31. maj 2001 - 16:07Der er
244 kommentarer og 1 løsning
Web-Sale.dk
Hvad har i erfaringer af ovenstående webudbyder?? Jeg kan i hvert fald sige at jeg idag havde en meget kedelig oplevelse som jeg gerne vil dele med jer.
Web-Sale, mener at jeg har rodet med filer som jeg ikke måtte, dette drejer sig om fuldt lovlige, og gratis filer, man kan hente fra : www.aspadmin.dk
At sikkerheden på deres server ikke er så god, ville jeg fortælle dem, men de mente at min hensigt var en anden.
Men hvorfor ville jeg så fortælle dem det, hvis hensigten var en anden ?
Og hvorfor kigger de ikke om jeg har lavet noget jeg ikke måtte ?
Nok ting vi aldrig for svar på, men en ting er sikker, at der er blevet påbud en sletning af mine sites.
Otis, ja det ville jeg også mene men syntes næsten heller ikke dette (en advarsel) er ok, det er for meget, ville jeg andet havde jeg jo ik skrevet til dem omkring dette.
ASPAdmin er blot et system som bruger filesystemobject til at administrere filer på serveren. Intet ulovligt i det.
Web-sale.dk er ikke det eneste firma som ikke kan finde ud af at sætte rettigheder op på deres servere.
Det er helt klart web-sale.dk der har et problem, men det er jo hvad der sker når alle og enhver med en adsl linie forsøger at drive webhotel udlejning.
Hvis jeg var dig, var jeg flyttet for længst, hvem gider at have et webhotel hvor sikkerheden er i bund ?
Ved webhoteller med egen CGI/ASP-adgang vil der løbende blive foretaget en vurdering af scripts/programmers funktion, for at vurdere om disse eventuelt kan belaste serveren eller forårsage nedbrud. Hvis dette er tilfældet vil disse scripts/programmer blive fjernet i samråd med kunden.
Dette stod i deres betingelser angående script. Således kan jeg ikke i det, finde nogen eks, på man ikke må ligge et script, op. Hvor man kan se sin filer + mere.
Deruder over var det nok mere på sin plads. at web-sale.dk, fik en højre sikkerhed, dette vil tage omkring tja 2 min ekstra for hver webhotel de satte op.
Således kan kunderne ikke se hinandens kunder.
Du bruger deres service, som du har givet dig adgang, til. Og således kan jeg ikke se hvordan du skulle havde midsbrugt deres service.
nej det er jo også det jeg siger, altså er det web-sale.dk der er på den forkedte side.
Så skulle de skrive det i deres betingelse, eller redegøre overfor kunden, at dette ikke er lovligt, på deres server. Men at slette hans domæner er forkedt.
fastpoint -> Jo, de kan nok skade hvis man vil (hvis det er som jeg tror) kan man gå ind og uploade en fil der kan liste alle filer/mapper via filesystemobject, på den måde kan du så få adgang til alt på computeren hvis IKKE sikkerheden er sat ordentligt op.
hvis de ikke har gjort det er det jo deres egen skyld
Jeg ved som Palle fra websale selv har sagt at man ikke må rode i andres ting som ikke er offenlig, men hvor kunne jeg vide fra hvad den fil gjorde ? ;-)
Meningen var at se hvordan sikkerheden var, og filerne er offcouse slettet, og så oplyste jeg dem om det, at de således var klar over problemet kunne jeg ik vide, men syntes heller ingen ret de har til at slette mig.
Hallo nu skal ik nedgøre Web-sale fordi det er sgu et fint sted at få hosted domæner. Men det der er sket her, er vidst hvad man kalder em stor fejl det kunne i teroien ske for enhver hvis de ikke lige have opdaget netop DET hul, men som sagt Web-Sale har vidst bare være de \"heldige\"
Nu syntes jeg det er det forkerte sted, at snakke om denne sag.
