Newsgroup: it.lavoro.informatica
Titolo: Poi mi guardano in modo strano se dico che non uso ASP.NET... bah!

Lorenzo Barbieri(MVP) propone questo bel link(occhio al wrap):
http://www.google.com/search?q=intitle%3A%22index+of%22+intext%3Aweb.config&btnG=Search
Prego notare che la cosa è *SERIA* e non da prendere sottogamba...
Se volete leggere tutto il post:
http://blogs.ugidotnet.org/lbarbieri/archive/2005/04/12/13950.aspx
Ciao,
Andrea

 
http://blogs.ugidotnet.org/lbarbieri/archive/2005/04/12/13950.aspx
Scusa Andrea ma mi spieghi che c'entra questo con l'uso scriteriato dei
files di configurazione per web apps accessibili da tutto il mondo ?
Se hanno cattivi sistemisti o pessimi programmatori che non pensano alla
sicurezza che c'entra con l'usare o meno 
asp.net
 ?  ;-)
-- 
Jarod

 
http://blogs.ugidotnet.org/lbarbieri/archive/2005/04/12/13950.aspx
Non conosco 
asp.net
 , ma posso credere che di default non setti i permessi ?
-- 
Ciao Flex
________________________________________________
Chi sa ascoltare non solo e' simpatico a tutti ,
ma prima o poi finisce con l'imparare qualcosa

 ?
In qualsiasi incarnazione di IIS, nessuna directory è browsabile (aridaje 
con l'orrido neologismo...) per default, occorre renderla tale.
Questa mi sembra già una dimostrazione sufficiente delle competenze di chi 
amministra quei server...
Massimo

 sicurezza che c'entra con l'usare o meno 
asp.net
 ?  ;-)
Da quello che risulta a me, questo genere di files viene utilizzato per
ASP.NET
 e non altro. Riguardo al fatto che i sistemisti o i
programmatori non pensano alla sicurezza... beh scusa, ma chi dovrebbe
generarli 'sti files se non i programmatori?
Riguardo ai sistemisti, dovrebbero almeno creare un folder privato dove
mettere 'sta roba e scrivere chiaro e tondo cosa comportano 'sti files.
Non solo, ma non mi pare che ci sia alcuna indicazione sulla 
documentazione di 
ASP.NET
 riguardo questa "peculiarità"... ma qui
potrei sbagliarmi, in quanto già il semplice _VIEWSTATE basta ed
avanza per farmi pensar male :D
Ciao,
Andrea

 ha scritto nel messaggio 
news:AjT6e.1222763$35.44...@news4.tin.it...

Tanto per cominciare, i sistemisti (o presunti tali) che lasciano browsabili 
(orrido neologismo ma rende l'idea) le directory dei propri server web 
meriterebbero l'impiccagione immediata.
Secondo, mettere delle password in chiaro dentro script o file di 
configurazione non è mai stata una cosa molto saggia.
Terzo, lasciare questi file di configurazione accessibili al primo che 
capita è decisamente una pessima mossa.
Ma prego notare che tutte queste boiate non dipendono dalla tecnologia 
utilizzata, quanto dall'incompetenza (per non dire imbecillità pura e 
semplice) di chi la utilizza...
Massimo

 avanza per farmi pensar male :D
Io che ci fossero in quei files informazioni potenzialmente pericolose per
la sicurezza lo sapevo e non penso di essermelo inventato, quindi presumo di
averlo letto da qualche parte.
Poi magari sono io che quando programmo penso anche alla security ed è una
mia dote particolare  :-)))
-- 
Jarod

 sicurezza che c'entra con l'usare o meno 
asp.net
 ?  ;-)
E' indicativo di una mentalità: per capire la distanza concettuale, ssh 
(il client) non parte se i permessi sulla chiave privata non sono 
restrittivi a sufficienza.
Barone Frankenstein

 averlo letto da qualche parte.
Probabilmente in un file di esempio.
Andrea

 capita è decisamente una pessima mossa.
Appunto ... e poi su .Net ci sono ricchi namespace
System.Security.Cryptography con cui cifrare eventuali stringhe
user/password.
Perchè le mettono in chiaro sul web.config ? boh ... :-)))
-- 
Jarod

 modo!!!!! Ma stiamo scherzando?
Beh in ogni sistema ci sono possibili buchi di sicurezza.
Se chi fa il lavoro è competente non fa certo come i signori che hanno messo
il web.config leggibile su internet (magari con user e password in chiaro).
-- 
Jarod

 restrittivi a sufficienza.
In effetti MS non ha mai brillato sul pensare alla security intrinseca nel
design dei suoi prodotti.
-- 
Jarod

 ha scritto nel messaggio 
news:i0U6e.54895$kC3....@tornado.fastwebnet.it...

