Newsgroup: it.lavoro.professioni.webmaster
Titolo: [ASP.NET] grrrrrr.....

Gia' che uno deve cambiare testa rispetto ad ASP, gia' che e' un
ambiente nuovo e c'e' un sacco di roba che ti scappa da tutte le parti
(meglio questo metodo o quell'altro... pero' con quest'altro
ancora...) ora ci mancavano le due versioni del framework...
Vabbe' sara' che a quest'ora non si notano le scritte in rosso, specie
se piccole, ma dopo aver tentato (inutilmente) in mille (si fa per
dire) modi di fare un test con la proprieta' HasRows di
OledbDataReader mi girano un po' a leggere
 Note: This namespace, class, or member is supported only in version
1.1 of the .NET Framework.
Poll: secondo voi io ce l'ho installata la versione 1.1 del framework
.NET?
Vabbe'... vado a letto e ci penso domani
'notteeeee
Claudio
P.s.: in effetti quando ho guardato le prime volte, oltre a Read non
e' che ci fosse altro per fare quel lavoro (AFAIK)

 e' che ci fosse altro per fare quel lavoro (AFAIK)
Prima dell'avvento di HasRows, potevi effettuare il bind dei dati
sull'oggetto desiderato, quindi controllavi quanti dati erano stati immessi.
Ad esempio, con il datagrod facevi:
if (DataGrid1.Rows.Count==0)
    // Non ci sono record
else
    // ci sono record
Semplice, vero? :)


Semplice se si e' un po' piu' svegli di quanto lo sono io :-))
Grazie Andrea, stamattina mi hai sveltito un lavoro (aspe' che ti aggiungo
alla lista dei caffe' pagati eh)
Claudio

 era una domanda retorica :-) so benissimo che ho la versione 1.0
cmq ti basta fare un windows update per avere la versione 1.1...
l'installazioen e' anche automatica... :))
-- 
Lino Mari [mod - it.economia.e-commerce]
http://www.ebow.it
 - e-business on web!
http://www.dev2dev.it
 - La rete ha connesso nuove particelle - d2D004
Oggi, l'organigramma è fatto di link, non di gerarchie.
Il rispetto per la conoscenza vince su quello per l'autorità astratta.


Sono d'accordo col mio amministratore di sistema di non aggiornare alla
versione 1.1 per ora per evitare che ci siano problemi con un cliente che
gestisce una sua applicazione (al momento non ricordo esattamente quali ma
mi pare che ci sono stati dei cambiamenti rispetto alla 1.0 che, per quanto
limitati, possono richiedere un aggiornamento del codice esistente).
Cosi', per ora a scanso di disallineamenti col server resto con la 1.0 anche
io :-)
Grazie
Claudio

 1.0 anche io :-)
se hai del codice compilato con la 1.0 per l'esecuzione richiedera' sempre
la 1.0... quindi problemi di disallineamento non ce ne sono... anche perche'
le versioni rimangono tutte e due... :)))



Ho detto una cacchiata? ho detto una cacchiata...
Ho vinto qualche cosa? Niente? niente...
:-)
Claudio
ciccio di nonna papera, i 3 porcellini, ezechiele lupo, cippe e cioppe...


Moderatore di it.comp.www.asp - Microsoft .NET MVP
http://www.aspitalia.com/
 Enjoy the .NET community!
Corso Classic ASP, 
ASP.NET
 a Treviso? Dal 16 Giugno
su 
http://corsi.aspitalia.com/corsi/treviso.aspx

 Ho vinto qualche cosa? Niente? niente...
come ti dicevo il problema e' se utilizzi codice compilato o meno... ma
visto che le due versioni coesistono sul server puoi far puntare
un'applicazione su quella piu' opportuna... configurando il webserver... :))


 io :-)
ASP.NET
 1.0 *se ricordo bene* ha pero' un problema di sicurezza
non indifferente con le sessioni per cui una web application potrebbe
accedere alle collezioni di altre sessioni, patchato nella 1.1.

 accedere alle collezioni di altre sessioni, patchato nella 1.1.
no, c'è stato un bug (maggio dell'anno scorso se non ricordo male) sul
server state, che risponde (nella 1.0) a tutti gli IP, mentre nella 1.1 è
limitato ad un certo subset.
era un buffer overflow se non ricordo male, volendo posso recuperare il
bulletin, ma non era niente di così esagerato.


 accedere alle collezioni di altre sessioni, patchato nella 1.1.
ritrovata la fonte (ricordavo quasi bene):
http://www.developer.com/net/asp/article.php/10917_2206351_2
The HttpSessionState Vulnerability

 bulletin, ma non era niente di cosě esagerato.
vedi messaggio di sopra.
Ciao.