Dog ved jeg at no_doubt havde været ude og pille, for han listede et duk. som lå et sted på serveren for mig.
Dette var et TYDELIGT tegn på at han havde været i andre mapper end hans egen +han havde jo hentet det dok. og læst det, for ellers kunne det jo ikke blive skrevet i den mail fra ham til mig.
Dette er ikke lovligt.. og derfor valgte jeg at går så langt som at lukke hans konto.
Selvfølgeligt hvis vi siger at no doubt har været inde og slette filer, således at de andre webhotel kunder, ikke kan se deres hjemmeside, eller de bliver viderført, til en anden adresse, eller sådan noget.
Så er web-sale.dk i sin fulde ret til at slette sitet. For så er det jo midsbrug.
For hvis web-sale.dk, siger at sådane script må man ikke havde, jamen, hvor gå grænsen så. Vil det sige, at jeg eks heller ikke på min egen side, liste nogen billede i et biliotek???
Sådan skulle det nok være løst: Web-sale.dk skulle giver besked overfor kunden, at script, som kan vises andet end sine egne filer, ikke må forefindes på web-sale.dk server.
bacardil>> hvorfor kigger du ikke i jeres log filer?? Så kunne du jo se hvad han egentlig havde lavet!! Eller det er måske svært når det er IUSR accounten der er blevet brugt til at kigge sig omkring... At have en webserver som jeres stående på nettet burde ikke være lovligt... ALLE kan jo i teorien (og i praksis) slette andres filer uden at det vil kunne ses ud fra logfilerne hvem det er :(
Ja hvis hack er at åbne en fil i sin browser som man måske ikke vidste hvad var, ja Dalbjerg så kan vi kalde det hack, en person som kun oplyser om et problem uden at gøre noget vil jeg vælge at kalde venlig og takke ham for oplysningen :-)
no_doubt -> Næste gang du vil vise at der forefindes en \"bug\", så sørg for at få tilladelse til at vandre frit omkring før du gør det... - Alt andet *kan* virke lidt suspekt. Derfor har jeg forståelse for at bacardil har valgt at slette dig.
no_doubt> Som jeg skrev før, så er der mange måder at vise det på.
Jeg fik et link af tommyf, som syntes jeg skulle kigge på det, det gjore jeg.. Men han kunne vise/bevise det uden at snuse rundt.
Det fik os naturligvis til at tage hånd om sagen (vi kunne jo lukke alt asp), men vi valgte at køre videre til i starten af næste uge, hvor vi så opdatere til en win2k server med lukning af disse huller.
Hvis man kan se andres filer på den måde ville jeg bare ønske, at jabuuh....øh yahoo havde jer, som host....jeg kunne godt tænke mig, at download deres filer:_)
no_doubt >> Hvis jeg var dig ville jeg slet ikke bekymre mig om jeg blev slettet, jeg ville sq være flyttet med det samme. Et hul kommer sjældent alene.
Nøøjjj du springer bare over hvor gærdet er lavest hva, sådan fik jeg sgu ikke indtrykket af jer, men man skal nok kende til ting et stykke tid for at se deres rigtige \"jeg\"
Det er alligevel det TYNDESTE grundlag for en sletning af en hjemmeside til dato, den er der sgu sikker nogle it aviser der gerne vil omtale, det prøver jeg sgu.
bacardil>> hvis det ikke er fordi at magter, eller kan finde ud af at sætte sikkerhed op kan jeg da godt yde konsulentbistand, dette tip for du dog gratis:
Det du siger er faktisk at I vidste at hullet var der, og at I ikke har gjort noget, det er da virkelig flot den så søde lille 12 årige pige, ved godt at hun skal låse sin\"cyke\" næste gang når den er blevet hugget en gang men nej, I lader bare stå til, flot, imponerende.
bacardill >> Ting der ikke er opdaget endnu ? Det har været en kendsgerning at man kan browse i andres filer med filesysmobject, hvis ikke sikkerheden er ordentlig, de sidste 2 år.
