Newsgroup: it.lavoro.professioni.webmaster
Titolo: Un dubbio...

Ciao a tutti,
mi interesserebbe sapere se usando il metodo POST nel submit di un FORM, 
quali caratteri eventualmente potrebbero creare problemi a livello di 
sicurezza e di corretto funzionamento del sito internet.
Premetto che i dati passati dal form nel caso specifico, non hanno legami 
con database o simili.
Grazie in anticipo per la risposta.
Cooper.
-- 
BlueWare WebStudio
 [web:] 
http://www.blueware.it
 [msn:] 
coo...@blueware.it
 [icq:] 146781935 

 con database o simili.
riformula la domanda, specificando web server, applicativo, ecc.
-- 
Christian Paparelli
http://www.ithost.ch
 


Riformulo spiegando meglio la situazione... abbiamo un form dove vengono 
compilati campi; i dati inseriti nel modulo vengono inviati al server 
mediante il metodo POST dal form per essere validati.
In questa fase, quali caratteri possono/potrebbero creare problemi di 
sicurezza/funzionamento sul/del sito internet? Ovviamente intendo se ci sono 
questi caratteri, se invece problemi di questo tipo non ci sono, meglio 
ancora.


 
problemi potrebbero essere questi
http://freephp.html.it/articoli/view_articolo.asp?id=123
ciao

 ha scritto nel messaggio 
news:xmHLe.71509$fm.47...@news4.tin.it...

Mmm si parla delle sql-injection, nel caso mio non si ha a che fare con 
database, ma semplicemente con dei dati presi dai campi e letti in una fase 
successiva lato server.
Deduco che non dovrebbero esserci problemi di sorta? Magari lato server 
convertendo i caratteri particolari nella forma &xxx; dovrebbe essere più 
sicuro?



ma se facessi un bel test per conto tuo non avresti gia' ottenuto 
risposte alla tua domanda (ammesso e non concesso che sia ammissibile)? 

 alla tua domanda (ammesso e non concesso che sia ammissibile)?
Dovresti sapere (spero) che le cose più ovvie sono quelle che sfuggono più 
facilmente, questo in primo luogo, in secondo luogo, hai letto il subject? 
ho scritto: "un dubbio" chiedevo quindi che venisse chiarito questo mio 
dubbio, mi bastava una risposta semplice semplice del tipo SI/NO.
Ti chiedo il favore, se rispondi di limitarti a quanto chiesto, altrimenti 
evita di rispondere, non sarebbe educato...


 evita di rispondere, non sarebbe educato...
a cooper... ma facci il piacere, facci 

 ancora.
Se vuoi essere sicuro, controlli il contenuto dei campi prima di
processarli. Mi spiego: al tuo script arrivano tre variabili $nome,
$codice, $email (nomi autoesplicativi). Prima di elaborarli, controlli che
in $nome ci siano solo dei caratteri alfabetici dalla A alla z, in $codice
solo dei numeri, in $email una stringa seguita da '@', seguita da un'altra
stringa, un punto, e un'ultima stringa.
Ciao.
-- 
Max Graziani
http://www.maxgraziani.net/

 ha scritto nel messaggio 
news:3m960sF...@individual.net...

Ci sono modi e modi per una stessa cosa... il tuo linguaggio tutto lascia 
pensare meno a un discorso costruttivo.
Offeso no, per carità, però... il tuo modo di fare/parlare/digitare/scrivere 
etc mi fa... pena... scusa la schiettezza, ma preferisco dire ciò che penso 
e in piena sincerità. Quando ti renderai conto che facendo cosi non arrivi a 
nulla ne riparleremo. A me le persone che partono prevenute, francamente non 
piacciono, fra l'altro io non ho nemmeno usato un linguaggio scurrile ne ti 
ho attaccato ne ti ho offeso o cosa.


 ha scritto nel messaggio 
news:13ovn1nvayn5i.67a71x9k06di$.dlg@40tude.net...

