Newsgroup: it.comp.lang.javascript
Titolo: Nascondere il codice

Ciao,
volevo implementare un sistema semplice sempice per accedere con password
ad una pagina.
Ho scritto una funzione:
 
function password() {
        var pass="temporanea";
    var richiesta="pluto"; 
	richiesta=prompt('Inserisci la password di accesso','');
        if (richiesta==pass){
                document.getElementsByTagName('a')
		[document.getElementsByTagName('a').length-1].href=
			"../elearning/ambienti.html";
        } else {
                document.getElementsByTagName('a')
		[document.getElementsByTagName('a').length-1].href=
			"../def/passwd_err.html";
    }
        return true; }
Purtroppo e' semplice leggere lo script e capire quale password e' stata
inserita. Con Javascript e basta e' possibile occultare la password (senza
ricorrere a tencniche di crittografia)? 
Grazie

 ricorrere a tencniche di crittografia)? 
No
-- 
"Affacciati affacciati benedici, guardaci
 guardaci...guardaci!
 Tanto sono quasi duemila anni che stai a guardare!"
									    E.B.

> ricorrere a tencniche di crittografia)?
L'unico metodo un po' sicuro che io conosco è
rinominare la tua pagina segreta col nome della password,
(password_segretissima.html) e poi creare uno script
che si collghi alla pagina "password_inserita_dall'utente".html.
bye
Pol

 Pol
Provato con Teleport?
Ti scarichi tutto sul client e ci metti un attimoa scovarla.
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 ha scritto nel messaggio
news:cjrudp$hes$1...@newsreader.mailgate.org...


 Ti scarichi tutto sul client e ci metti un attimoa scovarla.
Ma veramente puoi scaricare TUTTO ???
E' impossibile, come puo' riuscirci se non esistono dei link?
Magari pero' funziona solo su siti ospitati da portali free...
Pol

 
http://www.jsdir.com/staffscripts/script079.asp
Grazie per il link! :-)
Se puo' servire ne ho anche uno lato server utilizzabile (anche per piu' 
utenti) da qualsiasi sito, pure quelli in spazi free che non consentono l'uso 
di database e/o scripting (asp, php, etc.)
Date un occhio qui:
http://www.wmtools.it/demoservizi.php?servizio=password
-- 
Ciao, Riccardo
------------------------------------------------------------------------
http://www.jsdir.com
  ---- Bring Your Site To Life!!!!
http://www.wmtools.it
 ---- WebMasterTools - Servizi per il tuo sito
http://www.dev2dev.it
 ---- La rete ha connesso nuove particelle - D2D006
------------------------------------------------------------------------
Per rispondere: togli il PUNTO .

 Pol
Indec


 Si tutto
Mi fai una cortesia? Gradirei tu mi togliessi una curiosità.
Non avendo Teleport (è per PC, io ho un Mac) non so cosa riesce
realmente a vedere e cosa no. Ovviamente esistono "ragni" anche per Mac,
ma - a seconda di come è strutturato un sito - producono risultati che
non riesco a capire.
Se hai tempo e voglia, dovresti fare un salto su 
http://www
.    il mio cognome in minuscolo    .it
e succhiarne il contenuto.
Non c'è quasi niente: un index.php, una cartella "imm" (che contiene una
sola immaginina.jpg) e due cartelle. La prima si chiama "ppp" ed è
(teoricamente) un'area riservata; la seconda si chiama "visit", contiene
un paio di file e non ha protezioni di alcun genere, eppure i miei ragni
non la intercettano, né vedono i suoi file interni. 
Me la togli la curiosità? Thanks :)
-- 
mailto: y = i
----------------------------------------
Vivo nel terrore di non essere frainteso 
(Oscar Wilde)

> Mi fai una cortesia?......
Ovviamente questi programmini scaricano file statici.
Dal tuo indirizzo non prende nulla.
Peace!


