Vulnerabilità in ASP.NET

[cionci]

Originariamente inviato da Duncan
Ma perchè? E' Mono? E' .Net? Che è?

Entrambi...Mono è troppo giovane per una macchina di produzione e .Net che non mi paice, come filosofia

[DjLode]

Originariamente inviato da cionci
Ma davvero c'è chi usa questa accoppiata ? Ma ci si vuole proprio fare del male...

Considera che io ho fatto una cosa in una ditta con asp, IIS e pallazze varie. Se ci fosse la possibilità di far girare il tutto su un sistema linux con apache e qualcosa di alternativo, e gratutito non avrei problemi a mostrare quello che ho fatto in giro. Cosa che avrei invece dovendo per forza mostrarlo su IIS.
Per quello chiedevo.

[Duncan]

Originariamente inviato da cionci
Entrambi...Mono è troppo giovane per una macchina di produzione e .Net che non mi paice, come filosofia

Ah ok

Anche io preferisco altro

[DioBrando]

Originariamente inviato da cionci
Entrambi...Mono è troppo giovane per una macchina di produzione e .Net che non mi paice, come filosofia

scusa hai detto .NET?

[Einstein]

...Ovviamente le frasi tipo "l'avevo detto io", "usa questo che meglio..." o "usa quell'altro" non le prendo nemmeno in cosiderazione.

Il problema non è dovuto al modulo di autenticazione di ASP.NET, ma nel modulo di gestione delle autorizzazioni (UrlAuthorizationModule, per l'esattezza).
Se il file di configurazione dell'applicazione ha un tag <authorization> generico, il problema non si verifica, perché tutta l'applicazione è protetta con gli stessi criteri.
Nel caso invece l'applicazione presenti sezioni protette e non protette, si ricorre spesso all'utilizzo dei tag <location> nel file di configurazione, e qui si manifesta il problema: una URL del tipo "directory%5Cmiapagina.aspx" non corrisponde a nessuna entry del tag <location> e la richiesta passa.
Quindi il problema è nella lettura delle entries del tag <location>.
Il bug non si verifica se il web server è IIS 5 con URLScan installato, o IIS 6 (che ha URLScan nativo), che blocca tutte le richieste encoded.
URLScan (scaricabile qui) è comunque un componente consigliato in tutte le installazioni IIS 5.0.

Il bug è comunque grave, ma, come si può notare, esistono anche diversi fattori mitiganti, che andrebbero presi in considerazione prima di esprimere sentenze affrettate, e ridurre tutte le discussioni a diatribe PENOSE del tipo "questo" vs "quello" che non giovano sicuramente alla qualità del forum.

[Hal2001]

Tralasciando l'utilizzo di URLSCAN.EXE che lascia il tempo che trova (e vorrei ben vedere il contrario), è interessante sapere che solo IIS 5 è affetto, peccato che non menzioni quante installazioni di IIS 6 ci sono

[Kralizek]

giusto per ribattere chi flama contro .net... vorrei chiedere se java è un degno opponente di .net.

io credo che a livello di prestazioni (visto che l'insieme delle classi base di Java fa letteralmente c#g##e) .net non sia confrontabile con java!
Giusto per un confronto semplice, quello che in java è la grande tecnologia (leggi Java HotSpot) in .net è la base dalla versione 0, ed è anche migliorato visto che in .net la compilazione avviene cmq e il codice viene compilato viene riutilizzato per utilizzi futuri, mentre la JVM con HS non fa altro che prevedere codice partiocolarmetne lento, compilarlo, eseguirlo e poi cancellare il pezzo compilato. Direi che già da questo .net parte in vantaggio.

Per adesso Java ha il vantaggio di avere un CLR per ogni piattaforma ma aspettate che mono cresca e vedremo CLR per .net ovunque.

Se poi chi parlava male di .net è un fanatico del c/c++. non posso che dargli ragione, le prestazioni sono eccellenti per i due linguaggi. Ma il ciclo di sviluppo? Sviluppare codice in c/c++ richiede mediamente un periodo grande il doppio. E non sempre avere queste grandi prestazioni è fondamentale, personalmente non scrivo un dbms ogni giorno. Al contrario mi capita sempre più spesso di sviluppare software da ufficio dove i tempi di risposta sono in gran parte funzione della velocità di battitura dell'impiegato al pc. Ora trovatemi un impiegato che riesca ad avvertire delle differenze prestazionali tra un programma scritto in c ed uno eseguito all'interno di un runtime come java e .net.

Spero di aver espresso in maniera corretta (dal punto di vista dei significati e del "fairplay") le mie opinioni!

