Newsgroup: it.comp.sicurezza.windows
Titolo: Sicurezza con IIS4.0

Sono rimasto molto deluso da un noto provider italiano da cui ho
acquistato un pacchetto di hosting, infatti ho scoperto tramite asp, che
il web server č IIS4.0.
Adesso vorrei sapere se č il caso di protestare o se IIS4.0 garantisce
lo stesso livello di sicurezza di IIS5.0 visto che comunque si tratta
dello sviluppo di un'applicazione e-com.

 ha avuto la pessima idea di
esprimersi cosi' nell'articolo
<3BC00D86...@DeleteITtiscalinet.it>:

Parlare di sicurezza nel caso di IIS e' come parlare di Sanita' mentale
nel caso di un pazzo maniaco omicida...
Comunque che io sappia sono equivalenti il 4 e il 5 (o il 5 e' peggio?)
-- 
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Powered By Slackware 8.0 on Asus L7300G - Kernel 2.4.7 - WMaker 0.70.0

In un messaggio del Sun, 07 Oct 2001 08:05:33 GMT - scriveva:

Il concetto di sicurezza in se' con Incredible Implodable Sterc e'
un eufemismo, indipendentemente dalla versione.
-- 
Pierluigi De Rosa (
tho...@durin.khazad-dum.net
).
<<      LINUX: the choice of a GNU generation     >>
<<   For my real address... ask the Balrog.       >>
* Sostenete la Lega per la Soppressione dei Troll *

On Sun, 07 Oct 2001 08:05:33 GMT, - <dar...@DeleteITtiscalinet.it>
wrote:

IIS č una piattaforma insicura, indipendentemente dalla release.
Se devi fare applicazioni di ecommerce, spostati su piattaforme linux.
Buttha

Se devi fare applicazioni di ecommerce, spostati su piattaforme linux.
PUTTANATE !!
ciao
---------------
    beep beep Roby
PS: togliere Le XXX per rispondere via mail.
PS: delete XXX to mail reply

 PUTTANATE !!
D'accordo...
Motiva SERIAMENTE la tua risposta, portando casi in cui IIS non abbia avuto
bachi di sicurezza.
Voglio Numero di versione IIS, numero di patch applicate, numero dei sysadm
coinvolti (per gestire una NT con IIS non basta una persona a patchare),
numero di clienti i cui dati NON sono stati rivelati a terzi per buchi nel
sistema, numero dei clienti che hanno chiuso la loro carta di credito per
paura che il numero fosse stato inviato a mezzo universo.
Poi mi rapporti la stessa situazione con Apache, indicando ovviamente i
motivi per cui Apache e' un colabrodo mentre IIS una roccia.
Hai tempo fino a domani sera per consegnare lo scritto d'esame, altrimenti
non ti posso promuovere, se non motivi adeguatamente le tue risposte.
--
--
           ~~ ICQ#: 8761263 ~~ 
http://www.delymyth.net/
 ~~
            E-Mail Addy: DElyMyth [at] delymyth [dot] net
           => FREE! Hardware Anti-Virus!!! - /dev/brain <=
Chi lavora avvelena anche te, digli di smettere - DElyMyth@work

PUTTANATE !!
Dove eri, mentre saltavano fuori i buchi di IIS?
http://www.punto-informatico.it/p.asp?i=36310
Buttha

 PUTTANATE !!
Silenzio ! E' arrivato il nuovo genio (delle stronzate..). State ad
ascoltare e non ve ne pentirete.. dimenticate Securityfocus, non e' mai
esistito, hanno appena chiamato da una cabina telefonica per avvertirci.


 
http://www.punto-informatico.it/p.asp?i=36310
Probabilmente a sniffare le mutande di Ballmer..


motivi per cui Apache e' un colabrodo mentre IIS una roccia.
Non ho mai affermato questo.
Apache è u un ottimo server, ma purtroppo come IIS ha i suo problemi,
quindi va aggiornato.
saluti



http://www.punto-informatico.it/p.asp?i=36310
A "fixare i server" :-))


quindi va aggiornato.
Decisamente meno che IIS.


 quindi va aggiornato.
Dimmi a quali problemi ti riferisci.
-- 
Inviato il ven 12 ott 2001 13:47:34 CEST da 212.177.57.193
[212.177.57.193]
http://www.neuromante.net/

Linux č Buggato d'accordo, va fixato"
I problemi di IIS non sono confrontabili con i problemi di Apache:
la frequenza dei bug e la loro entitą, attestano IIS come una
piattaforma insicura.
Buttha