Nu har jeg ikke læst alt det mug i har skrevet, men jeg vil bare sige at min side på www.als-computer.dk er hostet af web-sale - de giver en billig hosting, e-mail supporten tip-top og jeg er tilfreds. Uanset om min dør af låst med stålplader og keycodes eller om jeg bare har en almindelig lås, som er lige til at dirke op - så har en hver som brækker min lås op forbrudt sig på loven og forsygt at tiltvinge sig adgang til mit hus velvidende at de bryder loven. Hvis der står i loven at det er forbudt af bryde ind i privates låste huse, så er det forbudt - uanset om der er brugt en plastiklås eller et professionelt sikkerhedssystem.
madizone>> du siger \"Hvis der står i loven at det er forbudt af bryde ind i privates låste huse, så er det forbudt - uanset om der er brugt en plastiklås eller et professionelt sikkerhedssystem.\"
i dette tilfælde var der INGEN lås, døren stod vid åben
Bacardill >> Hvornår i fik kendskab til problemet er da irrelevant, problemet eksisterede selv før web-sale.dk startede, når man starter et hosting firma sætter man sig ind i sikkerheds brister som allerede eksisterer.
I den branche skal man være opdateret hele tiden, det er ikke nok at vide hvordan man sætter et website op i IIS.
bacardill >> Jeg er da fløjtende ligeglad med hvem der står for web-sale.dk´s servere. Det er dit firma ikke ? Så er det også dit ansvar at sørge for at dem der sætter serverne op er folk som ved hvad de laver og ikke kun kan sætte et website op i IIS.
cyberfessor> Yes, det er meget uansvarligt. Måske skulle vi havde et par unix co administratore til at holde øje med vores Unix administratore...
Så er vi derhenne hvor, at det er fordåligt at en servicemedarbejder i Merlin siger at en vare er udsolgt, når den ikke er det.
Vi tror på dem vi sætter til at holde øje med vores maskiner, det har i dette tilfælde ikke været iorden (indrømmet), derfor er der fra Mandag en ny som skal sørge for det med en helt ny server, så alt bliver lukket.
Dog tror jeg ikke at de mennesker der arbejder for os er klar over vores holdning til sikkerhed.
Bacardil >> Okay, måske er din holdning til sikkerhed god nok, men det hjælper dig jo ingen vegne hvis du ikke har folk som kan gøre det så godt som du ønsker.
<snip> \"Dog tror jeg ikke at de mennesker der arbejder for os er klar over vores holdning til sikkerhed. \" </snip>
Den holdning der siger at når I opdager en fejl, bliver den rettet, istedet for at ansætte en person med erfaring og følger med i hvad der forekommer og kan forekommme af fejl og sikkerhedshuller! ..smart smart...den politik skal nok føre web-sale på højde med Azero og Digiweb ;)
bacardil >> Dengang lå det på en udbyders server, ergo ikke min fejl, deres sikkerhed skoddede ligeså meget som jeres, dog var det kun ved et uheld Otis fandt en henlagt side med navn og password til sites ftp som jeg ikke kendte til ;)
Men havde det været min egen server, var det aldrig sket.
Nu ligger den på på min egen server og er så sikker som den nu kan blive, nu mangler den bare en backup server, der står ved et hvist firma ved navn web-sale =OP
Jeg synes Digiweb er alt for dyre - jeg har min side hos Web-sale fordi prisen er nem at overkomme.
quote fra Digiweb\'s hjemmeside om hvad deres Junior pakke tillader :
Flash og Shockwave Realaudio/Realvideo (http-streaming)
Hvor herre bevares... Det betyder måske at hvis man ligger det i Vivo, QuickTime eller Windows Media så må der ikke http-streames. Kunne de ikke bare skrive \"ubegrænset http trafik\". Hos Azero får man 100 kb serverplads for den pris som Web-sale giver 2 MB for.
