. Ecco come, ed è ovvio che una agenzia può impersonare
ora A, ora B, ci possa essere bisogno di aprire o chiudere il
discorso..
 
fe...@delenda.net
-- 
Just lift the damn weights ! - Fred Hatfield

provider che implementi un 'redirector'.
Credo intendesse l'action del form, i form con action=mailto: sono
comunque una delle cose peggiori per inviare posta da web, se non
altro perchè un buon 30-40% degli utenti ha il programma di posta
associato male col browser. Si dovrebbe ricadere nel caso precedente,
un action fittizia che fa da macchina degli stati e un valore chiave
passato 
p.es
. con un campo hidden.
fe...@delenda.net
--
it grows like a flower, it grows like a tumor,
love shows that God has a sense of humour..

 mail() li inviera' ad un indirizzo che il browser non ha.
Ma devo inviare un form, non una mail
Tutti i casi di invio form in PHP vedo che hanno il form scritto in html e
come abbiamo gia visto non si nasconde proprio niente


Ma devo inviare un form, non una mail
Ma il form tu lo mandi allo stesso sito da dove l'hai preso, immagino.
	<FORM METHOD="POST" ACTION="submit.php">
	...
	</FORM>
In questo modo dall'HTML non si puo' sapere cosa ne viene fatto di quei
dati. Certo, si sa che li hai mandati a "submit.php".
Scusa, forse non ho capito il problema.


 dati. Certo, si sa che li hai mandati a "submit.php".
Il mio intento e questa
1) Da una pagina html invio un form a submit.php
2) submit.php reinvia il form ad un'altro indirizzo che deve rimanere
segreto
Io so che in php per inviare un form e necessario generare un documento
html, come tale il documento e gestito dal browser client e quindi visibile,
o almeno ho capito cosi, e questo lo vorrei evitare
Grazie di all


 o almeno ho capito cosi, e questo lo vorrei evitare
Er... non hai capito bene :-)
Non c'e' nessun bisogno di passare dal client per inviare ad un 
indirizzo i dati di un form.
submit.php sarà fatto più o meno così:
<?php
   $message = "Ecco i dati inviati dal form:\n\n";
   while (list($key, $val) = each($HTTP_POST_VARS))
   {
     $message = $message."[$key] = $val\n";
   }
   mail("
destin...@segreto.com
", "Dati da form web", $message);
   echo "Grazie per averci inviato i suoi dati, ne faremo buon uso";
?>
(questo come script formmail è un po' bruttino, puoi trovare di meglio 
in rete :-))
L'indirizzo in questione è visibile solo da chi può vedere il codice 
php, ovvero non certo il client.
HTH, bye!
-- 
Fabrizio "Hermooz" Ermini

o almeno ho capito cosi, e questo lo vorrei evitare
No, non e' necessario, tranquillizzati. E' una possibilita', e non ci
sei obbligato (non lo fa quasi nessuno, in effetti).
Cerca "PHP Form mail" con 
www.google.com
 e rimarrai stupito 8-)


 submit.php sarŕ fatto piů o meno cosě:
Grazie, Adesso provo ad applicarmi
