Ho un collega maldestro
Questa procedura e' usata nella intranet aziendale (30 pc, connessi in peer-to-peer, workgroup, macchine con win2000/xp, solo IE6/7/8).
Ho letto che e' sconsigliato effetture la procedura di login completamente client-side.
Per capirsi, una pagina HTML con un form, in cui ci sono due textbox (login, pwd), e un pulsante (submit). Il pulsante submit ha un evento onClick che chiama una funzione javascript "esegui_login()".
Tale funzione e' specificata in un file esterno, attraverso attributo src nel tag HEAD.
Non vi e' interazione con alcun server/db, quindi nessun codice lato server.
Come fare a bucare questo sistema?
Con firefox, mi basta scrivere l'URL del file esterno javascript (URL pagina login + path nel src), e firefox visualizza direttamente il codice sorgente javascript.
A questo punto ho scoperto le password perché il file contiene le password in chiaro:
Con IE8 invece, tenta di scaricare il file js, non ottiene il permesso.codice:if (form.id.value=="qwerty") // USERD ID { if (form.pass.value=="000123") // PASSWORD { location="utility/price/index.html" } ecc...
Quindi paradossalmente il sistema sembra siscuro perché e' installato solo IE!
Come scoprire le password anche con IE?
grazie