Esattamente, e questo è quello che fino a ora ho fatto. Per renderti meglio 
l'idea, dai uno sguardo qui: 
http://www.blueware.it/principale/contattaci.php
.
Ci sono quattro campi: mittente, email, oggetto e contenuto. Per i primi tre 
il problema non si pone; per il quarto invece in teoria potrei accettare 
qualsiasi carattere, però volevo essere sicuro che non ci fossero caratteri 
che andassero a "cozzare" sul normale funzionamento/sicurezza del sito 
internet.
Potrei eventualmente evitare la validazione del campo "contenuto" 
convertendo lato server i caratteri particolari con l'equivalente tipo: è 
con &egrave; etc; però prima di seguire questa strada volevo una sicurezza 
maggiore tenendo conto che la stringa passata dal form poi viene riproposta 
nel modulo pienamente visibile sul codice html e quindi evitare che 
andassero in conflitto col codice html stesso.
Grazie per la tua risposta :)



la tiri per le lunghe come al solito
se ti facevi una qualunque pagina con un qualunque form e una seconda in 
cui raccoglievi i dati ti eri gia' tolto il pensiero da un pezzo avendo 
fatte tutte le prove che ti pare
Eppure non mi sembri un novizio e fino a li' dovresti arrivarci senza 
troppi problemi.
il resto sono chiacchiere, come al solito, estenuanti. E' quello il tuo 
problema


quoto quanto omesso nel cut, ma il fatto che abbia chiesto qui era per 
ulteriore conferma. Come ho già detto prima, le cose più ovvie sono più 
facili a sfuggire... se cosi non fosse, il motivo dei testing non avrebbe 
senso di esistere.
Ora io non chiedevo di testare questo o quello, semplicemente chiedevo in 
base alla propria esperienza individuale se al corrente di eventuali effetti 
collaterali, nulla di più, nulla di meno.


 questo tipo non ci sono, meglio ancora.
invece di domandare in giro se ci dovessero essere problemi cosa 
assolutamente inutile visto che non spieghi nulla, ne il sistema operativo, 
nel il web server e neppure l'applicativo utilizzato e senza tali 
informazioni è impossibile darti una risposta.
Sarebbe forse meglio visto che parliamo di sviluppo, sviluppare come si deve 
eseguendo i vari testing (unit testing e nel tuo caso specifico blackbox 
testing) e quindi ti saresti risposto da solo



Il problema non è nello sviluppo di questo o quello, ma nel prevenire 
eventuali situazioni in cui si possano generare problemi.
La domanda era: dato un campo input (in cui è consentito qualsiasi 
carattere), inviando il contenuto del campo input mediante il method POST 
dal form, possono sorgere effetti collaterali con qualche carattere 
particolare incluso nel campo input?
Per effetto collaterale intendo un funzionamento non corretto ed 
inaspettato.


 particolare incluso nel campo input?
allora come già ti ho scritto nel primo post non ci sono effetti collaterali 
con un post e ci mancherebbe poi visto che il post viene letto, memorizzato 
e gestito dal server web sta a questo gestirlo nel modo corretto e quindi 
fossi in te mi metterei il cuore in pace ci mancherebbe che un web server 
crollasse per un post



bastava che provassi. Punto 

 bastava che provassi. Punto
Delle prove naturalmente le avevo già fatte anche io, ma come ho avuto modo 
di dire un paio di volte, le cose che talvolta appaiono ovvie, sono quelle 
che più facilmente sfuggono, per questo motivo ho desiderato una conferma 
ulteriore in questa sede.
E' più difficile insomma che due o più persone contemporaneamente commettano 
lo stesso errore o dimenticanza che sia, tutto qui.



si certo come no...
peccato che stai parlando di un banalissimo POST


per curiosità, ti ricordi ancora come si fanno le divisioni a 5 cifre? (a 
mano si intende) una operazione abbastanza banale... direi, ma qualcuno 
magari si potrebbe trovare meglio a risolvere un integrale anche 
complicato... piuttosto che a fare una semplice divisione a 5 cifre... 
(senza andarsi a prendere i libri di scuola elementare se li ha ancora, 
oppure quelli di scuola media).
Sicuramente adesso ti starai chiedendo che c'entra questo discorso con 
quanto oggetto di discussione, e in effetti non c'entra nulla... ma.. se ci 
pensi bene un legame di fondo e di verità c'è... se vuoi rifletterci sopra 
buon per te, forse cosi capiresti meglio cosa intendo dire.