 Ovviamente questi programmini scaricano file statici.
sicuro che non dipenda anche dai diritti di lettura/esecuzione dei file?
esempio:
$ mkdir test
$ touch test/prova
$ ls -l test/prova
-rw-r--r--  1 zed zed 0 ott  7 18:10 test/prova
$ chmod 111 test
$ ls -l test/
ls: test/: Permission denied
$ ls -l test/prova
-rw-r--r--  1 zed zed 0 ott  7 18:10 test/prova
-- 
"Lo sa che io ho perduto due figli?"
"Signora, lei e' una donna piuttosto distratta"

Per essere chiari,
se ho un sito su aruba, e metto nella cartella "Private"
il file "gigi.pdf", non raggiungibile da nessun link ...
riesce a scaricarlo ?
Grazie
Paolo
PS
Mi hai illuminato ... 

 Mi hai illuminato ... 
No, piu' che altro dovrebbe averti illuminato l'ultimo messaggio di Catarsi e 
la successiva risposta.
Non riesco a capire se Indec Mal "ci e' o ci fa", ma ho il vago sospetto che 
ti stia prendendo in giro.
(*)
Marco sono intervenuto, visto che non sei piu' passato dalla notte scorsa, 
giusto per "mettere i puntini sulle i" ed evitare che nel NG si spaccino cose 
non vere.


 esempio: ...cut...
Quello si pone il problema se uno spider riesce a scaricare una pagina non 
linkata e tu te n'esci con una sessione alla console? :-P
Ora spiegali passo passo quel che hai scritto :-))


 Peace!
La home è la mia "finestra", in tutti i sensi. Chi mi conosce di persona
ed è stato a casa mia ne comprende anche il motivo :)


 sicuro che non dipenda anche dai diritti di lettura/esecuzione dei file?
La cartella "ppp"[*] ha i permessi settati a 777, la "visit" li aveva a
755 (dunque lettura ed esecuzione per chiunque); ora, a scanso di
equivoci, li ho impostati a 777 anche sulla "visit". 
[*] la "ppp" contiene i due file nascosti .htaccess e .htpasswd.


 cose non vere.
Hai fatto cosa buona e giusta ;)


 Ora spiegali passo passo quel che hai scritto :-))
Ellapeppa! Cos' e', quel "chmod 111 test" che spaventa? ^^;
semplicemente nel mondo *nix (non conosco i win XP-2003 ecc) si puo'
giocare coi permessi delle directory per consentire di accedere ai file al
loro interno, ma non di sapere quali file effetivamenete vi siano ^^;
E' abbastanza comprensibile cosi'?


 E' abbastanza comprensibile cosi'?
Era comprensibile pure prima per chi ha un minimo di infarinatura ma se uno 
ti chiede "come si fa il vino che non ne so nulla?", tu che gli rispondi: "si 
pigia l'uva e si fa fermentare quel che ne esce", oppure cominci con la 
scelta del terreno e della cultivar adatta al luogo? :-P
p.s.
I permessi sui files ci sono dappertutto comunque.


 Hai fatto cosa buona e giusta ;)
Ah che bella l'ADSL che finalmente posso trastullarmi con i NG quando ho 
tempo libero e non devo ritagliarmi tempo apposta (cosa impossibile ormai)
:-D


Grazie a tutti, siete stati chiarissimi !!!
.... pero' un dubbietto .... piccolo piccolo ...
Io ho una pagina php, e parte del suo contenuto
(in cui č inserito per l'appunto il link al file segreto)
č leggibile solo se una variabile corrisponde a un certo valore,
teleport non č che fa un bruteforce sulla pagina, giusto?
Sarebbe una pazzia, ma per sicurezza chiedo...
Anzi, finchč ci sono, esistono spider che lo fanno ?
Grazie ancora.
P.o.l

 :-D
'sta zitto va, che io a casa di mio cugino sono con il 56k.. devo trovare
il modo di convincerlo a metter su una linea veloce, dividendo le spese.. e
anche velocemente, perche' voglio giocare a Burnout 3 in rete! >_<
-- 
ZER0://coder.gfxer.web-designer/
~ "Nei film americani, qualsiasi problema che venga considerato
sufficientemente catastrofico, puo' essere risolto facendo esplodere uno
o piu' ordigni nucleari" (ZER0 & Cosimo)

