NAME GUESSING

Aspetti legali (D.lgs 196/03 e BS 7799)
indietro
avanti

SICUREZZA INFORMATICA SUL WEB
by Nanni Bassetti

NAME GUESSING:

Forse qualcuno si sta chiedendo: "già ma come indovino il nome del database ? so che è un mdb quindi sarà ?????.mdb, ma il problema è "?????" "

Giusta osservazione, infatti il sistema è quello di provare con dei nomi facili sfruttando la pigrizia e la mancanza di fantasia di alcuni programmatori, per esempio:

aziende.mdb, database.mdb, db1.mdb,db2.mdb, dati.mdb, aziendepasta.mdb, aziende_pasta.mdb, ecc. ecc.

 

x

ma c'è anche da indovinare la sottocartella in cui si trova il database, non sempre è nella stessa cartella in cui stanno le pagine web es.:

http://www.pastax.it/database/aziende.mdb oppure http://www.pastax.it/dati/aziende.mdb , ecc.

ma come verificare se esiste o meno la directory contenente il database ?

basterà digitare: http://www.pastax.it/database se il vostro browser visualizzerà un "ERRORE 404 File not found" vuol dire che la cartella non esiste, ma se visualizza l'errore: "Directory listing denied" vuol dire che la cartella esiste ma che non vi permette di vedere la lista dei file contenuti in essa, ma se esiste una cartella database vuol dire che il nostro bersaglio è lì dentro.

A volte capita che degli sprovveduti amministratori di server permettano il directory listening così non si ha nemmeno il problema di indovinare il nome del database.

CONTROMISURA: per questo inconveniente basta mettere i database in cartelle non servite dal web server, impossibilitando così il download.


Ma se il nome del database non lo indoviniamo? Se non è MS Access ?

La risposta a queste domande è nel costruire un programmino che effettua un ciclo for..to e che si colleghi all'indirizzo del sito facendo variare una variabile da x a y per esempio:

for i=1 to 1000

collegati al sito http://www.pastax.it/scheda.asp?id= i

scrivi un file di testo sul mio hard disk che si chiama i.htm (dove i varia tra 1 e 1000)

così facendo avremo 1000 file htm (1.htm,2.htm,ecc.) con ognuno il contenuto di scheda.asp?id=1, scheda.asp?id=2, ecc. ecc.

Questa è già un'operazione più da hacker che si deve costruire uno strumento software per carpire le informazioni.

Ma così abbiamo solo le schede pubbliche, quelle senza le informazioni censurate, infatti quest'ultimo sistema va bene per quando ci sono informazioni utili pubbliche e per non salvare le pagine a mano con "Salva file" e per quando il database non è MS ACCESS ma un SQL Server che non ha file scaricabili.