{"id":54,"date":"2003-12-28T23:58:56","date_gmt":"2003-12-28T21:58:56","guid":{"rendered":"http:\/\/gnu.inter.it\/blogs\/fabu\/?p=54"},"modified":"2003-12-28T23:58:56","modified_gmt":"2003-12-28T21:58:56","slug":"sito-thai-problemi-di-security","status":"publish","type":"post","link":"https:\/\/fabioinvernizzi.com\/blog\/2003\/12\/28\/sito-thai-problemi-di-security\/","title":{"rendered":"Sito Thai: problemi di security"},"content":{"rendered":"<p>Ho fatto un po&#8217; di *test* sul sito \/th&#8230; chi ha scritto le pagine php proprio non aveva per la testa la sicurezza.<br \/>\nHo perso 5 minuti per cercare un bug di &#8220;Cross Site Scripting&#8221;. Dopo averlo trovato mi \u00e8 caduto l&#8217;occhio su un problema ancor pi\u00f9 grave che in prima battuta neanche avevo ipotizzato: fanno include di file il cui nome \u00e8 passato con una GET&#8230;<br \/>\nMeno male che la macchina non \u00e8 nostra :-\/<\/p>\n<p>Cmq mi sono divertito a leggere un po&#8217; di file:<br \/>\n\/etc\/passwd<br \/>\n\/etc\/httpd\/*<br \/>\n\/proc\/*<br \/>\nIl sito gira su due macchine bilanciate in round robin che montano via nfs da una terza macchina la DocumentRoot di apache.<br \/>\nLe due macchine hanno stesso hw ma sono configurate diversamente: kernel diversi, partizionamento diverso, etc. etc.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Ho fatto un po&#8217; di *test* sul sito \/th&#8230; chi ha scritto le pagine php proprio non aveva per la testa la sicurezza. Ho perso 5 minuti per cercare un bug di &#8220;Cross Site Scripting&#8221;. Dopo averlo trovato mi \u00e8 caduto l&#8217;occhio su un problema ancor pi\u00f9 grave che in prima battuta neanche avevo ipotizzato: &hellip; <a href=\"https:\/\/fabioinvernizzi.com\/blog\/2003\/12\/28\/sito-thai-problemi-di-security\/\" class=\"more-link\">Continue reading <span class=\"screen-reader-text\">Sito Thai: problemi di security<\/span> <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"ngg_post_thumbnail":0,"footnotes":""},"categories":[2],"tags":[3],"class_list":["post-54","post","type-post","status-publish","format-standard","hentry","category-me","tag-hacking"],"_links":{"self":[{"href":"https:\/\/fabioinvernizzi.com\/blog\/wp-json\/wp\/v2\/posts\/54"}],"collection":[{"href":"https:\/\/fabioinvernizzi.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fabioinvernizzi.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fabioinvernizzi.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/fabioinvernizzi.com\/blog\/wp-json\/wp\/v2\/comments?post=54"}],"version-history":[{"count":0,"href":"https:\/\/fabioinvernizzi.com\/blog\/wp-json\/wp\/v2\/posts\/54\/revisions"}],"wp:attachment":[{"href":"https:\/\/fabioinvernizzi.com\/blog\/wp-json\/wp\/v2\/media?parent=54"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fabioinvernizzi.com\/blog\/wp-json\/wp\/v2\/categories?post=54"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fabioinvernizzi.com\/blog\/wp-json\/wp\/v2\/tags?post=54"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}