--MEGACUT--
Coop, lascia perdere...
se qualcuno non sa il senso di un ng non puoi farglielo capire con pochi 
post...
buon lavoro


si che la stai tirando come al solito per le lunghe... molto per le 
lunghe 

 si che la stai tirando come al solito per le lunghe... molto per le lunghe
Io invece ho compreso che manchi di buonsenso... evvabbè non si può essere 
perfetti... pazienza.



gia', e' vero. hai ragione tu 

Coop, non insistere...come fai a ragionare con una persona che scrive a 
vanvera solo per avere sempre l'ultima parola?? usenet e piena di 
persona del genere e né tu né io potremo mai cambiare la testa di certi 
individui.
bisogna saperci convivere senza farci troppo caso.
è la vita :D

"CaRnAcKy" <co...@NOSPAMlibero.it> ha scritto nel messaggio 
news:A10Me.18250$HM1.4...@twister1.libero.it...

Mi sa che hai ragione, neanche San Google (sebbene sia tanto invocato da 
costoro), può farci nulla, purtroppo sono casi estremamente disperati dove 
non ci stanno miracoli che tengano :D
Cooper


"CaRnAcKy" <co...@NOSPAMlibero.it> ha scritto nel messaggio 
news:A10Me.18250$HM1.4...@twister1.libero.it...

certo che ne devi avere del coraggio per sparare giudizi cosi' 
facilmente
cosa cazzo ne sai di chi sono io?
mi conosci?
da quanto tempo frequenti il ng?


Confidando nella tua intelligenza, saresti cosi gentile da spiegare il 
motivo per cui cerchi di buttarla nel flame, usando toni poco consoni alla 
buona educazione e alla sana convivenza anche in questi luoghi, quali i 
newsgroup?
Auspico che almeno stavolta rispondi alla domanda posta in modo diretto 
senza girarci attorno alle parole, quale segno di persona seria e matura.



Ma di che cazzo stai parlando? 

 
basta questo post per capire chi sei...PLONK!!

 Ma di che cazzo stai parlando?
alla domanda di sopra, in cui chiedevo il motivo per cui ogni volta cerchi 
di buttarla sul flame... naturalmente mi aspettavo una risposta seria e 
matura da una persona come te... ma se cominci a usare toni poco consoni... 
beh allora dimostri chiaramente di non essere una persona seria e matura.
Scusa se te lo dico, ma le tue parole il tuo tono, in confronto alle mie 
parole, al mio tono, parlano chiaro e dicono tutto da sole.


E pensare che tutto è partito da un "dubbio" al quale bastava dare un 
parere semplicissimo senza fare la parte del saccente :D


eggià ora i dubbi si so moltiplicati proprio come i pani e i pesci... ma non 
penso per me soltanto :D
Mi dispiace solo che delle persone apparentemente mature e serie... si 
abbassino cosi tanto... al punto da mettere in crisi l'opinione che ci si è 
fatti di questa o quell'altra persona, buttando al vento in pochi attimi la 
propria credibilità.
Mah magari mi sbaglierò, però ho questa impressione adesso. Mi chiedo quanto 
può essere seria e matura una persona che, rinuncia alla buona educazione e 
al viver civili (anche in questa sede), usando toni poco cordiali e per 
certi aspetti anche offensivi?
Certo se poi si tende a dividere le attività di vita reale da quelle di vita 
virtuale dando a ciascuna di esse comportamenti diversi... beh allora 
diventa un altro discorso.


