Il carissimo amico David mi ha appena segnalato una chicca fantastica. Lui sa bene che io faccio collezione di chicche come questa.
Parte tutto dalla semplice osservazione di uno dei tanti URL del sito:
http://www.lanuovastagione.it/gw/producer/index.aspx?t=/documenti/indice.htm&tipodoc=94,97,99
Il documento viene passato tramite querystring alla pagina che ne mostra il contenuto .... pazzesco ...
E quindi se scrivo:
http://www.lanuovastagione.it/gw/producer/index.aspx?t=/web.config
vedo cosa? come? siamo sicuri? SIIII, l'intero web.config !!!!!!
Pensavate che questo fosse il peggio? Macché, all'ignoranza non c'è mai fine ...
Errori compiuti da chi ha sviluppato il sito (solo quelli grossi eh, ... altrimenti ci sto fino a Natale):
- Il web.config in asp.net non è scaricabile. Questi signori hanno avuto la genialità di inventare un sistema che bypassa il meccanismo built-in di Asp.net.
- Hanno usato la SQL authentication invece della Integrated (Windows). Quante volte l'ho detto in sessione che NON va usata...
- E se proprio si vuole usare la SQL Authentication è necessario ALMENO usare aspnet_setreg (http://support.microsoft.com/kb/329290/en-us)
- Usano impersonation (e già su questo parlo si solito almeno mezzora)
- Fanno impersonation di Administrator!!!! Pazzesco ... È necessario creare un utente ad-hoc con i privilegi MINIMI, non massimi!!!!!!!
- Hanno scritto le credenziali di impersonation in chiaro nel web.config (vedi punto 3)
- [Aggiunto] E poi usare SA è da puro suicidio. Non è SQL Server ad essere vulnerabile se lasci le chiavi sulla porta di casa, e pure aperta!!!
Concludendo
Mi sono limitato, e che ci crediate o no, non ho visitato altro che quelle due pagine di cui ho riportato il link. Perché? Perché sono un white hat e quello che mi basta è la proof of concept.
Alla WPC 2005 ho mostrato come si possa sfondare una rete con 100 volte meno informazioni di queste chicche.
L'esempio portato è talmente clamoroso da non poter neppure essere preso come esempio realistico alla WPC 2007 dove presenterò 8 sessioni sulla sicurezza applicativa.
Purtroppo questo dimostra quanto la sicurezza non sia affatto sentita da una larga parte di maggioranza degli sviluppatori.
La colpa sta nelle scuole, nell'eccesso di presunzione, nella poca umiltà, nell'approssimazione e non continuo perché finirei per scrivere slogan politici che detesto più di ogni altra cosa.
Grazie David, queste si che sono chicche!!!