Vulnerabilità in ASP.NET

Considera che io ho fatto una cosa in una ditta con asp, IIS e pallazze varie. Se ci fosse la possibilità di far girare il tutto su un sistema linux con apache e qualcosa di alternativo, e gratutito non avrei problemi a mostrare quello che ho fatto in giro. Cosa che avrei invece dovendo per forza mostrarlo su IIS.
Per quello chiedevo.

Ah ok

Anche io preferisco altro

scusa hai detto .NET?

Ci terrei a chiarire una cosa...

...Ovviamente le frasi tipo "l'avevo detto io", "usa questo che meglio..." o "usa quell'altro" non le prendo nemmeno in cosiderazione.

Il problema non è dovuto al modulo di autenticazione di ASP.NET, ma nel modulo di gestione delle autorizzazioni (UrlAuthorizationModule, per l'esattezza).
Se il file di configurazione dell'applicazione ha un tag <authorization> generico, il problema non si verifica, perché tutta l'applicazione è protetta con gli stessi criteri.
Nel caso invece l'applicazione presenti sezioni protette e non protette, si ricorre spesso all'utilizzo dei tag <location> nel file di configurazione, e qui si manifesta il problema: una URL del tipo "directory%5Cmiapagina.aspx" non corrisponde a nessuna entry del tag <location> e la richiesta passa.
Quindi il problema è nella lettura delle entries del tag <location>.
Il bug non si verifica se il web server è IIS 5 con URLScan installato, o IIS 6 (che ha URLScan nativo), che blocca tutte le richieste encoded.
URLScan (scaricabile qui) è comunque un componente consigliato in tutte le installazioni IIS 5.0.

Il bug è comunque grave, ma, come si può notare, esistono anche diversi fattori mitiganti, che andrebbero presi in considerazione prima di esprimere sentenze affrettate, e ridurre tutte le discussioni a diatribe PENOSE del tipo "questo" vs "quello" che non giovano sicuramente alla qualità del forum.

Tralasciando l'utilizzo di URLSCAN.EXE che lascia il tempo che trova (e vorrei ben vedere il contrario), è interessante sapere che solo IIS 5 è affetto, peccato che non menzioni quante installazioni di IIS 6 ci sono

giusto per ribattere chi flama contro .net... vorrei chiedere se java è un degno opponente di .net.

io credo che a livello di prestazioni (visto che l'insieme delle classi base di Java fa letteralmente c#g##e) .net non sia confrontabile con java!
Giusto per un confronto semplice, quello che in java è la grande tecnologia (leggi Java HotSpot) in .net è la base dalla versione 0, ed è anche migliorato visto che in .net la compilazione avviene cmq e il codice viene compilato viene riutilizzato per utilizzi futuri, mentre la JVM con HS non fa altro che prevedere codice partiocolarmetne lento, compilarlo, eseguirlo e poi cancellare il pezzo compilato. Direi che già da questo .net parte in vantaggio.

Per adesso Java ha il vantaggio di avere un CLR per ogni piattaforma ma aspettate che mono cresca e vedremo CLR per .net ovunque.

Se poi chi parlava male di .net è un fanatico del c/c++. non posso che dargli ragione, le prestazioni sono eccellenti per i due linguaggi. Ma il ciclo di sviluppo? Sviluppare codice in c/c++ richiede mediamente un periodo grande il doppio. E non sempre avere queste grandi prestazioni è fondamentale, personalmente non scrivo un dbms ogni giorno. Al contrario mi capita sempre più spesso di sviluppare software da ufficio dove i tempi di risposta sono in gran parte funzione della velocità di battitura dell'impiegato al pc. Ora trovatemi un impiegato che riesca ad avvertire delle differenze prestazionali tra un programma scritto in c ed uno eseguito all'interno di un runtime come java e .net.

Spero di aver espresso in maniera corretta (dal punto di vista dei significati e del "fairplay" le mie opinioni!

Beh .Net ha preso a pieni mani quello che è Java e lo ha riproposto e migliorato sotto molti punti di vista... sotto altri invece è indietro...

Oltretutto Java è prevalentemente usato per applicazioni lato server, è questo il suo campo d'utilizzo.

Poi la domanda dovrebbe essere ribaltata...

Bisogna vedere se .Net è un degno avversario di Java visto che è arrivato dopo è lui il ragazzotto di belle speranze, ma ancora tutte da dimostrare

Java ormai si può considerare maturo, anche se sempre in fermento e con una miriade di progetti, closed ed open source

ma il php ha le stesse potenzialità dell'asp?

Questa me la devi spiegare. Voglio dire: rilasciano tools per migliorare la sicurezza, ma purtroppo lasciano il tempo che trovano?
Installazioni IIS 6.0? Mah, già Aruba fornisce hosting Windows su Windows Server 2003...
Inoltre, con i tool che "lasciano il tempo che trovano" come URLScan, puoi proteggere anche un IIS 5.0.
Il codice proposto da Microsoft da aggiungere nel global.asax,poi, costa BEN UNA ricompilazione dell'applicazione...

Non vedo dove: finora rispetto a Java noto soltanto dei vantaggi.

Al contrario: non dovrebbe essere solamente lato client?

E' ancora giovane: diamogli tempo...

Indubbiamente...