[hack] web server

[Pietro Saccone]

Purtroppo devo dirti che hai sbagliato qualcosina.....che in realtà è 
molto grave!
Ma non è colpa tua :-) sei alle prime armi
tu non hai fatto altro che fare una pagina di accesso che ti reindirizza 
ad una pagina dove poi vai a puntare uno script in php.....
Io non so come funzioni lo script di autenticazione che hai fatto, ma 
sicuramente lavora con le sessioni....ma nello script che ti elenca i 
file non è presente sicuramente nessun richiamo al sistema di 
autenticazione (cioè la verifica che l'utente sia veramente loggato) e 
quindi chiunque conoscendo il percorso del link può leggere tutto anche 
senza loggarsi....
es: se senza fare il login punti a 
http://79.32.123.248/archivio/ab12cd/zls.php guarda che succede....
Altro grave errore è che non hai protetto le directory dal list interno 
di apache....mi spiego:
se punti a http://79.32.123.248/archivio/ab12cd/ o 
http://79.32.123.248/archivio/ hai il list di tutto il contenuto.... 
(questa opzione in apache si chiama Indexes)
Quindi anche ammesso che tu abbia fatto un buon sistema di 
autenticazione, chiunque può comunque vedere i file presenti, e nel caso 
di file pdf, immgini o altro, può scaricarli e visionarli.....
Ovviamente sei alle prime armi e queste cose devi apprenderle come 
starai facendo adesso.....
Adesso sono a lavoro e non posso spiegarti tanto, di pomeriggio o se 
trovo 10 minuti ti spiego un pò di cose e come rendere sicure quelle 
cartelle....
In ogni caso complimenti per aver messo su tutto questo ;-)

ciao


m.banda@alice.it ha scritto:
> Dopo un po' di prove sono arrivato a questo punto:
>
> installare apache2
> modificare la pagina di benvenuto
> fare una prova di accesso ad un'area riservata
> far listare il contenuto dell'area riservata da uno script .php
>  (non fatto da me tengo a precisare ho solo collegato lavori già 
> pronti all'uso)
>
> l'indirizzo è: 79.32.123.248
>
> mi chiedo però quanto questo sistema di accere ad un' area riservata 
> sia efficace
> nel senso di sicurezza e riservatezza dei dati contenuti nelle 
> cartelle che il .php lista?????
>
> ciao
> mb
>
> ------------------------------------------------------------------------
>
> _______________________________________________
> hack mailing list
> hack@firenze.linux.it
> https://lists.firenze.linux.it/mailman/listinfo/hack
>