Newsgroup: it.comp.sicurezza.varie
Titolo: Aiuto!!! Sito Hackerato

Spero di non essere OT.
Ma ho proprio bisogno dell'aiuto di qualche esperto di Sicurezza per
il web!!!
Il mio sito 
www.bubuweb.it
 è stato hackerato o meglio crackato, ne ho
le prove. Devo assolutamente riuscire a capire dove sta la falla del
nostro sistema di registrazione/login degli utenti.
Il punto di partenza dovrebbe essere questo:
http://www.bubuweb.it/forum/login.asp?action=logout
il mio username è guest, riuscireste a ritrovare la mia password?
NB: non la voglio assolutamente sapere (potreste pensare che non sono
realmente io il titolare di tale username che cmq. è stato creato
quasi appositamente per fare la prova!).
	Christian Mezzetti
	resp. Bubuweb.it
Per accertarvi della mia identità potete scrivere a
webm...@bubuweb.it
solo io posso rispondere a questo indirizzo email


Embe' ? Scusa eh, perche' se l'utente Admin non esiste che male c'e'
a crearsi un utente con quell'alias ?


certo che... nell'header hai scritto
_
nO_SpaM_...@bubuweb.it
e poi posti il tuo indirizzo qui in bella mostra :-)
Saluti a 
mx3.aruba.it
 :-)
Danny

A parte che un utente che si chiama ADMIN e non ha diritti di
amministrazione a me non da alcun fastidio....
Vi spiego meglio: una persona ha postato sul nostro forum a nome mio,
quindi conoscendo il mio username ed ovviamente la mia password.
se volete ho anche Ip address e ora esatta del post che però ora ho
rimosso visto che era offensivo....
Ribadisco inoltre che Non sto tentando di farmi pubblicità come crede
qualcuno!


ciao

 del genere? dai su...
che vuoi che freghi ad un amministratore se un fesso si registra con id/pw
banali?
-- 
palladium: un nuovo 1984?
http://www.complessita.it/tcpa/

ciao

 anche sui server di aruba.
Ecco, questo interesserebbe anche a me, puoi inviarmelo ?
Grazie
Ciao
--
STEVENB
---------
http://www.bonacasa.info

 suvvia, siamo seri...:)
appunto non spariamo cazzate


 killfile..
tra 30 giorni leggi qua, fottiti e rimettimi nel killfile a vita
magari istallati pure un correttore ortografico e disinstalla il
newsreader se ti avanza tempo
xpost e f/u


Devo assolutamente riuscire a capire dove sta la falla
Server: Microsoft-IIS/4.0

meglio se fai il tutto con PHP.
Quali differenze tra ASP e PHP?

 rimosso visto che era offensivo....
Avresti potuto forse contattare l'abuse desk del'ISP cui appartiene l'ip 
che hai nel log, chiedendo loro cortesemente se l'utente e' responsabile 
di un comportamento che va contro la loro policy.
PS: Quota!
-- 
HappyCactus - Linux User #209744 - LFS User #6046 - >>> SMSPM1050 <<<
              YAGF Member Group >>> 
www.google.com
 <<<
Ci sono 10 categorie di persone al mondo: quelle che capiscono
il sistema binario e quelle che non lo capiscono.

meglio se fai il tutto con PHP.
<OT>
sai se esiste qualche plugin per far girare php su personal web
server?
</OT>
--
Ciao!
Davide
[DAOC PG]Armorgod Troll Sciamano - Midgard Vortigern[/DAOC PG]

 io odio, PHP ha una sintassi molto simile al C, che io adoro. :)
questa poi... Nel PhP una sintassi simile al C, sinceramente io non ce
la vedo.


 nostro sistema di registrazione/login degli utenti.
La falla IMHO non e' nel meccanismo di autenticazione, bensi' in quello 
di posting del forum. Dovreste utilizzare un'autenticazione diversa, di 
tipo digest, con un token usa-e-getta, ad esempio.
Dettagli in mail...


