Newsgroup: it.lavoro.professioni.webmaster
Titolo: Craccare un DB Access?

Ciao a tutti,
ho un sito e, tra le varie pagine, c'č un'area riservata. Per accedervi,
l'utente deve digitare la propria username e password. Io le tengo
memorizzate in un DB Access e, tramite ASP, vado a verificare la loro
esattezza al momento del login. Fin qui tutto bene.
Il problema č che ho letto da qualche parte (ma non ricordo piů dove, grrrr)
che č possibile, per l'utente, inserire stringhe particolari nella FORM
(magari comandi SQL) e quindi "prendere il controllo" del db, o quanto meno
vedere tutte le password, gli utenti, ...
E' vera una cosa simile? Quali sono le tecniche di programmazione da
utilizzare per impedire ciň?
Grazie!
nano


era su Inter.Net di questo mese (mi sembra).
Allora... le famigerate stringe era ' ... poiché se non hai programmato
bene, lo script va in errore (ma basta un semplice controllo della stringa e
sei a posto).
Poi la teoria dell'articolo per "crakkare" il database non regge in
piedi.... in pratica funziona SOLO con i database Access (il peggior
database in commercio.... usa MySQL che č meglio!)... il provetto hacker
dovrebbe scaricare il database ma deve sapere a) il nome del database b) il
percorso del database
L'articolo ipotizzava che a) il nome del database fosse semplice (tipo
database.mdb o db1.mdb o utenti.mdb) b) il percorso del database fosse
semplice o nullo (tipo 
http://www.provider.it/database.mdb
).
Spero che tu sia stato + intelligente ;)
Se non vuoi avere problemi
a) metti un controllo nella stringa per evitare ' o simili
b) usa un database che NON usa un file accessibile a tutti (quindi usa
Mysql, Microsoft SQL, Oracle, ecc.).
Ciao

 Mysql, Microsoft SQL, Oracle, ecc.).
e magari mettere il db in una cartella con i permessi di 
lettura/scrittura impostati in maniera da nn leggere/scaricare il 
contenuto no eh? :)
ciao
-- 
Kappa [co-mod ICWA]
kappa(at)
webngo.net
www.webngo.net
www.filmscoop.it

(magari comandi SQL) e quindi "prendere il controllo" del db, o quanto meno
Vero. Per togliere il buco di sicurezza fai cosi': per tutti i
parametri che ti entrano via post o get o cookie e che usi per fare
query su db controlla che non contengano i caratteri ' o " oppure % o
se preferisci cancellali direttamente.
Per vedere se una applicazione ha questo buco di sicurezza e'
semplice: se passando da una form un valore che contiene i caratteri '
e " la procedura genera un errore allora c'e' il buco.
Php non presenta questo buco di sicurezza.

 contenuto no eh? :)
uhm... non ci avevo pensato! ma io uso Mysql, quindi il problema non si pone
neanche! ;)
scherzi a parte dillo anche al giornalista che ha scritto 'sto articolo su
Inter.Net

C1P8 ha scritto:

e chi č? :D


allora... ho trovato l'articolo:
Inert.Net  n.86 (gennaio 2003)
"Rubare i dati via web? Un gioco da ragazzi..." di Nanni Bassetti
(se avete l'abbonamento on-line il link è
http://www.interpuntonet.it/RIVISTA/86/hacker/rubaree.html
 oopure bisogna
aspettare l'uscita del nuovo numero per leggerlo gratis)

sei a posto).
scusa, ma se anche lo script va in errore, come fai a "craccare" il
db, "vedere le password e gli utenti"...  manca solo la buzzword
"cartadicredito" e siamo a posto...
 
-- 
dipende

vedere tutte le password, gli utenti, ...
ma di quali password e utenti paerli?
-- 
dipende

 ma di quali password e utenti paerli?
Di tutte quelle memorizzate nel DB Access, cioč quelle di tutti gli altri
utenti che sono registrati nel mio MDB
nano


Moderatore di it.comp.www.asp - Microsoft .NET MVP
http://www.aspitalia.com/
 Enjoy the .NET community!
http://www.dev2dev.it/
 La rete ha connesso nuove particelle!
http://www.extensible.it
 XML and beyond 

 "cartadicredito" e siamo a posto...
in realtà esistono programmi che ti trovano la password di un db access 
senza troppi problemi.


senza troppi problemi.
lo so, solo che mi sembrava il solito tono f.u.d....  i detrattori di
microsoft sanno di cosa parlo.
-- 
dipende

 microsoft sanno di cosa parlo.
perche' esistono i detrattori di microsoft? eppure ero convinto che si erano
messi a implementare delle piattaforme antagoniste... quindi trovano anche
il tempo di *detrarre*... fossi in loro concentrei le mie forze nel
costruire qualcosa... e nno a distruggere quello che c'e'... ma e' questione
di metodologia... preferiscono struggersi...:-)))
--
Lino Mari [mod - it.economia.e-commerce]
http://www.ebow.it
 - e-business on web!
http://www.dev2dev.it
 - La rete ha connesso nuove particelle - d2D004
I mercati non vogliono parlare con ciarlatani e venditori ambulanti.
Vogliono partecipare alle conversazioni che si svolgono dietro i
firewall delle aziende.

 microsoft sanno di cosa parlo.
massì, per fartelo scaricare devi proprio essere un cazzone :P
esistono 4-5 sistemi diversi per tenerlo protetto, il guaio è che c'è gente 
che nemmeno ci pensa.


e mettere il db esternamente al tuo sito ?
bye
LeLe

 sopra, se fai una roba del genere.
sicuro! sembra un invito a nozze ;)

 aspettare l'uscita del nuovo numero per leggerlo gratis)
Ciao a tutti sono l'autore dell'articolo Nanni Bassetti e volevo
precisare che nell'art. avevo detto che il sistema piů sicuro era di
mettere il db access in una cartella non codivisa dal web server ;-)
quindi prima di darmi del webmastella leggete bene :-)))
Senza rancore 
ciao a tutti
Nanni Bassetti 
nan...@libero.it

 database in commercio.... usa MySQL che è meglio!)... il provetto hackere
heemm ciao sono sempre io Nanni Bassetti l'autore dell'art.....in esso
scrivevo che con MySql (che uso anch'io) e SQLSERVER in genere non
servono a molto i trucchetti dell'apice etc. etc.
Come ho già risposto....leggete bene gli art ;-)
Senza vena di flaming un salutone
ciao
Nanni Bassetti


 ciao a tutti
ciao