 The HttpSessionState Vulnerability
ma non è un bug (infatti non esiste una patch) e si sapeva che le Session
erano contenute in Cache (e che potevi enumerarle anche se private).
certo è che 
ASP.NET
 1.1 è un'aggiornamento che punta a migliorare la
sicurezza del prodotto e probabilmente togliere questo "bug" aiuta a
migliorare la sicurezza.
ma di fatto è un qualcosa che nessuno può sfruttare, a parte chi scrive il
codice.
perchè non oso pensare che qualcuno inserisca 
q.sa
 del tipo
Response.Write(Cache(Request("chiave"))
a meno che non voglia farsi del male...
"The SessionStateItem class is not documented but, you know, this has never
been a high obstacle to attackers!"
wow :) l'unico sistema per sfruttare sta roba è fare code injection, ma se
te la fai da solo, sulla variabili di sessioni della tua application, allora
siamo alla frutta :D


 siamo alla frutta :D
secondo me non hai letto attentamente l'articolo, se vuoi
continuiamo in privato (non vorrei passare qualche guaio..)
poi eventualmente ti autorizzo ad espormi al pubblico ludibrio :-)
Comunque su una cosa sono d'accordo, sul fatto che non sia
un bug perché quella classe non era documentata, ma "solo"
un problema di sicurezza dal momento che qualcuno l'ha scovata.

 un problema di sicurezza dal momento che qualcuno l'ha scovata.
ti dirò di più:
http://www.aspitalia.com/liste/usag/script.aspx?ID=421
con questo enumeri la Cache, ed infatti vedrai dentro chiavi con un nome
simile a
System.Web.SessionState.SessionStateItem:2gicyc45kr0tfh55mf4xyt55
e tipo System.Web.SessionState.SessionStateItem
insomma, non è proprio una cosa che capita tutti i giorni e l'unico modo in
cui ci puoi arrivare è usando uno script di questo tipo (e lo fai tu
*sviluppatore* non chissà chi).


 *sviluppatore* non chissà chi).
scusa ma un sistema informatico con un problema di
sicurezza cosa ti aspetti che lo buchi l'idraulico? :-)

 Claudio
--
Ciao,
AZ

 sicurezza cosa ti aspetti che lo buchi l'idraulico? :-)
sarò estremamente chiaro, perchè probabilmente non sono riuscito a
spiegarmi.
l'unico a poter sfrutturare questo cattivo comportamento del SessionState
sei *tu* sviluppatore del sito web in questione.
quindi è qualcosa che solo chi ha accesso al codice può sfruttare.
ora, non mi viene in mente nessun motivo per cui tu sviluppatore dovresti
far condividere ai tuoi utenti delle informazioni attraverso questo sistema
quando ne hai altri mille che già funzionano.
insomma, questo è davvero l'ultimo motivo (ma forse non lo è nemmeno) per
usare la 1.1 al posto della 1.0
è un non-problema.


 è un non-problema.
avevo capito male io, nel senso che una web application potesse avere
accesso agli SessionStateItem di *un'altra web application*... (sai che
pacchia in hosting...); in effetti è un non-problema, non capisco proprio
perchè l'autore (che pure scrive spesso su msdn) usi il termine
vunlerabilità...
forse è masochista e gli piace bucare il suo stesso codice :-))

 è un non-problema.
ipotizzo che forse potrebbe essere considerata vulnerabilità nel momento che
io come sito do la possibilità agli utenti di inserire loro pagine ASP in un
spazio del mio sito (ho visto in giro siti che lo permettono) e in questo
modo, girando le pagine nella stessa web application scatta il problema.
Certo che se si danno queste possibilità agli utenti ci si vuole fare del
male da soli... ad ogni modo è una possibilità da non scartare a priori
-- 
Fabio Angela (aka Red Angel) ICQ: 95966807
http://www.redangel.it
 : il portale sulla programmazione

 application scatta il problema. Certo che se si danno queste
se q.uno permette una cosa del genere, senza controllo del codice, non
saprei nemmeno come classificarlo.


 forse è masochista e gli piace bucare il suo stesso codice :-))
ne ho vista di gente così :D
