Newsgroup: it.comp.www.php
Titolo: Per non farsi defacciare sito

Salve a tutti, mi sapete dire come in php
si può riuscire a non farsi defacciare un sito,
che accorgimenti nel codice bisogna avere o che
accortezze dal lato sicurezza bisogna usare?
Scusatemi se sono stato un'pò vago.
Grazie a tutti
Ciao

 accortezze dal lato sicurezza bisogna usare?
Inizia leggendo il manuale:
http://www.php.net/manual/en/security.php
-- 
I am what I am, I do what I can
Do. Or do not. There is not try.

Max ha scritto:

togliere tutti i tool di terze parti (vedasi phpBB) che hai installato
nel tuo sito.
è successo anche a me tempo fa ed era colpa di una vecchia versione di
phpBB appunto..che aveva un bug che poi veniva usato per distruggere
tutto (sono poi usciti comunque aggiornamenti in tempi brevi, ma il
danno era fatto [santo backup...]).
penso che, finche' si puo', meglio scriversi un forum a manina propria
(cosi si sa cosa si sta facendo) anziche' affidarsi a tool mostruosi e
stra-famosi che poi fanno la fine di microsoft :)
(con tutto il rispetto per il bellissimo phpBB)
anche perche'....che razza di programmatori saremmo se ci affidiamo a
prog fatti da altri e poi non capiamo dov'e' il prob?
ciao :)

Thu, 27 Oct 2005 14:37:30 +0200, "Max" <m...@max.max> ha detto:

Devi stare attento all'upload di file, difatti il defacciamento
avviene caricando file sfruttando una falla in un qualche sistema di
upload, tipicamente gallerie fotografiche o invio di allegati.
Francesco Mazzi
Webmaster di AltroPC.it - 
http://www.altropc.it
 
Dev.Staff di E-Xoopport - 
http://dev.e-xoopport.it

 prog fatti da altri e poi non capiamo dov'e' il prob?
Parole sante !
Ti consiglio di seguire la proposta di Fabrizio

 (con tutto il rispetto per il bellissimo phpBB)
Posso essere d'accordo con questa affermazione per cose come phpnuke,
scritte praticamente da una sola persona e che cercano di fare 10.000
cose diverse, ma phpbb si concentra su una cosa sola: il forum. Ed e`
scritto da un bel po' di persone. Inoltre (e per me e` una ulteriore
garanzia) e` pacchettizzato dalla Debian, che vuol dire che il suo team
e` veloce a correggere i bug di sicurezza.
Io credo che per quanto bravo possa essere uno, comunque e` uno, e puo`
non accorgersi dei bug che introduce o delle vulnerabilita`
difficilmente prevedibili, mentre un progetto maturo come phpbb puo`
esserci gia` passato e averli corretti.
In fondo e` proprio questa la forza dell'opensource. :)
Bye.
-- 
Alessandro Pellizzari

 upload, tipicamente gallerie fotografiche o invio di allegati.
...e non devi fare la cavolata di fare include "dinamici" magari passati 
su un post o su una get, altrimenti il defacciamento è assicurato.
Cose tipo include($_POST[pagina]);
Ciao
Gianni



Il codice di PhpBB è noto, mentre quello dei software custom spesso non lo  
è e questo rende le cose piu' facili a chi cerca di entrare in phpBB  
piuttosto che in una sviluppata da sè.
Ad ogni modo questo genere di pacchetti, grazie anche al numero ore uomo  
ben maggiore rispetto a soluzioni proprie, tende pian piano ad incorporare  
soluzioni sulla sicurezza a cui il programmatore casalingo non sempre  
ricorre.
Se un tool è ben noto qualche motivo ci sarà.
(tralasciando il discorso specifico phpBB).
Tac
-- 
La netiquette prevede sign di al massimo quattro righe.
Purtroppo la mia sign in quattro righe non ci stà.

Gianni
Ciao Gianni :-)
Stento a credere che ci sia qualcuno così pazzo da fare una cosa del
genere :-P, ma evidentemente al peggio non c'è mai fine!


... vi ringrazio tutti per i suggerimenti.
Ciao

 e` veloce a correggere i bug di sicurezza.
si, la mia era solo una proposta generica, nel senso se è possibile
ove sia possibile...ecc..ecc..
ho anche aggiunto che trovo phpBB bellissimo :)
ma di fatto uan mia defaced tempo fa era stata causata d phpBB...e il
fix è arrivato solo dopo una decina di gg...se non ricordo male
fermo restando che uso phpBB quotidianamente. :)
Ciao :)

 genere :-P, ma evidentemente al peggio non c'è mai fine!
Ti assicuro che c'è stato.... anche se ad onor del vero questa persona 
non è un programmatore, quindi è stato un errore giustificato che 
comunque gli è costato il defacciamento per ben 2 volte.
....a parte questo, quest'anno ti vediamo al linux day? verrà fatto a 
Lucca presso la sede dell'aci. Ovviamente sei il benvenuto.
Ciao
Gianni

Lucca presso la sede dell'aci. Ovviamente sei il benvenuto.
Certo, ci sarò :-)
Fammi sapere quando farete il comunicato ufficiale (sul sito del lug
non ho ancora visto nulla) così gli daremo il giusto spazio
"mediatico".


 "mediatico".
Dobbiamo finire di definire la scaletta. A proposito, in futuro abbiamo 
in programma un' altra manifestazione da fare a Massa.... non ti 
anticipo ancora nulla perchč non c'č ancora nulla di definito, la butto 
lě, se vuoi potresti aver spazio per fare il relatore su un argomento. 
Il pubblico sono gli studenti di scuole superiori.
P.S.
Quella famosa intervista al Leo l'abbiamo messa on line :-)
Ciao
Gianni