Newsgroup: it.diritto.internet
Titolo: Attacchi e avvertenze

Ho scoperto che un sito può essere bucato con tutta tranquillità... essendo
programmatore, posso contattare il titolare del sito dicendo di aver
effettuato alcuni test ed aver scoperto il problema o sono passibile di una
denuncia ?
Grazie..

 wrote in message
news:CNXBc.363469$hc5.15...@news3.tin.it...

no, se non hai avuto un'autorizzazione, ti può denunciare per pirateria
informatica

informatica
Mi risulta che ci siano anche diversi precedenti, anche illustri, che
riguardano casi come quello che dici.
Ciao,
Pietro

...

No, aspetta.
Ha detto "Ho scoperto che un sito può essere bucato con tutta
tranquillità".
E "ho effettuato alcuni test".
Non "ho bucato un sito con tutta tranquillità".
Magari lo ha scoperto facendo attività perfettamente legali,
navigandolo.
Nel 90% dei siti web che sono "bucabili" ti accorgi delle
vulnerabilità
da banali cazzate di chi li ha messi su, vedi lo script php/perl/jsp
che si rompono e sparano a video 18 pagine di informazioni di debug
che permetterebbero persino a mia nonna di improvvisarsi hacker, o
versioni di webserver strabacate, oppure un broken link su una
cartella + il classico listing delle directory del webserver
abilitato, etc etc (si può andare avanti all'infinito).
Se ci dicesse che test ha fatto, capiremmo se farlo denunciare o no
;-) ...
ciao


In gergo si chiama "sql injection", ovvero si tratta di digitare un apice in
qualunque modulo presente nel sito (ricerca, login, ecc.); se appare un
messaggio di errore, il sito è bucabile digitando apposite parole nel campo
stesso. Dubito che si possa essere denunciati per un test di questo genere,
ovviamente a patto che non si cancellino o modifichino dati..

stesso. 
Dipende da quanti diritti ha l'utente sql, molte volte non puoi fare
molto. 
1. Se l'utente non ha diritti di esecuzione non puoi lanciare comandi.
2. Se non sai la struttura del database non puoi modificare i dati o
cancellare le tabelle o darti diritti
Io una volta ho provato a bucare un bio sito a cui si era bloccato il
collegamento remoto, le ho provate tutte e nonostante una pagina che
permetteva l'iniection, niente da fare.
Andrea

 stesso. Dubito che si possa essere denunciati per un test di questo genere,
Dipende dal tipo di sql injection, ci sono varie modalità.
Ma secondo me già le più banali, tipo la classica ' or 1=1 --    
nel campo password , oppure i vari trucchi per aprire pagine asp 
sono già pratiche che comunque portano ad un accesso non autorizzato 
al sistema.
ciao

tranquillità".
Sì, ma io non gli ho creduto ;-). Personalmente ho svolto attività
commerciale nel settore informatico per alcuni anni... devo dire che
secondo me la cosa più importante è che si tratta di un "cattivo" modo
di vendere i prodotti. Cattivo perchè scorretto (e che fai? ricatti?)
ma anche perchè non rende granchè.. anzi, crea nel cliente un senso di
paura: devi invece creare un senso di sicurezza e fiducia nelle
soluzioni informatiche. Sì, in un primo momento vendi di più e prima..
forse.. però nel tempo il cliente metterà in rete un pc in meno xchè
ha paura.. poi non comprerà il nuovo gestionale web based xchè ha
paura... Complimenti! Visto che danno avete fatto?
Comunque penso siano errori perdonabili a piccole aziende (ma
piccoline eh...), il guaio è che ci sono anche grandi aziende che
operano così.
Ciao,
Pietro