la vedo.
Ha ragione. Per una volta che succede riconosciglielo, dai.
(da apt-cache show php4)
PHP4  is an  HTML-embedded scripting  language.  Much of  its syntax  is
borrowed from  C, Java  and Perl  with a  couple of  unique PHP-specific
features thrown in. The goal of  the language is to allow web developers
to write dynamically generated pages quickly.
Invece, ci si dimentica di dire che mentre php e` _realmente_
multipiattaforma e multi_architettura_ (e per me e` importante, ad
esempio), banalmente asp e` un linguaggio morto, non piu` supportato da
MS, a favore della sua evoluzione 
asp.net
 che in realta` non ha poi
cosi` tanto in comune.
-- 
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 cosi` tanto in comune.
ARGH. Tutto secondo copione.


 realta` non ha poi cosi` tanto in comune.
Correggimi se sbaglio: asp non e' un linguaggio ma solo una tecnologia 
per incorporare codice eseguibile lato server nelle pagine web. Quando
uso la tecnologia asp ho la possibilita' di usare, come linguaggio, un
certo numero di linguaggi di scripting, da VBscript a Jscript passando
per perl, python, e qualsiasi altro linguaggio per cui sia disponibile
un ActiveX scripting engine. PHP, invece, e' anche linguaggio. 
asp.net
e' diverso perche' diversi sono i linguaggi di scripting supportati di
default ma non vuol dire che non si possano i vecchi linguaggi (non ho
ancora provato aspdotnet e quindi potrei dire fesserie).
Fabio

 sinonimo di una certa garanzia nettaente maggiore.
Dmitry, un uomo, un mito :-)
Danny e il nuovo alt.support.grief.suicide

cosa del genere? dai su...
Non ho capito il problema, sicche' dico che hai PROBABILMENTE ragione,
ma la certezza non ce l'ho :-)
a) Trovi strano che si possa creare l'utente "Admin":
	Non ci vedo problemi. Chiamarsi Admin non e' diverso da essere
	l'utente Dio, o Jesus, o Silvio. Questo non ti da' onnipotenza
	o capacita' di camminare sull'acqua o di sfuggire ai processi,
	perche' hai solo il NOME di un'entita' capace di farlo.
	Naturalmente mi puoi obiettare (ed e' vero) che, a quel punto,
	io posso scrivere firmandomi "admin@sito", e chi mi legge puo'
	pensare che io ne sia l'amministratore e magari rivelarmi dati
	confidenziali.
	Per questo, si', non e' bello che si possano creare utenti con
	nomi "famosi" (admin, root, webmaster, postmaster, helpdesk, e
	cosi' via).
	(Incidentalmente: potrebb'essere carino farne una lista, cosi'
	poi si puo' creare un modulino di controllo...)
	Pero', se poi si puo', insomma, diciamo che e' peccato veniale
	(e' ugualmente sanzionabile in sede civile, temo. E' la storia
	dell'ordinaria diligenza)
b) Trovi strano che si possa creare un utente NOME con password NOME o
   comunque banale:
	Hai ragione. Punto. Quell'account non e' sicuro, e va bene per
	siti dove uno comunque non puo' fare una mazza ***E LO SA***.
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 l'utente Dio, o Jesus, o Silvio.
Caro Serni, per piacere non nominare il *mio* nome invano. Ok ? ;-))


Lo vedi che sei una Testina ? :-)
Bastava che dicessi, come ha scritto HappyCactus, che e'
un nome che puo' al massimo confondere qualche utente che
si sentirebbe magari in dovere di inviargli dati tipo username
& password, credendolo un amministratore di quel sito.
Danny che c'e' modo e modo di dirle, le cose.

