Newsgroup: it.comp.www.asp
Titolo: Domanda asp e db "rubati"

Salve volevo chiedervi una cosa!
Ho realizzato un sito in asp, con db access protetto da pwd. Il tutto č su
un server "serio" (almeno cosě si pensa).
Oggi mi sono accorto di una cosa...guardando le mie statistiche ho notato
diversi accessi da un sito "sospetto"...sono andato a controllare e
praticamente una parte del mio sito asp č in questo (con grafica diversa ma
stesso codice...lo vedo da come vengono chiamati i link)!!! Quindi si č
collegato al mio database! Ho effettuato una prova...ho inserito un nuovo
record nel mio db questo č magicamente comparso anche nell'altro!
Come č potuto accadere una cosa simile!?!?
Qualcuno sa dirmi come devo fare perchč questo non possa accadere?
Grazie
Alex

Per prima cosa occorre assicurarsi di avere sul server tutte le Service  
Pack e relativi aggiornamenti successivi.
In questo modo eviti che IIS venga "trapanato".
Inoltre nelle impostazioni di IIS è possibile assegnare per ogni file un 
reindirizzamento.
Ti faccio un esempio.
Se il file di DB si chiama archivio.mdb ed è nella root del sito basta 
scrivere nel browser:
http://www.nomedominio.it/archivio.mdb
e il DB arriva diretto nel computer del visitatore.
Poi eliminare eventuali password di accesso al file è relativamente 
semplice.
Per evitare questo occorre andare in IIS e dirgli di reindirizzare il 
browser nel caso venga puntato direttamente il file.
Puoi mandarlo garbatamente in Home Page oppure ad una pagina dedicata in 
cui esprimi tutti i tuoi sentimenti nei suoi riguardi :-)
Come ultima cosa devi proteggerti dal SQL injection.
SQL injection è un modo per fregare il controllo di autenticazione (che 
non riporto per non stuzzicare la fantasia di qualche lamerozzo).
Per proteggerti devi effettuare il replace degli apici eventualmente 
presenti dai campi di input della form di autenticazione:
replace (variabile,"'","''")
Buon Lavoro


Per evitare che gli utenti possano scaricare il file ti basta togliere
l'attributo read nella console di IIS alla cartella del db
--
ITHost (your host company)
Technical Manager
C. Paparelli (MCSE,MCSD,MCDBA)
http://www.ithost.ch

 l'attributo read nella console di IIS alla cartella del db
Si impara sempre qualcosa ..... :-)
Però 6 sicuro che gli script funzionino?
Per permettere la scrittura sul db occorre dargli permesso di modifica 
all utente USR_NOMEMACCHINA.

 ha scritto nel messaggio
news:phantomNOSPAM-492...@news.fu-berlin.de...

Yeap panico, l'attributo read è da togliere nella console di IIS e non nelle
security di NTFS.
In NTFS devi dare per forza tutti gli attributi e cioè Modify, Read &
Execute, List Folder Contents, Read, Write all'utente IUSR_nomemacchina


 all utente USR_NOMEMACCHINA.
Si toglie l'attributo di lettura e non quello di scrittura con "read
permission" ;-)
Ciao!
Davide
from Vicenza

 Qualcuno sa dirmi come devo fare perchč questo non possa accadere?
potrebbe anche trattarsi di semplice grabbing... cioe' effettua delle
richeiste server to server alla tua pagina e le visualizza enlla sua... devi
solo intimargli di non farlo... o denunciarlo!
--
Lino Mari [mod - it.economia.e-commerce]
http://www.ebow.it
 - e-business on web!
http://www.dev2dev.it
 - La rete ha connesso nuove particelle - d2D004
E' triste, ma la parte di azienda con cui i mercati vogliono parlare č
spesso nascosta dietro una cortina di fumo, il cui linguaggio suona
falso - e spesso lo č.

 reindirizzamento.
Qualcuno potrebbe come si fa, in IIS col pulsante destro sull'icona
del sito/directory virtuale sono andato nelle proprietą ma non ho
trovato dove indicare questi assegnamenti.
Grazie, 
--
Robynet

 o denunciarlo!
Secondo me questa funziona ;-)

 ha scritto nel messaggio
news:9a089214.03032...@posting.google.com...

Trovi il tutto sotto la cartella home directory ma invece del redirect ti
basta togliere il visto su read ed hai risolto il problema


 basta togliere il visto su read ed hai risolto il problema
Grazie mille, volevo saperlo solo per imparare una cosa in piů, non
avevo mai notato si potesse fare il redirect anche su singoli file o
sottocartelle oltre che sull'intero sito/virtual directory.
--
Robynet