Newsgroup: it.comp.www.php
Titolo: mmmm

Leggendo dei post ho letto:
"ho notato ke quasi tutti gli scipt PHP
ke lavorano con nomiutente/password sono soliti inserire le password in
maniera criptata sul database"
Fabio 22/05/01 11:52
E la domanda sorge spontanea....
Sono l'unico che non lo fa???
ehehehe
Ho notato tra gli attributi dei campi di mysql il formato pass, ma ne so
veramente poco.
E poi, seconda domanda, se l'utente si perde la pass... io come faccio a
ricordargliela se non posso vederla?
E poi scusatemi un secondino....
La vera questione di sicurezza è per l'user e la pass di connessione al db.
E' vero che queste sono messe in file "inclusi", è vero che il php
restituisce solo il codice html, ma se mi scarico il sito intero
(teleportpro) io vedo non solo il codice php delle pagine che visualizzerei
nel browser, ma anche i file "inclusi" da cui mi prendo con grosse risate le
info che mi servono per accedere al db.
Come si fa a poter mettere in sicurezza questo tipo di sistema???
Grazie mille... non vorrei essere andato OT.
Ciao ciao wittolo

info che mi servono per accedere al db.
Non so cosa sia teleportpro, ma non credo che ti permetta di prelevare files
che terminano in .php (ammesso che il web server sia configurato per
eseguire il php).
Amedeo

 ha scritto nel messaggio
news:9egnmp$3r9$1...@smtpgateway1.unv.org...


 - ICQ#91902715
http://www.matteomoro.com
 [.
cjb.net
]
"...i am immortal, i have inside me
blood of kings..." ©fm

Giusto Teone...
Non avevo mai verificato questa cosa e leggendo quel problemino con le pass
mi era venuta in mente questa eventualità.
Ma allora...
A che mi serve fare giri strani se in ogni modo sono l'unico ad accedere al
mio db???

 info che mi servono per accedere al db.
no,no!!
per accedere alle pagine web occorre interrogare il webserver, il quale sia
al browser, che a teleport che altri restituisce sempre la pagina
rielaborata e non il codice php.
Cifrare le password serve anche per tenerle lontano non dagli utenti web, ma
anche dal tuo hoster...


Perchè non si sa mai che ci possa essere qualche bug negli script
(soprattutto quelli che permettono agli utenti di inserire dati, tipo
forum e cose del genere), e poi la sicurezza non è mai troppa...
ciao.
TeO:-)


 ricordargliela se non posso vederla?
Tu non devi saperla, al massimo puoi fare in modo che la possa riscrivere da
capo, ma tu non la devi sapere =) Puoi anche usare il metodo della domanda
segreta per dargli la possibilitą di riscrivere la password

Come si fa a poter mettere in sicurezza questo tipo di sistema???
Si licenzia Nonna Beppa e si fa configurare il sito da qualcuno che
ne capisca un tantino di piu'.
Hint 1:	-Indexes
Hint 2: <Files ~ "^\.inc">\nOrder allow,deny\nDeny from all</Files>
e bye bye, Teleport Pro.
Hint 3: ipchains -I input -p tcp -d 0/0 3306 -w eth+ -j REJECT
col che anche avere la password ti serve il giusto.
<cattiveria>
<?
	if ($HTTP_USER_AGENT=="Teleport Pro ecc.")
	{
		// Yak yak yak
		include "fake-php-code.inc";
		exit();
	}
?>
Leonardo
-- 
".signature": bad command or file name

te).
 Esatto:)) Tempo fa si potevano leggere i codici delgi script asp
inserendo un punto finale nell'url (i.e. 
www.sito.com/script.asp
.) .
E' un bug di qualke server (credo l'IIS) corretto.Personalmente non ho
mai trovato un bug del genere.
But The Memory Remains___come disse il buon James:)

 ha scritto nel messaggio
news:tgdogt8667mmts4m0...@4ax.com...
