Newsgroup: it.comp.www.asp
Titolo: Vengo al punto: database scaricabile

Avevo girato intorno al problema.
L'altro giorno mi accingevo a provare un gioco trovato su un sito italiano.
Un gioco che aveva l'obiettivo un po' di farti sentirti "hacker" un po'
farti vedere come certe volte l'area utente di molti siti sia molto facile
da aggirare.
Erano tutte pagine con script (javascript per la maggiorparte, ma anche
flash e applet java) da capire e aggirare.
Sono arrivato al 12° livello su 17° e li mi sono arenato.
Ho riflettuto: allora javascript lo odio già di mio ma comunque per cose del
genere non l'avrei mai usato: sto più tranquillo.
Flash mi piace ma insomma non utilizzerei mai controlli su password così
deboli e soprattutto dati caricati nel filmato. Idem per Java usato in quel
modo.
Poi mi sono detto certo che uno script lato server è molto più sicuro.
L'utente deve forzare il sito per giungere al codice sorgente. E soprattutto
dovrebbe giungere ad un db. Poi provo per curiosità (guarda caso una cosa
così stupida non c'avevo mai pensato) a scaricare il database del sito che
sto facendo. Ebbene in effetti come è ovvio scarica. Tiro giù la mia prima
mprecazione. Poi mi dico se lo posso fare io lo può fare chiunque altro!
Vado su un sito fatto tempo fa da un mio amico. Metto nell'indirizzo la
directory db poi provo con database e con il nome del file database.mdb o
poi alla seconda ilnomedelsito.mdb: azzecco!!!
Giungo a conoscere utenti e loro password!!!
Voi mi direte si ma devi proprio tentare e poi mica sembre sono mdb. Si
verissimo.
Siete sicuri che con Java non sia possibile realizzare un "explorer" del
sito remoto.
Io intanto vedo acqua... non da tutte le parti... ma da almeno due si
Ciao

 poi alla seconda ilnomedelsito.mdb: azzecco!!!
mai sentito parlare di protezione delle directory?
Se quel database che hai scaricato è in hosting ti consiglio di 
cambiarlo subito. ;)
ciao
-- 
Kappa [co-mod ICWA]
kappa(at)
webngo.net
www.webngo.net
www.filmscoop.it

Ci sono vari modi per aggirare questo problema.
Uno sicuramente efficace è di avere il database .mdb FUORI dalla root dir
del sito, in modo che non sia raggiungibile direttamente tramite URL. Poi
nella stringa di connessione basta che specifichi il percorso fisico. Molti
server in hosting ti danno già questa possibilità, con una o più cartelle
fuori dalla web-root, da poter utilizzare per i tuoi file "protetti".
Altra soluzione che in genere forniscono i provider è di fornire una
cartella e un file .mdb con i permessi di accesso giusti, così che il db sia
raggiungibile da programma ma non direttamente tramite URL.
A te la scelta.
--
:: Massimiliano Mattei
:: Project Leader
:: E.xtranet V.irtual A.pplication

 ha scritto nel messaggio news:bf31oh$qrt$1...@lacerta.tiscalinet.it...



Chi fa acqua č, ripeto, l'amministratore di sistema.
Ciao
--
AZ [Microsoft .NET MVP]

 "Se Dio č perfetto, perché ha creato le funzioni discontinue?"


 cartella dove vengono memorizzati database o altri file.
giustissimo, ma che ne dici se l'utente tramite ftp salva il db dove cappero
gli pare e sempre tramite pannello si imposta le sicurezze NTFS?
Come sa dovrei controllare tutti i server e tutti i db access e relative
security, un lavoro non da poco ed inoltre quando comunichi all'utente che
ha dimenticato le security e che deve impostarle o ti ignorano oppure
pretendono che lo faccia tu visto che te ne sei accorto ovviamente a costo
0.
-- 
ITHost (your host company)
Technical Manager
C. Paparelli (MCSE,MCSD,MCDBA)
http://www.ithost.ch


Moderatore di it.comp.www.asp - Microsoft .NET MVP
http://www.aspitalia.com/
 Enjoy the .NET community!
http://www.dev2dev.it/
 La rete ha connesso nuove particelle!
http://www.extensible.it/
 XML and beyond

 in teoria non dovrebbe essere troppo complesso :)
ottima idea e funziona anche per richiesta ado.stream mi sa che ci faccio un
pensierino ;-)


 che ti trovano la password in 2 secondi......
oltre a creare problem con certi hosting, che rinominano il db in 
.currupted se trovano una password


 faccio un pensierino ;-)
ah beh, io l'ho riciclata dopo averla applicata sfruttando 
ASP.NET
 su IIS 5
e direttamente IIS 6, che per fortuna ha già tante belle cosine di default
:)
nel primo caso è banale, basta uno script che cicla sui web server ed
aggiunge la chiave che associa l'estensione all'engine 
ASP.NET
, ed una
piccola modifica al machine.config, per far sì che non venga eseguito, come
per l'etensione .ascx ad esempio.
et voilà ;)