Se è per questo, nel 90% dei casi siti in ASP o in 
ASP.NET
 si appoggiano a 
database SQL Server... e in questo caso non occorre scrivere password da 
nessuna parte, basta usare l'autenticazione di Windows.
Ma ci vorrebbe un sistemista che abbia almeno una minima idea di quello che 
sta facendo...
Massimo

 propri server web meriterebbero l'impiccagione immediata.
Questo è sacrosanto. Non parliamo poi di quelli che danno i privilegi di 
scrittura ad everyone. Anni fa' un mio ex manager disse ad una mia ex 
collega che bisognava rifare un sito (online su un web server), lei 
mette il link su Word e si mette a modificare la pagina, salva, e poi mi 
chiede cosa ne penso. Io mi permetto di farle notare che Word non è 
proprio il massimo per realizzare siti, al che lei commenta che sì, 
effettivamente il risultato sul web non era un granché.. sul web 
server!!! Aveva scritto sul web server :-))))) Corsa a perdifiato giù 
dal sistemista che si occupava di quel sito, per avvertirlo della cosa, 
e lo becco che stava uscendo, Venerdì primo pomeriggio, lo avverto della 
cosa, e mi guarda di sbieco, incredulo. Si collega, e tà dà, c'era tutto 
il web server (IIS) aperto e disponibile alla scrittura a chiunque nel 
pianeta terra :-))))) Dentro avevamo anche sistemisti Unix 
(Solaris/HP-UX e Linux) che, saputo dell'episodio, lo presero in giro 
per settimane ..
-- 
ale
http://www.sen.it
et corruptissima re pubblica plurimae leges 

Scusa ma c'è qualcosa che non va nella tua ricerca.
Il file WEB.CONFIG non è scaricabile da una macchina IIS, il messaggio
di risposta è :This type of page is not served.
Su IIS non ho idea di come saltare questo blocco di sicurezza, e di
come si debba "rompere" i, il sever per permetterlo.
L'unico web.config che sono riuscito a scaricare è uno ospitato su una
macchina LINUX con MONO.
Il fatto che sia presente un file web.config sotto un sito 
asp.net
 è
normalissimo e indispensabile, il fatto che ci siano le pwd è normale,
in VS 2005 ci vengono salvate un sacco di informazioni automaticamente,
compresi i parametri di connessione..
Se il brosing delle directory è aperto è normale avere la lista dei
file.. è fatto appositamente !  Ma quancuno DEVE averlo acceso.
Ma se fosse cosi semplice.. qualcuno non se ne sarebbe accorto
??????????
Quindi la cosa non è affatto seria.. è solo montata.

 Massimo
Ciao a tutti,
non seguo regolarmente questo ng, ma ho visto i link al mio blog, e
quindi voglio dire la mia...
Il problema non è ne di IIS, ne di 
ASP.NET
, che entrambi per DEFAULT
non permettono l'accesso a quei file.
Il problema è dei signori che amministrano quei server (che non sono
degni di essere chiamati sistemisti) che chissà cosa cavolo hanno
combinato...
Ripeto, non è un problema di 
ASP.NET
, ne di IIS, ma dell'incompetenza,
cosa che è impossibile da patchare...
Lorenzo Barbieri (non MVP, Andrea ti sei confuso...)

 Lorenzo Barbieri (non MVP, Andrea ti sei confuso...)
Uh... mi pareva di averti visto nella lista degli MVP italiani.
Boh, me sò confuso! :-P
Andrea

 ha scritto nel messaggio
news:AjT6e.1222763$35.44...@news4.tin.it...

per favore non diciamo panzane che poi possono essere rilette fra mesi su
google groups.
quello che il buon Lorenzo ha indicato è che ci sono in giro dei sistemisti
assolutamente incapaci che hanno permesso di fare il browsing del contenuto
delle directory virtuali in cui sono presenti delle applicazioni 
asp.net
.
quindi evitiamo di dire castroneri del tipo "poi mi chiedono perchè non uso
asp.net
" per favore.
inoltre il web.config è solo uno dei tanti posti (il più semplice) dove
andare a mettere informazioni quali le stringhe di connessione al db,
esistono altri mille modi molto più sicuri, ognuno può scegliere quello che
vuole.
un ottimo strumento in mano ad un incompetente darà come risultato quello di
un lavoro fatto da un incompetente. punto.
e perdonami, ma se dal post di Lorenzo deduci che 
asp.net
 non è sicuro in
quanto la tecnologia non è sicura, bè scusami o non conosci 
asp.net
, o hai
dei pregiudizi nei confornti di microsoft, o sei un incompetente.
saluti
Roberto

 avanza per farmi pensar male :D
e due, ma tu lo sai che il viewstate lo puoi anche disabilitare? e che
soprattutto la maggior parte delle volte contiene _solo_ lo stato dei
controlli visualizzati e mai nessuno, se non degli incompetenti, si
sognerebbero di inserirci dei dati sensibili? il viewstate non è altro che
un campo hidden come se ne usano a milioni in milioni di applicazioni web di
tutte le tecnologie?
saluti
Roberto

 ha scritto nel messaggio
news:AjT6e.1222763$35.44...@news4.tin.it...

per favore non diciamo panzane che poi possono essere rilette fra mesi su
