Newsgroup: it.comp.www.php
Titolo: Programma per inviare form "modificati"

Mi scuso subito per l'OT ma purtroppo non ho trovato nessun altro gruppo 
adatto per postare la domanda.
Esistono dei software appositi per inviare form con contenuti 
personalizzati?
Mi spiego meglio con un semplice esempio. Immaginiamo il sito di una banca. 
Immaginiamo la pagina che permette di pagare una bolletta prelevando la 
somma da un conto bancario. E' ovvio che non sarebbe una buona idea passare 
il numero del conto dell'utente in questione in un campo hidden del form in 
quanto esso � facilmente modificabile.
Ma mi chiedo: come � possibile modificare quel campo senza dover per forza 
salvare la pagina HTML sul proprio PC, modificare i campi che si vogliono 
modificare, cambiare tutti gli eventuali path relativi in path assoluti (in 
modo che il POST funzioni anche eseguendo la richiesta in locale) e inviando 
il form modificato?
Credo che esistano dei software appositi che permettono di costruire a mano 
i form partendo da zero (oppure modificandone uno gi� esistente sul web) e 
poi inviarlo, aggirando cos� tutti i controlli su Javascript, campi hidden, 
ecc.
Mi sbaglio?
-- 
Elminster 

 
invece di usare i campi hidden, usa dei dati in sessione al limite.
come dici te andiamo per esempi:
se sul sito della banca mi loggo (su https) non ï¿œ che in ogni form ci
sarï¿œ un campo nascosto col mio numero di conto o almeno spero,
semplicemente viene aperta una sessione e le informazioni sul numero di
conto saranno recuperate solo ed esclusivamente quando servono veramente.

 personalizzati?
curl.
Bye.

Mi sbaglio?
Non sbagli. E' questo il motivo per cui nessuna applicazione seria fa solo
i controlli lato client.
Per es., tu mi inserisci il codice fiscale; e io lo verifico in Javascript
per risparmiarti la fatica di inviare un form non valido, e risparmiarmi -
nel 99% dei casi - di dover parsare un form non valido.
Ma quando il form mi arriva, io VERIFICO che il codice fiscale sia valido,
lato server; se non e' valido, respingo l'immissione.
Leonardo
-- 
Though with a scornful wonder / Men see her sore oppressed,
By schisms rent asunder, / By heresies distressed;
Yet saints their watch are keeping, / Their cry goes up, "How long?"
And soon the night of weeping / Shall be the morn of song.

 invece di usare i campi hidden, usa dei dati in sessione al limite.
Tutto quello che hai detto � ovvio, volevo solo sapere se esistevano 
software per aiutare gli eventuali utenti malintenzionati a riempire questi 
form.
-- 
Elminster 

 curl.
Sicuramente su un NG di PHP la tua risposta � pi� in-topic della mia domanda 
ma non mi risulta che curl sia un software. :(
-- 
Elminster 

 Credo che tu lo possa fare con TamperData.
Perfetto, grazie.
-- 
Elminster 

 domanda ma non mi risulta che curl sia un software. :(
Si`, lo e`: man curl
curl(1)                           Curl Manual                          curl
(1)
NAME
       curl - transfer a URL
SYNOPSIS
       curl [options] [URL...]
DESCRIPTION
       curl  is  a tool to transfer data from or to a server, using one of 
the
       supported protocols (HTTP, HTTPS, FTP, FTPS,  SCP,  SFTP,  TFTP,  
DICT,
       TELNET,  LDAP  or  FILE).  The command is designed to work without 
user
       interaction.
Bye.

 
Sucusa, ma se io conosco username, password e codice fiscale del signor 
X come la mettiamo?
Gli svuoto il conto e tanti auguri!
E non ci vuole un genio dell'informatica.. basta acquistare in rete un 
keylogger hardware, collegarlo alla tastiera del signor X, ripassare 
dopo un mese a riprenderselo et voil� accesso incondizionato a tutto 
alla faccia dell'applicazione seria..
Un applicazione seria ti chiede di inserire la tua samrt card (CNS) 
nell'apposito lettore ed il relativo PIN, poi sar� mod_ssl a recuperare 
nome utente, codice fiscale ed indirizzo e-mail dal certificato client 
presente sulla stessa verificando se il codicefiscale dell'utente � 
presente nel database e procedendo di conseguenza.
Questa � un applicazione seria...