 Come si potrebbe rendere indipendenti e chiusi i vari siti ospitati
 > su di un host condiviso?
Agendo sugli utenti/protezione, creandone uno per ogni sito.
Ma visto che lo chiedi non è che sei tu il sistemista di questo hosting? 
  LOL :P
ciao


   LOL :P
maligno ;-)


 e direttamente IIS 6, che per fortuna ha già tante belle cosine di default
ottima soluzione, ma ne ho trovata una più rapida.
Se hai installato urlscan basta aggiungere nel file urlscan.ini l'estensione
.mdb nella sezione deny extensions.


 l'estensione .mdb nella sezione deny extensions.
si, ma se vuoi essere raffinato associandolo ad un tuo handler puoi spiegare
perchè hai bloccato quell'estensione.
cmq alla fine anche urlscan si presta bene allo scopo :)


   LOL :P
He he he! E' 
9netave.it
, abbastanza "rinomati", direi.
Alex.

 maligno ;-)
beh sai sui NG capita di tutto, quindi sono un po' realista :P



shhh, si dice il peccato e non il peccatore :)
forse è meglio che gli mandi una email per avvertirli ;)





 tanta gente, magari anche al sa di quell'hoster se ci sta leggendo :P
eheh qui si entra nella consulenza ;-)
No scherzi a parte dipende da cosa vuoi fare o vuoi permettere. Tutta la
struttura la puoi buttare via se vuoi permettere l'accesso tramite ftp, e a
cosa può avere accesso l'hosting è frazionabile? Un utente, chiamiamolo
master può accedere a tutti i suoi siti? oppure deve accedere dominio per
dominio?
Inoltre la situazione si complica notevolmente se vuoi permettere l'accesso
e la gestione dei logs, db, backup, index server, ecc.
Ci sono alcune soluzioni chiamiamole standard che vengono utilizzate da
parecchi hoster ma come tutto ha i suoi pregi e difetti, una soluzione
personale è un po' più complicata ma ti permette offrire alcuni servizi in
più (es. la possibilità di gestire tramite ftp i db mysql o il logs), cosa
che molti hoster non offrono.
Lo so che ho detto tutto e niente ma non me la sento di dire si fa così
oppure cosà......


>Giungo a conoscere utenti e loro password!!!
allora, volendo proprio essere super-etici, noi come realizzatori di
applicazioni neanche dovremmo conoscere le password dei nostri utenti.
anche io per certe cose ho fatto una tabella in un db di
utenti/password, ma in realtà non salvo la password, bensì il suo
hash, per mezzo di una libreriola da 49 $.  quano l'utente immette la
password ne faccio l'hash e lo confronto con quello salvato.
quindi anche se io realizzatore vado a vedere quelle pw (o magari lo
stagista di passaggio del provider) vedo solo stringhe inutili.
poi vabbè, con fso posso loggare ogni cosa che mi scrive in post o
get, ma quello è un altro discorso...


Questo c'è già. Io parlo dell'accesso agli script. Mi sono fatto uno script tipo "explorer" e mi sono fatto un po' di giri. Se fosse
possibile precludere questo tipo di accesso immagino che l'hoster ci abbia già pensato! Nel caso contrario allora magari è il caso
di segnalarlo, giusto?
Grazie.
Alex.

 di segnalarlo, giusto?
beh penso proprio di sì ;)
ciao


 password ne faccio l'hash e lo confronto con quello salvato.
beh quei 49$ te li potevi risparmiare, magari utilizzando uno script per 
fare l'MD% della password ;-P


 get, ma quello è un altro discorso...
oppure senza complicarti la vita con fso ti puoi leggere i log http ;-)


 fare l'MD% della password ;-P
oppure ti scarichi i componenti a gratis
http://www.sloppycode.net/asp-components/


 
http://www.sloppycode.net/asp-components/
ma sempre di componenti parlimao :P


fare l'MD% della password ;-P
in realtą quella libreria l'ho presa per fare anche altre cose, tra
cui cifratura asimmetrica ecc..

> 
http://www.sloppycode.net/asp-components/
miii che ficata, grazie!

 cui cifratura asimmetrica ecc..
si certo, non penso che uno come te spenda 49$ solo per fare un hash ;P


 Alex.
Molto più divertente prendere il file database.mdb indi rinominarlo in
sfondo.jpg (o .gif) ... con connessioni DSN-Less vi assicuro che funziona
(sperando che questo messaggio non venga letto da un mio amico che ancora si
chiede dove cavolo sia il database del suo sito eh eh eh)
Mariotti Michele

 di segnalarlo, giusto?
Mi sa che non ci ha pensato!
Segnalaglielo alla svelta...


 Mariotti Michele
:)
Furbo!
L'importante è che il tuo amico, vedendo tale *immagine* non pensi che sia
inutile e la cancelli! :)