[Duncan]

Originariamente inviato da Kralizek
giusto per ribattere chi flama contro .net... vorrei chiedere se java è un degno opponente di .net.

io credo che a livello di prestazioni (visto che l'insieme delle classi base di Java fa letteralmente c#g##e) .net non sia confrontabile con java!
Giusto per un confronto semplice, quello che in java è la grande tecnologia (leggi Java HotSpot) in .net è la base dalla versione 0, ed è anche migliorato visto che in .net la compilazione avviene cmq e il codice viene compilato viene riutilizzato per utilizzi futuri, mentre la JVM con HS non fa altro che prevedere codice partiocolarmetne lento, compilarlo, eseguirlo e poi cancellare il pezzo compilato. Direi che già da questo .net parte in vantaggio.

Per adesso Java ha il vantaggio di avere un CLR per ogni piattaforma ma aspettate che mono cresca e vedremo CLR per .net ovunque.

Se poi chi parlava male di .net è un fanatico del c/c++. non posso che dargli ragione, le prestazioni sono eccellenti per i due linguaggi. Ma il ciclo di sviluppo? Sviluppare codice in c/c++ richiede mediamente un periodo grande il doppio. E non sempre avere queste grandi prestazioni è fondamentale, personalmente non scrivo un dbms ogni giorno. Al contrario mi capita sempre più spesso di sviluppare software da ufficio dove i tempi di risposta sono in gran parte funzione della velocità di battitura dell'impiegato al pc. Ora trovatemi un impiegato che riesca ad avvertire delle differenze prestazionali tra un programma scritto in c ed uno eseguito all'interno di un runtime come java e .net.

Spero di aver espresso in maniera corretta (dal punto di vista dei significati e del "fairplay") le mie opinioni!

Beh .Net ha preso a pieni mani quello che è Java e lo ha riproposto e migliorato sotto molti punti di vista... sotto altri invece è indietro...

Oltretutto Java è prevalentemente usato per applicazioni lato server, è questo il suo campo d'utilizzo.

Poi la domanda dovrebbe essere ribaltata...

Bisogna vedere se .Net è un degno avversario di Java visto che è arrivato dopo è lui il ragazzotto di belle speranze, ma ancora tutte da dimostrare

Java ormai si può considerare maturo, anche se sempre in fermento e con una miriade di progetti, closed ed open source

[LuPellox85]

ma il php ha le stesse potenzialità dell'asp?

[Einstein]

Originariamente inviato da Hal2001
Tralasciando l'utilizzo di URLSCAN.EXE che lascia il tempo che trova

Questa me la devi spiegare. Voglio dire: rilasciano tools per migliorare la sicurezza, ma purtroppo lasciano il tempo che trovano?
Installazioni IIS 6.0? Mah, già Aruba fornisce hosting Windows su Windows Server 2003...
Inoltre, con i tool che "lasciano il tempo che trovano" come URLScan, puoi proteggere anche un IIS 5.0.
Il codice proposto da Microsoft da aggiungere nel global.asax,poi, costa BEN UNA ricompilazione dell'applicazione...

[cdimauro]

Originariamente inviato da Duncan
Beh .Net ha preso a pieni mani quello che è Java e lo ha riproposto e migliorato sotto molti punti di vista... sotto altri invece è indietro...

Non vedo dove: finora rispetto a Java noto soltanto dei vantaggi.

Oltretutto Java è prevalentemente usato per applicazioni lato server, è questo il suo campo d'utilizzo.

Al contrario: non dovrebbe essere solamente lato client?

Poi la domanda dovrebbe essere ribaltata...

Bisogna vedere se .Net è un degno avversario di Java visto che è arrivato dopo è lui il ragazzotto di belle speranze, ma ancora tutte da dimostrare

E' ancora giovane: diamogli tempo...

Java ormai si può considerare maturo, anche se sempre in fermento e con una miriade di progetti, closed ed open source

Indubbiamente...

[Duncan]

Originariamente inviato da cdimauro
Al contrario: non dovrebbe essere solamente lato client?

E perchè?

[DjLode]

Originariamente inviato da LuPellox85
ma il php ha le stesse potenzialità dell'asp?

Forse php può fare più cose. Ma io finora ho usato asp normale, non asp.net e non so se ci siano differenze o meno. Alcune cose con asp non puoi farle e ti tocca farle con javascript.

[Duncan]

Originariamente inviato da DjLode
Forse php può fare più cose. Ma io finora ho usato asp normale, non asp.net e non so se ci siano differenze o meno. Alcune cose con asp non puoi farle e ti tocca farle con javascript.

Cosa intendi?

Se per Javascript intendi controllo di form prima del submit o cose simili hai le idee un po' confuse forse...

PHPe ASP sono linguaggi per la generazione dinamica di pagine lato server, mentre Javascript è lato client ciè una volta che la pagina è stata inviata al browser ed eseguito sulla macchina dell'utente che sta visualizzando la medesima...

Spero di essere stato chiaro

[DjLode]

Cosa che già sapevo, quindi?

