Pagina 1 di 2 1 2 ultimoultimo
Visualizzazione dei risultati da 1 a 10 su 12
  1. #1
    Utente di HTML.it L'avatar di engi62
    Registrato dal
    Oct 2006
    Messaggi
    71

    ingresso senza password

    Salve!

    è possibile entrare in un sito (che richiede username e password) senza la password? Se la risposta è 'SI', mi dite come? (così lo impedisco!!!)

    Lo script che prende e verifica i dati è contenuto in una ASP ed è scritto in VBS ... io pensavo che controllare i caratteri immessi (permettendo solo lettere e numeri) ed eliminare gli apici (con le solite funzioni che si trovano in giro) bastasse a rendere sicuro l'accesso ...

    ma evidentemente sono un pivello!
    qualcuno è entrato inserendo solo lo username ... (forse nell'altro campo ha inserito un codice speciale?)

    Chi mi aiuta? (magari se avete anche da suggerirmi un testo per imparare a proteggere le ASP ...)

    engi

  2. #2
    Se ci fai vedere un pezzetto di codice, magari possiamo vedere se sbagli qualcosa. E poi come fai a sapere che "qualcuno è entrato inserendo solo lo username"?

  3. #3
    Utente di HTML.it L'avatar di engi62
    Registrato dal
    Oct 2006
    Messaggi
    71
    sì, dunque ... io ho una serie di 'traccianti' ... uno di questi prevede che siano registrati, per ogni ingresso, ora, IP, username e password

    sono due giorni che un ... ... entra, cambia i nomi degli utenti e se ne va

    capirai la mia gioia (bhe ... forse mi sta aiutando a tappare i buchi e quindi dovrei essergli grata ... ma per il momento vorrei solo fargli delle cosine tipo torture medioevali!) ...

    ho guardato le tracce: entra con il mio username (mi conosce?) ma senza password (o meglio riesce a lasciare il campo password vuoto ...)

    le due funzioni che uso (sui valori dei campi che voglio controllare) sono queste che ti riporto:

    codice:
    'per togliere gli apici
    
    function fixquotes(strtxt)	
    	fixquotes=replace(strtxt,"'","''")	
    end function
    
    
    'per evitare caratteri indesiderati
    
    function check_pwd (permessi, pwd)
    
    	pwd = pwd
    	check_pwd = true
    	for i = 1 to len(pwd)
    		if instr(permessi, mid(pwd,i,1)) = 0 then check_pwd = false
    	next
    
    end function
    
    
    'per verificare indirizzi email validi
    
    function isEmail (byval tempString) 
       
    atCount=0    
    perCount=0    
    isemail=false    
    lenCount=len(tempString)    
    for i=1 to lenCount        
    temp=mid(tempString, i, 1)        
    if temp="@" then            
    atCount=atCount + 1        
    end if         
    if temp="." then            
    perCount=perCount + 1        
    end if    
    next    
    if atcount=1 and percount >0 then        
    isemail=true    
    end if 
    
    end function

    Che dici?

    Ho sporto denuncia alla Polizia Postale (perché il codice che stanno violando non è poi proprio una scemenza ... anche se la sottoscritta ha ancora qualche bug! ) ma lo stesso, aspettando che lo trovino, vorrei rovinare la festa a questo .... ehm ... buontempone!

    engi

  4. #4
    Posta l'indirizzo del sito, che si prova a vedere come entra il .

  5. #5
    Utente di HTML.it L'avatar di engi62
    Registrato dal
    Oct 2006
    Messaggi
    71


    ok! (ma per tutelarmi ho cancellato parte del contenuto ... quello interessante ... comunque la home e un po' di altro standard funzionano ancora ... giusto per fare le prove di sicurezza)

    www.e-gnosis-learning.eu

    engi


    PS: chiaramente NON l'ho cancellato ora a causa tua ..... ma per il ......

  6. #6
    Da quello che ho potuto vedere, probabilmente non hai il database in una cartella protetta dal download.
    Il tuo mi sembra un problema di sql injection che puoi risolvere facilmente con un replace.
    Vedi:
    questo o questo
    Se è come penso, metti il database nella cartella apposita per i database (quella dalla quale non è consentito il dovnload).

  7. #7
    Utente di HTML.it L'avatar di engi62
    Registrato dal
    Oct 2006
    Messaggi
    71
    uhmmmm ... il mio provider mi pare che abbia detto che la cartella è protetta ... comunque lo richiedo di nuovo

    leggerò quello che mi hai indicato e poi ti faccio sapere

    engi

  8. #8
    La cartella è a posto, guarda che ti ho mandato un pvt, si tratta proprio di sql injection, io sono entrato con una facilità estrema.

  9. #9
    Utente di HTML.it L'avatar di engi62
    Registrato dal
    Oct 2006
    Messaggi
    71
    allora ... ho letto quello che mi hai detto ...

    prima ho provato a scaricare un database ....... maledizione!!!!! lo ha scaricato!!

    la cartella NON è protetta! (ho subito fatto le mie proteste al provider .... può proteggerla? gli ho chiesto di farlo ...)

    per la sql iniection ... non l'ho provata ancora ... cosa mi hai mandato? sul sito? vado a vedere ... chiaramente devo vedere da quale form ... o meglio, siccome le avevo fatte tutte uguali, dovrò aggiungere qualcos'altro ...

    ti faccio sapere a breve

    intanto ... che dire?

    GRAZIE!

  10. #10
    Utente di HTML.it L'avatar di engi62
    Registrato dal
    Oct 2006
    Messaggi
    71
    E' chiaro! ... adesso è tutto chiaro ...... ... ora vado a cena e domani comincio a tappare i buchi!!!

    Il 90% di quello che so lo devo a questa comunita' ....... mi sa che non basta più neanche la parola 'grazie' ........

    engi

Permessi di invio

  • Non puoi inserire discussioni
  • Non puoi inserire repliche
  • Non puoi inserire allegati
  • Non puoi modificare i tuoi messaggi
  •  
Powered by vBulletin® Version 4.2.1
Copyright © 2025 vBulletin Solutions, Inc. All rights reserved.