 Ma di che cazzo stai parlando?
vedo che anche senza di me si flamma che è un piacere... e per giunta a
ferragosto... ;)))
Claudio... chiudi tutto e fatti un giro qui a Salerno... fino a domenica
sono in ferie... ;)
-- 
Lino Mari
http://www.ebow.it
 - e-business on web!
http://www.ebow.it/blog/
 - Mktg Log
http://www.dev2dev.it
 - La rete ha connesso nuove particelle - d2D004

 Grazie in anticipo per la risposta.
dovresti evitare di far postare alcuni tag html o metodi dei css... si
potrebbero far partire applicazioni da parte dei soliti furbetti...



Consigli quindi ricevuto l'input dal form lato server convertire i caratteri 
speciali nel corrispettivo tipo i simboli < e > nella forma &gt; &lt; e via 
dicendo? intendi in questo senso?
Grazie per la risposta.


 &lt; e via dicendo? intendi in questo senso?
esiste già il sistema chiamato url encoding ma tutto dipende da cosa tu fai 
con il post, il post di per se non ha alcun problema e l'uso che tu ne fai 
del post che può crearti problemi ma non si risolve così il problema ma come 
ti ho già detto da buon sviluppatore si fa testing in modo da avere un debug 
corretto, consiglio una buona lettura su agile, unit testing, blackbox e 
whitebox testing


 sono in ferie... ;)
ah si fanno i bagordi da quelle parti eh! :-))
Claudio


credo che un ferragosto cosi' freddo e piovoso non m'era mai capitato
Ho fatto appena in tempo a spostare l'auto che una pianta in vaso s'e' 
schiantata dov'era parcheggiata
Ho sentito il padrone della pianta che berciava per i 35 euro del vaso 
in cocci mentre io brindavo al mutuo che non ho dovuto chiedere per 
pagare il carrozziere
:-)) 

 ha scritto nel messaggio 
news:ddtf0a$9ju$1...@news.hispeed.ch...

Allora, mi spiego meglio...  la situazione è questa:
1) un form, dei campi, un button
2) un utente inserisce i dati nel form, invia i dati
3) i dati inviati vengono validati lato server;
3a) se la validazione ha esito positivo si procede al punto 4 altrimenti al 
punto 3b
3b) visualizza gli errori rilevati e salta al punto 1
4) visualizza un riepilogo dei dati inseriti, e viene chiesto all'utente 
cosa fare.
5) etc etc.
al punto 4, i dati passati tramite form attraverso i punti precedenti 
vengono riproposti, ovvero contenuti e visibili nel codice html, per 
intenderci qualcosa del tipo:
<input etc etc value="$contenuto">
se $contenuto = 'mia stringa' avremmo:
<input etc etc value="mia stringa">
questo per intenderci. a cosa può servirmi l'url encoding in questo caso? 
sinceramente non riesco a capire dove intendi arrivare :( visto che i dati 
li passo tramite post e non tramite get, e comunque vengono processati lato 
server prima di essere re-inviati sulla pagina generata al volo.
Se mi spieghi meglio... te ne sarei grato.


 Se mi spieghi meglio... te ne sarei grato.
maggiori info 
http://en.wikipedia.org/wiki/Cross-site_scripting



Ok grazie.


 intendi?
esattamente



Ok provvederò a fixare il problema :) grazie mille.


 facilmente raggirabile?)
se ne parlava qualche post fa e ti assicuro che se ne parlerà sempre di più 
(ajax e non c'entra nulla con il bucato :-D)
http://en.wikipedia.org/wiki/AJAX



ok grazie.


 ah si fanno i bagordi da quelle parti eh! :-))
non proprio... sai che ho famiglia e prole... ;)
cmq qui è bel tempo... solo ferragosto è stato bruttino... ma tanto io il
ferragosto lo passo sempre in casa...
bai!


 poi questa è facilmente raggirabile?)
per evitare un carico inutile al server ad ogni richiesta... e anche perchè
in questo modo i controlli sono più veloci e chi compila non si annoia...
poi se il furbetto di turno vuole fare il *bellino* si trova i controlli
server-side...
