Newsgroup: it.comp.www.asp
Titolo: Sicurezza

Innanzitutto salve a tutti.
Sono appena approdato su icwa, ma non posso leggermi 900 messaggi in un botto solo!
Comunque nei subject non ho trovato nulla per la seguente domanda:
-----------------------------------
Mi è stato detto che c'è una falla in IIS4 secondo cui usando IE5 ed impostando una data "particolare" nell'orologio del computer client e poi cliccando il [BACK] del browser il server non esegue il
codice ASP ma lo manda al client come se fosse un .txt.
-----------------------------------
E' vero? E' falso? Mi hanno tirato uno scherzo ed io sto abboccando allegramente? :-)
Mi interessa perché ho già buttato giu una quintalata di KappaByte di codice abbastanza serio e non sono ancora a metà del sito, mi dispiacerebbe vedermelo fregare se 'sta cosa fosse vera.
Grazie e a presto.
Ciao, Riccardo
-----------------------------------------------------------------------
http://www.jsdir.com
Need a JavaScript password?
http://www.agora.it/Ri.Riccardi/ingresso.html
-----------------------------------------------------------------------
"Any sufficientely advanced technology is indistinguishable from magic"
Arthur Charles Clarke
-----------------------------------------------------------------------

> E' vero? E' falso? Mi hanno tirato uno scherzo ed io sto abboccando
allegramente? :-)
Onestamente non ne ho mai sentito parlare. Comunque mi pare abbastanza
difficile visto che:
1) La data e l'ora del client non influenzano il server (direi che il server
neppure le vede)
2) Il client non riceve in nessun modo il sorgente e quindi in nessun modo
puo' visualizzarlo autonomamente
Saluti.
Stefano.

 puo' visualizzarlo autonomamente
.........
Concordo, naturlamente dopo l'applicazione del Service Pack (almeno 4se non
erro) per l'ormai famoso $$DATA bug (ormai e' passato tanto tempo che non mi
ricordo neanche come era la denominazione ;-) e dopo l'applicazione della
patch o lo stop del servizio index sulle dir asp:
****************************************
Imagine the URL of a typical ASP site:
http://www.yoursite.com/yourfile.asp
Now try this variation:
http://www.yoursite.com/null.htw?CiWebHitsFile=/yourfile.asp%20&CiRestrictio
n=none&CiHiliteType=Full
If you see your source code, you have the webhits.dll bug!
Microsoft's Fix is at:
http://www.microsoft.com/technet/security/bulletin/ms00-006.asp
****************************************
Che bisogna stare allerta e' certo, ma dire che il codice e' liberamente e
semplicemente accessibile e' decisamente, per fortuna, ancora falso! ;-)
--
Ciao, Fabio Zed Zamparelli

 puo' visualizzarlo autonomamente
Si anche a me sembrava(!) improbabile, ma sempre di Microsoft parliamo no?
Comunque ho trovato una FAQ su Aspitalia e mi è sembrato di capire che è un problema che riguarda l'hosting, non il poveraccio che pubblica le pagine.
Qualcuno mi conferma la cosa?
Ciao, Riccardo
-----------------------------------------------------------------------
http://www.bottegasanlorenzo.it


 Qualcuno mi conferma la cosa?
L'URL ragazzi, se l'hai trovata la FAQ avra' pure avuto un URL od almeno il
numero!
Come ha risposto giustamente Fabio Zed Zamparelli _esisteva_ un problema ma
non era con una data sul client ma con $$data (anche io non ricordo +
esattamente) alla fine dell'URL. Onestamente dubito che ci siano ancora
server in queste condizioni visto che si parla di ASP 1.0.
Saluti.
Stefano.

 visto che si parla di ASP 1.0.
Quindi posso fare  meno di preoccuparmi?


> Quindi posso fare  meno di preoccuparmi?
Per il momento si', ma si sa che in M$ hanno uno strano concetto di
risoluzione di bug. O forse e' agricolutura biologica, ammazzano un baco
(bug) piccolo con uno piu' grosso.
Saluti.
Stefano.