 Anzi, finchè ci sono, esistono spider che lo fanno ?
Programmi si, spider no. Gli spider/crawler sono applicativi che servono a
"scansionare" la rete recuperando informazioni. Vi sono gli spider/crawler
positivi (motori di ricerca, statistiche) e quelli negativi (recupero
indirizzi e-mail per spamming).. gia' la rete e' vasta, se gli "spider
negativi" dovessero mettersi a fare bruteforce ogni volta che incontrano un
campo password, ci metterebbero due eternita' e mezzo.. senza contare che,
in quanto programmi (ro)bot, hanno comportamenti automatizzati, quindi
anche se facessero del brute force su un campo pw, poi come fanno a sapere
cosa gli aspetta dopo, e comportarsi di conseguenza?
Insomma, gli spider/crawler non sono il tuo problema. Il tuo problema
possono essere solamente utenti "umani" che hanno intenzioni malevole
contro il TUO sito.
Ma cerca di non diventare paranoico. Se usi PHP, metti una bella password
in MD5 e chi s'e' visto s'e' visto.. oppure direttamente un bel htaccess
per l'autenticazione, se ne hai la possibilita'.
-- 
ZER0://coder.gfxer.web-designer/
~ "Ma non e' che l'ho cancellate, le ho messe nel cestino..!"
(Linda)

 il modo di convincerlo a metter su una linea veloce, dividendo le spese.. 
Io ho fatto la FLAT 640/256 (o 128? boh! :-) con Libero perche' avevo gia' un 
contratto affari per la fonia/internet.
Cmq mi sembra che sia disponibile anche per i privati, e 36 euro al mese per 
una flat mi sembrano piu' che accettabili.
Unico rimpianto era disponibile sul mio numero gia' da quasi un anno, ma mi 
ero rotto le pXXX di provare e vedermi rispondere "niente da fare" :-)
Cliccheggia qua: 
http://internet.libero.it/bandalarga.phtml


Ok, finalmente ho capito tutto!
Grazie 1000 ancora
P.o.l
Ah, un ultimo problema .... scherzo!  :-P 

 e ti metti a implementare la sicurezza lato client..?
Ecco, lo sapevo io!
ZeD ci sei? Hai letto? Mo' paghi pegno! :-D


 una flat mi sembrano piu' che accettabili.
Sul sito di libero dice:
"1280 Kbps in download e 256 Kbps in upload" per 34,95 al mese.. uhmm..
.. in verita' io volevo convincerlo a passare a Fastweb (abbiamo il palazzo
di fronte, basterebbe tirare un cavo di rete da finestra a finestra.. mi
devo fare l'amichetta che lavora la', mi sa'..), cmq mo' vedo..
-- 
ZER0://coder.gfxer.web-designer/
~ Un computer e' fondamentalmente stupido.
Non fa cio' che vuoi che faccia, ma cio' che gli dici di fare.
Solo, e' uno stupido dannatamente veloce.

 ZeD ci sei? Hai letto? Mo' paghi pegno! :-D
Eh?
-- 
ZER0://coder.gfxer.web-designer/
~ "L'unica persona che mi chiama con un numero che non conosco
e' il mio ragazzo." (Linda)

 devo fare l'amichetta che lavora la', mi sa'..), cmq mo' vedo..
Avevo un amico che cablava interi palazzi con solo una connessione fastweb.
Mi ha detto che il berlusca (ritorna spesso in questi giorni) ha reso
illegale questa pratica, purtroppo...
-- 
"Affacciati affacciati benedici, guardaci
 guardaci...guardaci!
 Tanto sono quasi duemila anni che stai a guardare!"
									    E.B.

 illegale questa pratica, purtroppo...
Eh..? Non ho capito.. sara' che ho il raffreddore che mi "tampona" i
neuroni..
-- 
ZER0://coder.gfxer.web-designer/
~ Ci siamo fatti una scopata cosi' eccezionale che anche i vicini hanno
fumato una sigaretta.

 neuroni..
Nel senso che adesso č illegale condividere la linea internet tra diversi
nuclei familiari, quindi anche se ti fai l'amichetta non puņ lanciarti il
cavo dalla finestra...(non puņ legalmente parlando, ovviamente).
-- 
"E' l' ignoranza che crea l'intolleranza
 di gente cieca e senza coscienza"
									  S.S.S.