[Duncan]

Originariamente inviato da DjLode
Cosa che già sapevo, quindi?

Quello che fai ora con Javascript in ASP ti toccherebbe farlo anche con PHP

[Kralizek]

al contrario con asp .net (non mi hanno pagato lo giuro!) con l'introduzione dell'astrazione dei web controls la pagina che scrivi in asp.net è molto diversa da quella che mandi al browser...

ad esempio tu scrivi

[asp:calendar id="ciccio" runat="server"][/asp:calendar]

(per motivi a me ignoti le news della home non facevano vedere il codice, sostituire le parentesi quadre con le normali parentesi angolate dell'html, sry)

e l'asp.net ti costruisce una tabella piena di numeri cliccabili per selezionare una data (quello che in visual basic era il controllo MonthView e che su java non sono mai riuscito a trovare :-()

altro esempio sono i controlli Validator che permettono di controllare il contenuto dei campi di testo (e non solo) prima di mandare il tutto al server (se questo non è javascript) permettendo di controllare range di valori, valori richiesti e finanche le espressioni regolari senza scrivere una riga di codice.

altro esempio di una cosa che in asp.net puoi fare ed in asp no sembra una sciocchezza, ma per l'esame reti di calcolatori dovevamo fare un server che accettava connessioni multithread per l'autenticazione con tanto di controllo anti brute-force e relativo client di accesso.
dopo una buona progettazione del server che lavorava molto similmente al protocollo pop3 (infatti si poteva accedere anche da telnet) io ho scritto un'applicazione asp.net che faceva da front-end per il login al server che avevamo scritto facendo quindi un regolare uso dei namespace System.Net e System.Net.Sockets. Tutto questo per dirvi che con asp.ent puoi far fare alla tua applicazione Web Form tutto quello che potresti fare alla tua applicazione Windows Form visto che il framework è quello.

[Duncan]

Originariamente inviato da Kralizek
al contrario con asp .net (non mi hanno pagato lo giuro!) con l'introduzione dell'astrazione dei web controls la pagina che scrivi in asp.net è molto diversa da quella che mandi al browser...

ad esempio tu scrivi

[asp:calendar id="ciccio" runat="server"][/asp:calendar]

(per motivi a me ignoti le news della home non facevano vedere il codice, sostituire le parentesi quadre con le normali parentesi angolate dell'html, sry)

e l'asp.net ti costruisce una tabella piena di numeri cliccabili per selezionare una data (quello che in visual basic era il controllo MonthView e che su java non sono mai riuscito a trovare :-()

altro esempio sono i controlli Validator che permettono di controllare il contenuto dei campi di testo (e non solo) prima di mandare il tutto al server (se questo non è javascript) permettendo di controllare range di valori, valori richiesti e finanche le espressioni regolari senza scrivere una riga di codice.

altro esempio di una cosa che in asp.net puoi fare ed in asp no sembra una sciocchezza, ma per l'esame reti di calcolatori dovevamo fare un server che accettava connessioni multithread per l'autenticazione con tanto di controllo anti brute-force e relativo client di accesso.
dopo una buona progettazione del server che lavorava molto similmente al protocollo pop3 (infatti si poteva accedere anche da telnet) io ho scritto un'applicazione asp.net che faceva da front-end per il login al server che avevamo scritto facendo quindi un regolare uso dei namespace System.Net e System.Net.Sockets. Tutto questo per dirvi che con asp.ent puoi far fare alla tua applicazione Web Form tutto quello che potresti fare alla tua applicazione Windows Form visto che il framework è quello.

Infatti in asp.net per i validetor viene generato codice Javascript che si occupa di fare i controlli prima del submit, per il calendar è la stessa cosa.

Cose simili ci sono anche in Java, basta guardare progetti come Structs o Cocoon

[cdimauro]

Originariamente inviato da Duncan
E perchè?

Il codice Java viene eseguito dal browser del client, non dal server. Ecco perché ho scritto lato client. Al contrario, il codice PHP & affini viene eseguito su server e poi ritornato al client, che ne esegue quindi il risultato; quindi è lato server.

O forse tu intendevi dire qualcosa di diverso?

[Duncan]

Originariamente inviato da cdimauro
Il codice Java viene eseguito dal browser del client, non dal server. Ecco perché ho scritto lato client. Al contrario, il codice PHP & affini viene eseguito su server e poi ritornato al client, che ne esegue quindi il risultato; quindi è lato server.

O forse tu intendevi dire qualcosa di diverso?

Veramente Java (intendo tomcat, Jboss ed altri) è completamente eseguito lato server (Servlet)

Quelle di cui parli te sono le applet che quando uscirono non ebbero molto successo, ed è raro trovare siti che le usino...

Ma forse stavamo parlando di due cose diverse e non avevo compreso