ancora provato aspdotnet e quindi potrei dire fesserie).
E` in sostanza cosi`.
Per quanto riguarda 
asp.net
 si puo` ancora utilizzare i vecchi script
asp ma senza le funzionalita` della piattaforma .net, la cli, le
modifiche a run-time ecc. Ovvero un modo elegante per dire: cambiate.
C'e` un ultimo elemento: asp aveva dalla sua, grazie a vbscript la
_facilita`_ come cavallo di battaglia.
asp.net
, anche con 
vb.net
 e` _sostanzialmente_ piu` difficile rispetto
al suo predecessore, rimuovendo uno dei _pochi_ motivi per cui, qualcuno
poteva _eventualmente_ scegliere asp, piuttosto che uno tra php e jsp
(che ha come piu` forte limite il _forte_ costraint os/webserver/arch e
talvolta anche su gli rdbms).
E infatti, a piu` di un anno oramai, non mi pare si vedano molte pagine
.aspx.


permetto di dissentrire. Ma e' comunque un parere personale, nulla piu'.
fermo restando che le opinioni personali sono solo da rispettare,
considera che di java si dice che ha una sintassi "C like".
dire che php ha una sintassi C like e java like e` una rindondanza. :)
cmq, diciamo che, chi proviene dal C, si trova senz'altro meglio su php
che su 
asp.net
 (rotfl).
e tagliamo la testa al toro.


 
Dai Silvio, non incazzarti per cosě poco :)
-- 
Valter Minute
vmi...@inwind.it
 (the reply address of this message is invalid)

 Ma del resto e` normale. E` il mestiere di php.
Mica vero:
robyt:~# php -q
^D
robyt:~# 
Io un paio di script che ho fatto in php perchč dovevo accedere al db e
mi rompeva farli in perl.
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Sentito da una programmatrice:
	"Ma vi capita mai nella vita reale, tipo mentre
	rifate il letto di dire 'Ho sbagliato, pigio ctrl-Z'?"

 Leonardo


 
Diciamo dopo gli altri due terzi.


Vi spiego meglio: una persona ha postato sul nostro forum a nome mio,
O a nome di "webmaster " (o webmaster+, o +webmaster+, o webmaster++ se
vuole fare hacking orientato agli oggetti)
Leonardo e prima le spiegazioni banali


la vedo.
<?
	// Versione beta
	for ($i=0;$i<5;$i++)
	{
		printf("%s\n", "dipende da cosa intendi per sintassi");
	}
	echo "Be', in C non potresti dire che quelle sono $i righe.\n";
	/* Ma, per il resto... */
?>
Leonardo


 ?>
Scusa, ma a che servono i simboli <? ?> in C?
;-)
-- 
Fabrizio "Hermooz" Ermini

robyt:~# 
premesso che "php -q" non lo conoscevo (grazie, si sa mai!), guarda qui:
[mizio@child mizio]$ time ./provaphp.php 
prova prova!
real    0m0.425s
user    0m0.080s
sys     0m0.350s
[mizio@child mizio]$ time ./
provaperl.pl
 
prova prova!
real    0m0.010s
user    0m0.000s
sys     0m0.010s
e lo script contiene solo una print. no grazie, non mi interessa. :)


 e lo script contiene solo una print. no grazie, non mi interessa. :)
 
Che sia più lento ok, è vero ma il mio è uno script che dura 1 secondo e
lancio a mano 1-2 volte al giorno, mi faceva fatica rimettermi a leggere
il manuale del perl e quindi...


 su php che su 
asp.net
 (rotfl).
confermo

 Caro Serni, per piacere non nominare il *mio* nome invano. Ok ? ;-))
ecco un altro che soffre di omnipotenza :) mhm.....anche virile? :)

 controindicazioni. 
Solo un pò di confusione? Contenti voi, sai a me cosa me ne frega poi..

 realta` non ha poi cosi` tanto in comune.
Su questo perfettamente d'accordo, difatto sono anche io affascinato 
da questo linguaggio per i motivi di cui sopra, specie se penso a
phpmnuke.

      SA***. 
Ok, non è un sito governativo della nasa....ma insomma :)
ciao

 Silvio si potrebbe anche inviperire per essere messo dopo gli altri 2
Le ultime stronzate datte da detto personaggio lo fanno assomgliare un 
pò meno angelico..

