Newsgroup: it.comp.sicurezza.varie
Titolo: E' possibile riuscirci?? - Sicurezza con applet Java

Ciao a tutti...
ho una specie di "scommessa" con un mio amico...
La storia e' questa...lui sostiene che vuole fare un'applet Java che gli
faccia da contatore x gli accessi alla sua home page..come premessa non su
internet ma sulla intranet che abbiamo a scuola...
Per far cio' fa in modo che ogni volta che l'applet viene eseguita
incrementi un contatore che sta in un file residente sul server...un Linux,
x essere precisi.
E li entro io....sostenendo che ci sono notevoli problemi di sicurezza,
xche' per far cio' il file deve essere sprotetto alla scrittura anche a
qualsivoglia utente, cioe' con permission rw-rw-rw per intenderci, cioe' un
potrebbe magari editare il file e riuscire a fargli eseguire un qualchecosa
di molto "cattivo"
Ma li dice che settando le perimission della directory che contiene sia
l'applet che il file a rw-r--r-- basta ed avanza..
Il mio quesito e': e' vero o meno? Chi ha ragione? E se ce lo io, mi dite un
modo per poterci riuscire, cosi' gli faccio imparare a sue spese a non darmi
torto...:-)
Scusate la lunghezza e il linguaggio un po' approssimativo, ma meglio di
cosi' non riesco! :-)
Grazie x le risposte (spero numerose e chiarificative!)
Ciauz!
--
                              __
                             |    |
                          \_|__|_/
                           (6   6)
/------------o00--(__)--00o----------------------------\
| Davide Ferrari                                                  |
| Nickname : Black Shark                                 |
| Correct e-mail : 
black...@writeme.com
  |
| ICQ number : 5301833                                   |
| Home page : 
http://i.am/blackshark
               |
| Abbasso la TUT! : 
http://notut.ml.org
             |
\-------------------------------------------------------------/

Black Shark (
sedN...@mediacomm.it
) wrote:
: Ciao a tutti...
: ho una specie di "scommessa" con un mio amico...
Che belle le scommesse.....
: La storia e' questa...lui sostiene che vuole fare un'applet Java che gli
: faccia da contatore x gli accessi alla sua home page..come premessa non su
: internet ma sulla intranet che abbiamo a scuola...
: Per far cio' fa in modo che ogni volta che l'applet viene eseguita
: incrementi un contatore che sta in un file residente sul server...un Linux,
: x essere precisi.
: E li entro io....sostenendo che ci sono notevoli problemi di sicurezza,
: xche' per far cio' il file deve essere sprotetto alla scrittura anche a
: qualsivoglia utente, cioe' con permission rw-rw-rw per intenderci, cioe' un
: potrebbe magari editare il file e riuscire a fargli eseguire un qualchecosa
: di molto "cattivo"
Non e' detto che l'applet debba girare con quei permessi.....
l'applet viene eseguito dal demone HTTP e si puo' fare in modo che solo lui
abbia i permessi in scrittura sul file.
Quindi i permessi diventano rw------ con il proprietario www e group www (per esempio)
Ricorda di non far girare mai il demone come root ... se qualcuno riesce a sploittartelo
sono dolori..... per aumentare la sicurezza e' bene che tutto giri in ambiente chroot
(se non sai cos'e' leggi il man in linux e verifica la sua utilita')
Poi tutto dipende da come e' fatto l'applet....
E' possibile che possa dare dei problemi ma non e' detto
: Ma li dice che settando le perimission della directory che contiene sia
: l'applet che il file a rw-r--r-- basta ed avanza..
: Il mio quesito e': e' vero o meno? Chi ha ragione? E se ce lo io, mi dite un
: modo per poterci riuscire, cosi' gli faccio imparare a sue spese a non darmi
: torto...:-)
Non c'e' un modo standard ... (che io sappia) 
: Scusate la lunghezza e il linguaggio un po' approssimativo, ma meglio di
: cosi' non riesco! :-)
: Grazie x le risposte (spero numerose e chiarificative!)
: Ciauz!
Riciauz
: --
:                               __
:                              |    |
:                           \_|__|_/
:                            (6   6)
: /------------o00--(__)--00o----------------------------\
: | Davide Ferrari                                                  |
: | Nickname : Black Shark                                 |
: | Correct e-mail : 
black...@writeme.com
  |
: | ICQ number : 5301833                                   |
: | Home page : 
http://i.am/blackshark
               |
: | Abbasso la TUT! : 
http://notut.ml.org
             |
: \-------------------------------------------------------------/
--
Giorgio Basanisi
Intesis SECURITY LAB            Phone: +39-2-67156301
Via Settembrini, 35             Fax: +39-2-66981953
I-20124 Milano  ITALY           Email: 
basa...@seclab.com

l'applet che il file a rw-r--r-- basta ed avanza..
Avanza, infatti. Basta -rw------- :-)
Leonardo
".signature": bad command or file name

 di molto "cattivo"
Apparte il fatto che, basta un semplice rw-------, perche e' Apache (o
chi per lui)  compe gruppo www che modifica e legge il file, ma poi, per
far eseguire qualcosa di losco al sistema, dovrebbe essere settata anche
la "x" (executable).
-- 
Sono gradite risposte anche via e-mail.
Grazie e ciao,
Giglio
!!!ATTENZIONE!!!: il mio vecchio e-mail address 
gig...@crusader.it
 non
e' piu' attivo!!!
E-mail: 
gig...@poboxes.com
E-mail per files binari: 
gig...@mclink.it
Homepage: 
http://members.xoom.com/giglio/
ICQ: 12385960