 I permessi sui files ci sono dappertutto comunque.
denghiu, ero rimasto a win98, come utilizzatore...


 ZeD ci sei? Hai letto? Mo' paghi pegno! :-D
^^;;;
e perche'? Avevamo scommesso niente? ;P


 mi serve spaventare la possibile concorrenza!
Mi sa che spaventi un po' anche il cliente pero' :-D


 cavo dalla finestra...(non puņ legalmente parlando, ovviamente).
C'era qualcosa su Punto Informatico qualche giorno fa, a proposito di 
condividere una connessione wireless: fattibile tecnicamente, ma chi 
condivide si trasformerebbe in fornitore d'accesso... e via di legalese.
Cmq io non lo farei, se uno si mette a scaricare robaccia, poi chi ne paga le 
conseguenze sarei io.


 "1280 Kbps in download e 256 Kbps in upload" per 34,95 al mese.. uhmm..
Solo se arriva la rete wind (ULL/Unbundling), altrimenti 640


 Eh?
Leggi il thread a partire dalla risposta di ZeD a IndecMal e a seguire


 qualunque modo come sorgente) non e' accessibile. Right?
Nope!
Se la directory e' eseguibile, io posso leggere tutti i file al suo
interno, ANCHE NON LINKATI.
io come "spider"... almeno... wget funge cosi':
controlla la pagina passata come parametro
se e' un file .html, controlla i link interni ricorsivamente
se la directory consente di vedere i file contenuti, controlla i file
ricorsivamente
se consentito, risali l' albero delle directory e controlla il contenuto
ricorsivamente.


 conseguenze sarei io.
Eppure questo mio amico come mestiere si metteva d'accordo con i condomini
e cablava l'intera rete condominiale con un unico contratto. Adesso però ha
smesso proprio perché la legge ha bloccato questo utilizzo. E sì, tutto via
wireless.
-- 
"Emancipate yourselves from mental slavery;
None but ourselves can free our minds"
									    B.M.

 interno, ANCHE NON LINKATI.
Credo di esserci: tu parli di rendere comunque inaccessibili i files in 
quanto tali (a prescindere da com'e' impostata la cartella che li contiene), 
in modo che se, per assurdo, potessi leggere la dir della cartella poi non 
potrei cmq accedere ai files.
Un dubbio pero': di quale utente parliamo?
Perche' se parliamo dell'utente generico da web (non mi sovviene il nome 
tecnico) allora anche il browser non potrebbe accedervi... o sbaglio?
Cmq forse e' meglio smettere qui, siamo abbondantemente OT :-)


 e perche'? Avevamo scommesso niente? ;P
No :-), č che il mio intervento su di te era nell'ottica dell'esempio che poi 
ti facevo sul vino.
Alla conclusione dei fatti viene fuori che questo ha a disposizione PHP e 
vuole proteggersi lato client, figurati quanto puo' essergli chiaro (per le 
conoscenze che *dimostra* al momento) la tiritera che e' seguita fra me e te 


 Leggi il thread a partire dalla risposta di ZeD a IndecMal e a seguire
Scusa, sara' sempre il raffreddore di cui prima, ma non capisco il
riferimento tra quelle risposte, e la mia..
-- 
ZER0://coder.gfxer.web-designer/
~ I feel like I'm diagonally parked in a parallel universe.

