Newsgroup: it.lavoro.professioni.webmaster
Titolo: PHPNuke: un appello

Salve, scrivo a proposito di un problema che sta assumendo delle
proporzioni un po' elevate (a mio modo di vedere).
Molti siti vengono realizzati con PhpNuke (tra l'altro un ottimo
oggetto, tolto qualche aspetto architetturale da migliorare, ma
senz'altro migliore di molti prodotti ben piu' costosi), purtroppo chi
usa il prodotto non lo 'segue' nel senso che non si occupa di applicare
quelle patch che risolvono problemi di sicurezza noti che consentono,
molto semplicemente, il defacement del sito, in particolare
dell'homepage.
Ho pensato di postare qui, perche' bene o male e' pieno di addetti ai
lavori, e' importante quando si fanno siti del genere che sono vere e
proprie "applicazioni" guardare anche alla sicurezza e alla manutenzione
dello stesso, non si puo' pensare di installare un oggetto come phpnuke
e poi lasciarlo li per mesi senza mai 'guardarlo' dal punto di vista
degli aggiornamenti.
In ultimo non sarebbe male impostare i permessi dei siti al fine di
consentire la scrittura sul file system dal webserver (IIS o apache) che
sia solo dove *realmente* necessario e non ovunque altrimenti il
defacement e sempre dietro l'angolo.
Sperando di essere stato utile.
--
Antonio Baldassarra
anto...@seeweb.com

 ha scritto nel
messaggio news:3BEBBA1D...@seeweb.com...


 Marco
Ok per il dics se parliamo di deface ma se ci sono in gioco dati importanti?
Uno non puo' disinteressarsi di queste cose, la colpa e' cmq dei wm che non
lavorano bene.
ciao
Danilo


beh! aspetta un attimo: io sono il primo a 'seccarmi', e se permetti anche a
subire un certo danno d'immagine, quando un sito di un nostro cliente viene
'defaced' capisco che il 'ragazzino brufoloso' che ci si e' divertito rompe
veramente le p.... pero' mi sembra anche 'grave' che chi fa un lavoro non lo
fa bene e soprattutto non si rende conto della necessita' di 'seguire' gli
sviluppi di quello che fa.
Facciamo un esempio:
Il defacer di stamane ha, al solito, cambiato  la home page di alcuni siti
(tra l'altro tutti gestiti dalla stesso webmaster :-(( ) in maniera eclatante
e quindi vale il tuo discorso.
Supponiamo che invece il tizio fosse stato in malafede *seria*, poteva per
esempio inserire nel sito del materiale illegale, magari politico, magari
terroristico senza toccare nulla della sacra homepage, non sarebbe stato
gravissimo ? magari le conseguenze potevano essere veramente serie ....
allora tuttosommato, forse il ragazzino brufoloso va anche ringraziato per
aver 'evidenziato' il problema in maniera innocua, non credi ?
--
Antonio Baldassarra
anto...@seeweb.com

 wrote in message
news:3BEBBA1D...@seeweb.com...

Il defacement di PHPnuke è semplice da evitare e non è dovuto ad un errato
settaggio dei permessi dei files (che può avvenire solo in ambienti
linux/unix) ma ad un bug presente in tutte le vesioni escluse la 5.0 Release
Candidate e la 5.3 che è uscita ieri. Il bug è correggibile attraverso una
patch che ho pubblicato da tantissimo tempo e che va ad evitare che,
scrivendo una certa stringa si possa accedere all'area amministrazione files
Saltando la verifica di Admin
Ciao a tutti
Cla
=======================================
Claudio
- 
www.spaghettibrain.com
 PHPNuke Italian Mirror
- Vuoi un DB MySQL Free? Fatti un giro su Spaghetti ...
=======================================

aver 'evidenziato' il problema in maniera innocua, non credi ?
Insomma, fino ad un certo punto. Se mi dimentico di chiudere a doppia
mandata la porta di casa, oppre non ho la porta blindata, ed un ragazzino
entra dentro casa mia, si fa un giro in camera da letto e poi attacca un
messaggio fuori dalla porta con scritto che sono un pò pirla. Beh a me non
fa piacere e se lo becco....
Ciao.
Faser
--------------------
FABIO SERRA
*Questo testo deve essere valutato secondo il senso della RFC-3*
Per rispondere in e-mail sostituire "invalid" con "faser"
http://www.cfmentor.com
--------------------

Pienamente daccordo.
Marco


 > per sfida però...e sono stato un grande coglione. Non è giusto rovinare


 figura ci avrebbero fatto? Forse la figura che meritano, ma cosě č stato
Che c'entra e' chiaro che sono d'accordo con te, ma tu fai parte della
categoria dei "gentleman", uno che gioca a fare il defacer e' comunque
(dal mio punto di vista) quantomeno un delinquente in erba. Quello che
volevo dire e' che fin'ora (almeno nei casi che ho visto da vicino) ho
sempre avuto a che fare con 'ragazzini brufolosi' senza vero intento
'pericoloso', volevo solo dire che potrebbe accadere di incontrarne uno
con intenti che vanno oltre quello di voler piazzare in suo banner su un
sito famoso per farsi bello al bar del canale #irc. e questo credo vada
previsto.
Se ho dato l'idea di essere dalla parte del crackers o dei defacers,
smentisco; cercavo solo di sollevare attenzione sul problema dei siti
'complessi' trascurati.
Io non sono un webmaster, ma credo che non si possa vendere un lavoro di
realizzazione di un sito complesso che prevede programmazione, e quindi
possibili bug, senza avvertire chiaramente il cliente della necessita'
di una continua manutenzione della cosa, oltretutto per voi sarebbe una
fonte di reddito oltre che di qualificazione professionale, o no ?
Buon fine settimana
-- 
Antonio Baldassarra
anto...@seeweb.com

fa piacere e se lo becco....
meglio quello che trovare la porta socchiusa, le pareti tutte
pitturate di giallo e l'argenteria sparita...

 Ciao.
In ogni caso commette reato.....
anche se non lascia messaggi......