Il problema e`: quanti lo fanno?
Naturalmente il discorso vale per qualsiasi piattaforma.
Dome

Dimmi a quali problemi ti riferisci.
Ok sorry forse non mi sono spiegato :-)
Io vedo IIS come win 2000 e apache come (linux/unix),
non faccio differenza tra questi prodotti ....IIS gira sotto il suo SO
e apache Idem...
tralasciando windows che hai i suo problemi, anche Linux(unix) hanno i
loro, è inutile aver un server web Supersicuro, quando poi Il SO hai
altri bachi e lascia aperto altre strade alle intrusioni.
E' come avere una Cassaforte con la porta in acciao e le pareti di
vetro...
Premetto che non sono esperto di linux ma Purtroppo nonostrante quello
che affermate voi, leggendo i security "Bulletin" che mi arrivano su
Linux(unix) non mi sembra che siete messi tanto meglio di chi usa
windows 2000 server...
l'unica fortuna è che in  linux/unix i bachi sono un po' più difficili
da sfruttare, in quanto il sitema è più complesso da gestire, e quindi
non basta il pirla di turno che si legge 3 righe di exploit per
vederne il risultato..
Purtroppo in win 2000 server la cosa è più semplice, e quindi basta
anche un pirla smanettone e brufoloso per farti casini se non ti sei
protetto...
spero di esermi spiegato..
ciao


Il problema e`: quanti lo fanno?
Bè scusa se hai una macchina e ogni tanto non ci guardi l'olio prima o
poi bruci il motore :-)
Se hai un server da gestire te lo devi curare.. se un pensa di fare
l'installazione e poi dimenticarlo... allora si deve  sperare nella
fortuna :-))
ciao
comuqeu hai ragione.. purtroppo... molti trascurano gli aggiornamenti
ciao



Subject: New vulnerability in IIS4.0/5.0
To: 
Bug...@securityfocus.com
X-Mailer: mPOP Web-Mail 2.19
[-- Attachment #1 --]
[-- Type: text/plain, Encoding: 8bit, Size: 3.0K --]
-----[ Bright Eyes Research Group | Advisory # be00001e ]-----------------
             Remote users can execute any command on several
	                    IIS 4.0 and 5.0 systems by using UTF codes
=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-


X-Mailer: mPOP Web-Mail 2.19
IIS non ha un servizio POP, quindi se questo webmail è un programma di
terze parti,, e lo è :-) chi ti dice cha la cazzata non sia stata
fatta da quelli che hanno scritto web mail...
a proposito non mi sembra che microsoft abbia rilasciato una patch
apposita per webmail...
mahhhh
Vedo che aveto voglia solo di polemizare.. la discusione non è
costruttiva... quindi vi saluto...
ciau


 costruttiva... quindi vi saluto...
<con le lacrime agli occhi, strappantesi i peli dello scroto e
sventolando un fazzolettino con sottofondo di "Gone with the wind"
mentre Vespa osserva disperato il tutto sapendo che gli sfugge una
mirabolante intervista con un fantastico difensore dell'impossibbboli>
Addiooooo
</con le lacrime agli occhi, strappantesi i peli dello scroto e
sventolando un fazzolettino con sottofondo di "Gone with the wind"
mentre Vespa osserva disperato il tutto sapendo che gli sfugge una
mirabolante intervista con un fantastico difensore dell'impossibbboli>


Ovviamente, se c'e' una  cazzata e' sempre fatta da altri, si deve
qui non potevo tacere, metti il caso che installi winzip, e ti manda
in crash IIS. e che prima funzionava bene.. a chi attribuimo il
difetto...
se ti monti il motore di un 128 spider di 22 anni fa su un mercedes
restassi a piedi, che vai a reclamare alla mercedes...
Sei io installlo mcafee 6.0 e mi devasta la macchina cosa successa
veramente), che faccio reclamo da microsoft,...!!!
mah........
saluti... 
ciao


 difetto...
Siccome io non sono una scimmia cliccante come molti pseudo
amministratori m$ che si vedono in giro a) non installo SW inutile su un
server b) se proprio devo installarlo lo prendo da una fonte sicura non
dal primo sito warez che mi capita perche' craccato e' meglio.
Ma per favore..