 Solo se arriva la rete wind (ULL/Unbundling), altrimenti 640
Ma penso di si.. sto a Milano in una zona cablata con tutto e di piu', non
a bassano del grappa. :)
-- 
ZER0://coder.gfxer.web-designer/
~ "When you have eliminated the impossible, whatever remains,
however improbable, must be the truth." (S.H.)

 a bassano del grappa. :)
Sarà anche cablata, ma è l'unica zona "centrale" di Milano non servita
dalla metrò, quindi non giurarci... :-)


 dalla metrò, quindi non giurarci... :-)
Che c'entra la metro con la cablatura delle fibre?
BTW, credo che ancora non abbiano fatto una beneamata cippa con la rete
wind (ULL/Unbundling).. e' solo predisposta.. magari c'avranno giusto
cablato l'appartamento del figlio del direttore della wind..
-- 
ZER0://coder.gfxer.web-designer/
~ Se potete leggere questo, la mia donna e' caduta.
(Letta sul retro di una maglietta di un motociclista)

 cablato l'appartamento del figlio del direttore della wind..
Nella tua via parallela hanno portato la fibra in tutti i palazzi qualche
anno fa (potrei azzardare almeno 4-5), penso quindi che con fastweb non
dovrebbero esserci problemi.


 dovrebbero esserci problemi.
No, infatti.. Anche il palazzo di mio cugino e' cablato con fastweb da una
vita; quello lo so.. e' la rete wind che non c'e'.
-- 
ZER0://coder.gfxer.web-designer/
~ "L'unica persona che mi chiama con un numero che non conosco
e' il mio ragazzo." (Linda)
on air ~ "Atreyu - Right Side of the Bed"

 te
"Questo" vorrebbe sapere cosa cambia tra usare client-side e server-side:
i file riservati non sono linkati allo stesso modo con entrambi i metodi ???

Si tutto
uhm.. sicuro?
A me risulta che Teleport (lo uso da anni) effettui dei GET http,
analizzi il codice restituito alla ricerca di link ed esplori il
percorso relativo, tracciando un albero di pagine/cartelle incontrate
nella navigazione; ergo se una pagina non è linkata lui mica se la va
ad indovinare... =)
[cut]
Ciao!
Davide
--
Prima di postare: 
http://alnitak.ctt.it/%5Erni/smartq.php
Un esperto sempre disponibile: 
http://www.google.it

 ad indovinare... =)
Io non ho detto niente perché non so cosa sia teleport, ma se su iis non
autorizzo il listing della directory e quel software comunque mi sgama
tutti i files sarebbe un bug di dimensioni epiche (quasi paragonabile al
mitico $$DATA)...
Mi permetto quindi di dubitare anch'io.


 [*] Tre, se consideriamo la "imm" di "peace.jpg".
Non posso accederci, anche perche' il 'giochino' del 777, 111, o quel che
e', nel tuo caso, non c' entra niente, in quanto bisognerebbe rendere
eseguibile la root del sito (
www.catarsi.it
) e non le cartelle in se'
per se. Quello, a quanto ne so, dipende esclusivamente dal webserver,
anche perche' non credo che tu possa modificare la cartella '.'
tant' e', che se provo a fare un mirror del tuo sito:
[zed@SwordFishII test]$ wget -m 
www.catarsi.it
--17:31:43--  
http://www.catarsi.it/
           => `
www.catarsi.it/index.html
'
Resolving www.catarsi.it... 62.149.140.12
Connecting to 
www.catarsi.it
[62.149.140.12]:80... connected.
HTTP richiesta inviata, aspetto la risposta... 200 OK
Lunghezza: non specificato [text/html]
    [ <=>                                 ] 470           --.--K/s
Manca l'header last-modified -- date disattivate.
17:31:44 (4.48 MB/s) - `
www.catarsi.it/index.html
' salvato [470]
Carico robots.txt; si ignorino eventuali errori.
--17:31:44--  
http://www.catarsi.it/robots.txt
           => `
www.catarsi.it/robots.txt
'
Connecting to 
www.catarsi.it
[62.149.140.12]:80... connected.
HTTP richiesta inviata, aspetto la risposta... 404 Not Found
17:31:45 ERRORE 404: Not Found.
--17:31:45--  
http://www.catarsi.it/imm/peace.jpg
           => `
www.catarsi.it/imm/peace.jpg
'
Connecting to 
www.catarsi.it
[62.149.140.12]:80... connected.
HTTP richiesta inviata, aspetto la risposta... 200 OK
Lunghezza: 6,125 [image/jpeg]
100%[====================================>] 6,125          4.31K/s
17:31:47 (4.30 KB/s) - `
www.catarsi.it/imm/peace.jpg
' salvato [6125/6125]
FINITO --17:31:47--
Scaricati: 6,595 byte in 2 file
[zed@SwordFishII test]$ ls -R
.:
www.catarsi.it/
./
www.catarsi.it
:
imm/  index.html
./
www.catarsi.it/imm
:
peace.jpg


