Newsgroup: it.comp.www.html
Titolo: frames ...

Notavo che il nostro sito (aziendale), essendo basato su frames (prima o poi
lo
rifaranno), mostra delle URL del tipo
www.azienda.it/menu.htm?pagina-sezione.htm
Se manualmente vado a sostituire con una stringa del tipo
www.azienda.it/menu.htm?http://www.cicciobello.com
">
http://www.cicciobello.c
om, nel riquadro del frame
viene appunto caricata la pagina 
http://www.cicciobello.com
.
E' un effetto solo dal lato client (browser locale), o la pagina che viene
passata viene fatta transitare anche dal server che ospita in nostro sito
nel qual caso se il furbo di turno indirizza a qualcosa di subdolo puo
significare dolori?
Penso che per gli html-isti la cosa sia banale, ovviamente per chi non lo e'
.... ;-)
Grazie, F.
--
Newsgroup robomoderato - gli articoli vengono approvati automaticamente

 subdolo puo significare dolori?
E` un gravissimo bug di sicurezza che vi consiglio di far correggere al 
piu` presto, ma possibilmente non dall'incapace che ha creato quegli 
script.
Per darti un'idea, un phisher potrebbe fare una pagina identica alla 
vostra e farla caricare nel vostro sito. In questo modo sulla barra 
dell'URL si continua a vedere il vostro URL, mentre nel frame lui puo` 
fare quello che vuole: raccogliere dati sensibili con un contact, simulare 
un'area riservata (dove gli utenti ignari useranno le stesse credenziali 
che usano per decine di altri siti) o fare qualsiasi altra cosa 
nascondendosi dietro il vostro nome.
Non e` un problema di HTML. Probabilmente dietro quel menu.htm c'e` uno 
script in PHP o ASP che fa un include della pagina passata senza nessun 
tipo di verifica.
Bye.


 altra cosa nascondendosi dietro il vostro nome.
Grazie per la risposta.
Premesso che chi ha fatto il sito era a mio parere incompetente, ma quando
ci sono ordini superiori ...
Un chiarimento mi farebbe piacere: Se non e' possibile accedere al
sito/server per modificare il codice (nel qual caso penso che anche il sito
meglio fatto ...), per il server, questo "giochetto" comporta qualcosa?
Le pagine che carico nel frame, vengono elaborate del MIO server o il
browser le richiede direttamente al server in cui risiedono?
Grazie, F.
Per completezza: ad occhio usano solo html e javascript (anche se il server
e' abilitato per php).


 server e' abilitato per php).
Allora probabilmente usano un location.href in JS per caricare il pezzo di 
sito nel frame. A questo punto, sul server non vedi niente.
E` piu` difficile da crackare, visto che non puoi sfruttare bug sul 
software del server per infilare link malevoli (o banalmente infilare il 
link in un guestbook o in un commento, per esempio), ma magari puoi 
sfruttare bug del client per fare cross-site-scripting, o usare altri 
trucchetti coi link da un sito all'altro.
Bye.


 trucchetti coi link da un sito all'altro.
A me interessava sapere se quel che mi ha detto il sistemista (che non stava
a lui giudicare, ma a suo parere nonostante il sito fatto da culo (ma
esteticamente carino ...), dal lato server non ci sono implicazioni), era
vero cosi' la prossima volta oltre all'estetica guarderanno anche alla
sostanza ;-)
Grazie, F.


 sistemi/buchi?
In ASP non lo so.
In PHP se non disattivi l'apposita opzione nella configurazione di PHP, 
quando ai include("
http://www.pollo.com
"); il server si collega, scarica 
l'html e lo manda al browser.
E' una funzione molto comoda, ma anche molto pericolosa, soprattutto se 
non sanitizzi i parametri che ti vengono passati dall'utente.
Ma qui siamo OT, se ti interessa continuare c'e` it.comp.www.php
Bye.