Diavolinux ha scritto:

va be e se gli rubi la smart card?
praticamente te entri in casa mia installi un keylogger dopo un mese
torni (e chi ti dice che in quel mese io mi sia loggato sul sito della
banca? oltretutto ho un portatile vorrei vedere dove lo metti il
keylogger, cmq) ??? il keylogger hardware mi sembra proprio una paranoia
da cintura nera di seghe mentali.
Esempio sul mio home bancking mi loggo con due codici e ce ne vuole un
terzo per fare i bonofici che oltre tutto possono essere bloccati
nell'arco delle 12 ore.

 alla faccia dell'applicazione seria..
Ma proprio no!
La maggior parte delle banche chiede il PIN che compare sul display
della pennina che loro ti hanno fornito: e quel PIN vale solo per 30
secondi e uan volta sola nella vita (cerca su Google "one time
password").
Inoltre ancora prima che si diffondessero queste chiavette, le banche
avevano pensato di chiedere solo due caratteri (magari il quarto e il
settimo una volta, il sesto e il nono la volta dopo) di una password
segreta lunga 10 caratteri. Così non sapendo quali lettere sono state
chieste quella volta, col tuo keylogger non ci fai nulla.
Andrew

 Si`, lo e`: man curl
Ok, intendevo un software grafico, non a riga di comando.
Andrew

 [...]
E comunque Leonardo parlava del controllo su codice fiscale per dire
che un controllo sicuro va effettuato lato server e non lato client.
Certo, non diceva che il codice fiscale serve per accedere al proprio
account sul sito della banca!
Andrew

 nell'arco delle 12 ore.
Ciaro, ci sono anche diversi tipi di dispositivi hardware per il 
riconoscimento dell'utente, sta di fatto che la semplice combinazione 
username/password e relative funzioni di recupero delle stesse via mail 
per accedere a chicchessia oggi sono da evitare come la peste.
Rammenta che ci sono anche keylogger che vengono distribuiti in rete e 
certamente non tutti gli utenti utilizzano adeguate protesioni o 
dispongono di un laptop

 per accedere a chicchessia oggi sono da evitare come la peste.
Se ti riferisci al riconoscimento biometrico, io sono fermamente 
contrario, per un semplice motivo: non puoi cambiare la password (a meno 
di farti una plastica, usare lenti a contatto apposite o roba del genere).
Per il sito della mia banca username e password funzionano solo per la 
consultazione, mentre per fare qualsiasi operazione (anche una ricarica 
telefonica da 5 euro) serve un codice aggiuntivo.
Personalmente preferisco questi metodi (con combinazioni di caratteri da 
digitare, con generatori pseudocasuali elettronici o roba del genere) a 
sistemi biometrici (vedi sopra) o con una "banale" smartcard (clonabile in 
5 secondi, contro il mese necessario per il keylogging furtivo o la 
speranza che l'utente entri nel sito in un certo periodo).
Tieni conto anche di chi fa piu` cose contemporaneamente. Se io entro sul 
sito della banca, poi apro un'altra finestra e vado su facebook, e 
contemporaneamente ho il gestionale aperto, e poi digito le tre password 
in ordine diverso da quello di apertura, tu comunque non sai con sicurezza 
l'abbinamento applicazione-password corretto. E` forse piu` semplice 
installare un proxy nascosto sul PC e poi farsi mandare i log, piuttosto 
che usare un grezzo keylogger.
Bye.

 ma non mi risulta che curl sia un software. 
Devo smetterla di usarlo allora, tra l'altro lo uso proprio per 
costruire le richieste POST a mano.

 esclusivamente quando servono veramente.
Soprattutto è inverosimile che sia il client a fornirle.

Gli svuoto il conto e tanti auguri!
No, per quello ti serve anche la chiavina RSA con le password dispositive.



wrote:


Per altro, e' vero che con il solo codice fiscale, andando FISICAMENTE in
una banca, puoi fare dei danni che l�vati.


 che usare un grezzo keylogger.
Sorge il dubbio che tu abbia mai utilizzato o visto un keylogger...
Quelli cosidetti "stealt" ti generano un log completo del tipo
C:/Winbug/internet_explorer.exe 
https://superbanca.it
 username:pippo 
password:segretoassoluto
mi pare ci sia poco da confondere, hai il nome del software l'url i 
campi della form e ciò che l'utente digita
Quindi puoi pure saltare da gmail alla banca a qualcosaltro, l'unico 
risultato sarà di fornire all'attaccante tutte le informazioni che gli 
servono.
Vedi in rete "Furto di identità" e ti renderai conto che il fenomeno è 
in forte espansione soprattutto per i professionisti (avvocati, notai, 
commercialisti ecc..)

 chieste quella volta, col tuo keylogger non ci fai nulla.
Ma se ben ricordi.. i furbacchioni prevedevano pure l'invio tramite mail 
  di id e password dimenticate come fanno tuttora moltissimi siti.
Poi non si capisce perch� bisogna sempre tirare in mezzo le banche, qui 
si parla di applicazioni web e di controlli delle credenziali fornite 
dall'utente.
L'unico metodo certo e certificato di controllo delle credenziali � 
l'utilizzo di una PKI (Publik Key Infrastructure) preferibilmente 
attraverso una smart card come la CNS, in alternativa meno sicura 
attraverso i certificati PKCS#12 (.P12 o .PFX)

 password:segretoassoluto
Allora mi viene da pensare che potrebbe anche non essere tanto una battuta 
quella su Windows... :)
Per quanto ci sia gia` qualcuno che sta tentando di fare la stessa cosa su 
Linux.
Bye.