 i file riservati non sono linkati allo stesso modo con entrambi i metodi ???
Se puoi andare di PHP puoi tranquillamente fregartene che la pagina sia 
likata o meno, ti fai una bella autenticazione lato server (controlli la pwd 
server-side piuttosto che client-side) ed anche se il teleport di turno 
accede alla pagina al peggio leggera' un mex di errore per il mancato login, 
non i contenuti.


 Thanks :)
in index.html (o .php) c' e' il riferimento all' immagine peace.jpg
presente, appunto, in imm. il programma ha semplicemente creato la
directory per metterci dentro l' immagine. (poi, afaik, ha anche cercato
in imm/, ma, non potendo vedere il contenuto della directory, s' e'
fermato)


 non vere.
Non mi sembra che in passato abbia detto così tante ca**ate.
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

 Non mi sembra che in passato abbia detto così tante ca**ate.
Non t'irritare, forza, nessuno ti accusa di niente ;)
L'intenzione dei più - almeno su questo newsgroup - è di arrivare a capo
di problemi, cercare soluzioni, ingegnarsi per risolvere quesiti nostri
e altrui; il tutto, possibilmente, senza entrare in competizione l'un
con l'altro e fregandosene altamente delle brutte o delle belle figure.
Anche perché, chi più chi meno, di cazzate ne spariamo tutti (tanto c'è
pronto Zer0 a rilevarle :-DDD ); ed è proprio questo il bello: scrivere
sciolti, senza temere il fucile puntato del saputello pronto a
contestarti e condannarti per aver scritto un'imprecisione o una "non
verità"; casomai l'imprecisione ti viene fatta amichevolmente notare,
che è un altro paio di maniche rispetto al fucile puntato del saputello.
IMO è un vantaggio per chi scrive e per chi legge.
Ciononostante, di fronte a un caso come quello che ha prevalso nel
thread (per giunta OT, e come vedi nessuno se ne è lamentato), in
seguito a reiterate risposte prive d'un qualsivoglia "forse", "credo"
"ritengo probabile che", un intervento come quello di Riccardo è più che
comprensibile; voglio dire, dal momento in cui non mostri incertezze
sulle (improbabili) caratteristiche di Teleport, i casi sono tre:
1. Ti stai prendendo gioco dell'interlocutore (legittimo sospetto di
   Riccardo)
2. Hai preso un abbaglio (sospetto mio, vedi risposta a Riccardo)
3. Hai notizie interessanti che né Riccardo né il sottoscritto
   conoscono. 
Evitando di prendere sottogamba il punto 3, per quanto mi riguarda ne ho
provate di tutte per far luce sull'argomento, mi manca solo di darvi la
password del sito e farvi fare l'ftp in totale autonomia :-)
Buon proseguimento, alla prossima :)
-- 
mailto: y = i
----------------------------------------
Vivo nel terrore di non essere frainteso 
(Oscar Wilde)

     E.B.
sono appena incappato in un sito con questa tecnica...
C'è un tastierino di 9 cifre numeriche e bisogna inserire un codice
di 4 tale che la moltiplicazione di ognuno da come risultato finale il
numero 40...Avendo già fatto una libreria di calcolo combinatorio,
5 min ho scoperto la password!!!! 

, 
alt...@hotmail.com
 says...

Questa non l'avevo ancora vista :-)
Pubblicheresti la URL please (o mandamela in e-mail se credi)?


 Questa non l'avevo ancora vista :-)
Assomiglia a quegli esperimenti anni '90 dove cercavi di criptare la
password all'interno del file stesso...ricordo un tal Roberto di Bologna
eroe in questi giochetti.
-- 
"Ti sei salvato
 o sei entrato in banca pure tu?"
									    A.V.