Ma per favore..
Scusa ma per favore forse è meglio che lo lasci perdere...
non ho capito, la fonte sicura allora produce software senza
bachi...??
Quindi speri di andare sul sito veritas, spendre c.a. 900$ per un
pezzettino del software di backup e quindi visto che la fonte è sicura
e hai cacciato £ 1.600.000 allora il software deve essere perfetto..??
se qualcosa impalla il sistema dopo l'instalalzione bè è sicuramente
colpa del sistema operativo...ovvio !
Io ho disintegrato linux 2 volte installando software sicuro (o per lo
lo meno credo lo fosse visto che si tratta vi staroffice e di una
altro di foto ritocco che non ricordo il nome... Non ho mai dato la
colpa a linux...
forse sarà perchè non ho pregiudizi e antipatie..
asta la vista..


 forse sarà perchè non ho pregiudizi e antipatie..
Non sembrerebbe.


 difetto...
1) WinZip ha sputtanato la memoria di IIS: il problema e' di winzip e,
ancor piu', del S.O. che glielo ha permesso.
2) WinZip ha fatto una chiamata al servizio IIS, solo che siccome IIS
non e' abbastanza robusto, si incarta. Il problema e' di IIS.
In ogni caso, in un sistema serio, ad esempio uno Unix con Apache, cio'
non succede (a meno che non sia pilotato da un sysman assolutamente
impazzito che ama giocare con programmi instabili come r00t... in tal
caso il problema e' ancor piu' a monte, cioe' del sysman stesso. L'unica
soluzione e' killarlo)
Ciao
HappyCactus
-- 
Keyboard not present or keyboard error
Press F1 to resume

 forse sarà perchè non ho pregiudizi e antipatie..
O perche' Linux / Staroffice o Gimp non ti hanno mai dato l'opportunita'
di pensarlo. Cio' che invece succede con IIS, e' l'esatto contrario.
Purtroppo i bachi sono talmente tanti ed evidenti e frequenti che oramai
e' difficile negare che per quanto patchato, IIS non e' affidabile...
Ciao!
Un HappyCactus che lavora sia su MS che sul pinguino, e sinceramente...


sia Windows...esperienza fresca di giornata.
Mah gurada io ho la fortuna di non lavorare con linux, ma ho diversi
amici, che sono anche molto bravi, che mi raccontano le loro
esperienze.., non sono tutte rose e fiori come volete far cerdere
qui..
La vostra è pura e semplice antipatia di pelle...(non per me ma per il
S.O., e forse anche per me :-))
saluti


 S.O., e forse anche per me :-))
No, sei solo un troll, non sei antipatico.


No, sei solo un troll, non sei antipatico.
come sopra.... 
ciao


 La vostra è pura e semplice antipatia di pelle...
La mia e' esperienza.
Tu, invece, tagli le parti dei post alle quali
proprio non sapresti cosa rispondere e, per il resto,
spari corbellerie.
-- 
Inviato il gio 25 ott 2001 15:36:29 CEST da 212.177.57.193
[212.177.57.193]
http://www.neuromante.net/

 come sopra.... 
No ti do' del troll, se non sai nemmeno leggere non posso farci niente.


 =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=-=> CLIP HERE < =-=-=-=-=-=-=-=-=-=-=-=-=-=-=-

 Microsoft security Bulletin
Oltre tutto... e ci sono anche i casi in cui le patch aggiustano una
cosa e ne scassano altre tre.. ah ma tanto zio Bill e' buono, ci vuole
bene e ci aggiustera' tutto..
Liberamente tratto dal primo libro della mosca secondo Redmond..


 S.O., e forse anche per me :-))
A me pare che il tuo sia solo un trolleggiare.
altrimenti non parleresti di cose che non conosci.


altrimenti non parleresti di cose che non conosci.
Mah.... non mi sembra di aver detto nulla che non conosco, siete voi
che stave divagando, io ho semplicemtne affermato che linux come tutti
i software e sistemi operativi ha i sui bug e va fixato... come
windows, solaris etc... ma sono stato preso per un coglione, questi
sono i newsgroup, come rimpiango fidonet.
Se la cosa vi disurba tanto. instalallatevi il vostro sistema,
mettetelo on line su un sito di e commerce che fa 10/20 milioni di
page views al mese e NON patchatelo..... visto che è perfetto....
Ciao


 page views al mese e NON patchatelo..... visto che è perfetto....
Cio' che fai tu con il tuo IIS del menga? Vediamo quale dei due resiste
di piu'? Mi sento di scommettere che ti portiamo via pure le mutande.


 Ciao
Nessuno ha detto questo. E' solo che Apache ha una frequenza di bachi
molto minore del "tuo" IIS. Tant'e' che un'autorita' nel campo della
sicurezza, negli stati uniti, ha invitato gli utenti a non usare i
prodotti MS.
HappyCactus...
