Newsgroup: it.comp.sicurezza.varie
Titolo: domande sul protocollo HTTP

Salve,
Conoscete le utility wget e curl? queste utility permettono di sfruttare il
protocollo in modo leggermente diverso dal browser!
Ad esempio controllare in ogni dettaglio la richiesta HTTP specificando a
piacimento browser web, s.o., http-referrer etc....
Vorrei sapere se ad esempio mascherare, negare (o come dir si voglia) l'http
inter-domain referrer č un operazione legale o no?
E in generale tutto ciň che possono fare questi programmini č legale?
Spero di essere stato abbastanza chiaro.
grazie
ciao
---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (
http://www.grisoft.com
).
Version: 6.0.478 / Virus Database: 275 - Release Date: 06/05/2003

 E in generale tutto ciň che possono fare questi programmini č legale?
Perche' non dovrebbe esserlo?
Sono solo opzioni e comandi del protocollo HTTP...
Tra l'altro lo puoi fare tranquillamente anche tu a mano 
con un programma tipo netcat.
Da quando in qua scegliersi il client preferito e' illegale?
^___-
-- 
Trimack -- GPGKey 61A6ABFD on 
keyserver.linux.it
"Running Windows on a Pentium is like having a brand new Porsche but only
be able to drive backwards with the handbrake on."

E in generale tutto ciň che possono fare questi programmini č legale?
Dipende da cosa intendi per "tutto cio'"...se mandi una richiesta http
per far crashare il sistema server non so quanto sia legale...
-- 
Linux Registered User #181013
[Exokernels] Although one approach to eliminating bloated, buggy,
unreliable operating systems is to make them smaller. A more radical
one is to eliminate the operating system altogether.

 per far crashare il sistema server non so quanto sia legale...
Naturalmente non intendevo quello che hai scritto!
mi riferivo a cose semplici, tipo se non voglio far sapere che s.o. sta
usando il pc oppure che tipo di browser usa il pc
Adesso è chiaro cosa intendevo?!!


Adesso è chiaro cosa intendevo?!!
Si'.
Ma quello che ti volevo far capire io era: "E' legale tutto quello che
posso fare con un coltellino svizzero?", dove con "un coltellino
svizzero" puoi sostituire a libero arbitrio:
"un'automobile"
"una chiave inglese"
"una mano"
"una katana"
"un coltello da cucina"
...
ma forse non potevi sapere che con un browser si puo' mandare in crash
un computer.


inter-domain referrer č un operazione legale o no?
   Nessuno ti obbliga a comunicare il "referer" (disgraziatamente con
una sola r, quindi le virgolette :D) al server [1][2].
   Falsificare il "referer", invece, e`, secondo me quanto meno
discutibile. Probabilmente sono un sentimentale, ma riterrei giusto
che scaricare pagine da un sito illegale (in qualsivoglia modo),
indicando come "referer" un altro sito innocente, possa un domani
costituire come minimo i giusti presupposti per una querela per
diffamazione.
[1] Direi che approvo la solerte attenzione che alcuni browser
(ovviamente non IE) dedicano ai cookies, giustamente identinficandovi
una possibile fonte di violazione della privacy dell'utente.
Stranamente (e onestamente spero che si tratti solo di una mia
ignoranza), gli stessi sembrano bellamente ignorare l'header
http-referer, eppure (solo la prima idiozia che mi viene in mente)
semplicemente cliccare su uno dei risultati di una query su un motore
di ricerca, potrebbe facilmente trasmettere l'intero testo della
ricerca al sito di destinazione tramite l'http-referer.
[2]Dall'rfc 2616:
The Referer field MUST NOT be sent if the Request-URI was obtained
from a source that does not have its own URI, such as input from the
user keyboard.
[...]
We suggest, though do not require, that a convenient toggle interface
be provided for the user to enable or disable the sending of From and
Referer information.
[...]
it is strongly recommended that the user be able to select whether or
not the Referer field is sent. For example, a browser client could
have a toggle switch for browsing openly/anonymously, which would
respectively enable/disable the sending of Referer and From
information.
-- 
S.L.

 S.L.
Riguardo l'ultimo ritaglio dell'RFC 2616 sembra che i browser non abbiano
questa funzionalitą! AFAIK
Se mi sbaglio corregetemi!


 E in generale tutto ciò che possono fare questi programmini è legale?
Domanda capziosa... che vuol dire "tutto ciò che possono fare"?
E' chiaro che mentire sul refered non è illegale ma inviarci un URI di 3500 
caratteri per (ad esempio) approfittare di un exploit del server lo è 
abbastanza.


Se hai letto i miei post precedenti avrai notato che mi riferivo a cose
semplici tipo nascondere il nome del browser e del s.o.
adesso č chiaro cosa volevo dire?