 Dmitry, un uomo, un mito :-)
cosi mi piaci :) !

 wrote in message
news:Xns92BF8A9A...@192.168.1.6...
tolga quel "al lavoro", vah
Danny che ma mi facci il piacere, mi facci :-)


Si che scherzo ma tu cmq dimmelo, che lavoro fai, a sto punto :-)


certo che, avendo a che fare tutto il giorno con le lampadine, ti sarebbe
potuta venire anche la LUMINOSA idea di scrivermelo in privato, no... ?
Danny che si sta domandando cosa ca$$o gliel'hai chiesto a fare, l'email :-P

</OT>
MySql con EasyPHP.

 immenso :)
regalati un sorriso, visita il suo sito: una vetrina di licenze letterarie
e ortografiche
-- 
palladium: un nuovo 1984?
http://www.complessita.it/tcpa/

Scusa, ma a che servono i simboli <? ?> in C?
"Simile" non e' identica a "identica": le e' solo simile.


 
Perchè spararsi in una gamba così? (usando PWS, si intende).
Esiste sicuramente un plug-in funzionante per Xitami, questo lo so di
sicuro.
-- 
Renato 'Hitman' Salzano / 
http://spazioinwind.libero.it/hitman/
GdG #6 / IHGGer #778 / Counter VFNCL di IFTMdG / Yane's Fan #00 
"[-](Back to the front)/you will do what I say,when I say/[-]/you will die
when I say,you must die/[-]/you coward/you servant/you blindman/you soldier"

         confidenziali.
Ricordo anni fa una mail tarocca, in cui per il "solito" problema di
sputtanamento del database utenti, gli abbonati a tin erano invitati a
inviare la propria password a 
telecom...@hotmail.com
 :-)
-- 
"Ehi, fratelli. Qui c'e' scritto che c'e' anche il tempo per combattere".
SETI@home: 144WU/7995hrs on a P166MMX :-)
SecurFaq             : 
http://securfaq.usenet.eu.org
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 Dmitry, un uomo, un mito :-)
"Un uomo, un perche'"? :-D
/me "piu' che un uomo, direi, appunto un uomo" (cit.).


 Scusa, ma a che servono i simboli <? ?> in C?
Infatti non e' C, e' PHP. In PHP quei simboli delimitano le parti di
codice rispetto alle parti statiche della pagina scritte direttamente in
HTML.


 /me "piu' che un uomo, direi, appunto un uomo" (cit.).
quando parli di dmitry occorre mettere l'apostrofo a "un'uomo" ;P


 id/pw banali?
dipende da che puoi fare con quell'id/psw.
se hai solo un accesso ad una webmail o ad un forum concordo.
ma se hai anche un accesso ftp e l'iscrizione non e' libera per tutti e
richiede l'avvallamento dall'admin.
o se io do accessi alla mia macchina (al servizio che preferisci) e
permetto all'utente  di cambiarsi password, fino ad ottenere un joe
account, beh, ho tradito il senso dell'obiettivo che sto perseguendo.
un mayhem e le scoregge puzzolenti
-- 
 Le cose che temiamo di piu', sono sempre quelle che conosciamo.
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.com
 Hacklab VR: 
http://www.m2net.it.eu.org

 dipende da che puoi fare con quell'id/psw
ovvio che se l'account desse l'accesso a dati sensibili ci dovrebbe essere
un controllo dell'amministratore ma non e' certo creando una lista di
id/pass banali come proposto dal prezzemolino di it.comp.* che si risolve
il problema


Apache (non ha bisogno di presentazioni, gratuito sotto licenza GPL)
qui già si potrebbe ragionare... in effetti non ci avevo pensato...
--
Ciao!
Davide
[DAOC PG]Armorgod Troll Sciamano - Midgard Vortigern[/DAOC PG]


Xitami allora: è free.