barcardil>>Så sådan ud, ja... og jeg vil sige at Kommentar fra bacardil 31/05 2001 17:44:01 så meget ud som om i kun havde unix folk
Nu hvor du har indrømmet at der er sket en fejl og har lovet at rette op på det, så synes jeg at mark skulle sige undskyld... for selvfølgelig var det ikke meningen at det skulle gå så vidt. Sikkerheden skulle bare lige testes, bare fordi en dør er lukket betyder det jo ikke at den er låst, vel... vel?? Og så synes jeg at du burde acceptere hans undksyldning og lade være med at slette ham!!!
bacardil>> lader til at vi ikke kommer længere i denne sag, min mening er at du har håndteret det meget ikke-professionelt.
eftersom du ikke så min sandsynlighedsregning for hacking kan jeg da sige at man sagtens kan finde frem til den \"forbudte\" fil ved lidt simpel sandsynlighedsregning!!!!! Jeg kan ikke se hvordan man kan lægge fortrolige informationer ud på en fuldt tilgængeligt, så er det jo pludseligt offentligt og så er det IKKE at snage!!
bacardil>>nej, hvis det lå på c: drevet havde jeg ikke fundet den uden at skulle hacke. Men nu lå filen jo ikke på c: Den lå på i en fuld offentlig mappe, og helt ærlig... HVEM LÆGGER FOTROLIGE OPLYSNINGER UD I OFFENTLIGHEDEN!!
cyberfessor> Okey, men så bliver du bare i den tro, Mark havde jo helt glemt at fortælle at han overhoved havde rørt noget.. Hvis man læser de første 10 indlæg.
barcardil>>Du og jeg ved udemærket godt at mark har kigget i en fil... det slår du også fast her Kommentar fra bacardil 31/05 2001 17:00:06 Nu er det sådan at jeg godt ved HVILKEN fil det drejer sig om, og den ligger altså offentligt. ALLE og enhver kan hente den hvis de har lyst. Se, DET er hvad jeg kalder sjusk!!!
jeg vil sige at alle informationer der kan nå\'s bare ved www adressen, det er offentlige informationer. Hvis ikke burde du jo sikre dem, som jeg f.eks. har gjort på MIT webhotel, kan du f.eks. hente følgende fil?? http://www.pikkori.dk/log/c_base.mdb Nej vel!!
Debatten er vist overstået. Men lige en lille observation, mhp et af de små symbolske eksempler.
Hvis døren til et hus står åben, så er det korrekt at det stadig er ulovligt at gå ind. Dette er indiskutabelt. Men samtidig så ville jeg måske nok sætte pris på, at mine naboer kiggede ind, hvis min egen dør stod åben, og de ikke vidste om jeg var hjemme. Det kunne jo være at foregik neget lusket.
Hvis det var sidst på måneden så kunne han kigge alt det han vill :o)
Som jeg sagde, så er det uden tvivl ulovligt. Men en en tyv ringer da ikke til husets ejere, og siger at han har lavet et indbrud. Ikke her i Århus i hvert fald.
cyber_k> Netop, en hacker ville ikke sige at der er noget galt med sikkerheden og så fortælle hvilken fil han har kigget i. OOOOOG, noget lader jo til at den fil mark har fået fat i lå tilgængelig for offentligheden... og at læse offentlig tilgængelig materiale kan er der da ikke noget galt i!!
cyberfessor> Hvile TDC har en side som kræver password, men pga. omtalte system, så kunne jeg finde den direkte sti til nogle dok. som lå til off. hos firmaet X.
Så mener du at det er iorden at jeg bare læser løs pga. jeg nu har fundet den korrekte sti?
Det er nok ikke det eneste han har læst, men som sagt så kunne han havde lavet være med at læse overhoved, men sendt et link til scriptet (som tommyf), så havde vi ikke sagt andet end TAK.
Dertil kan jeg hellere ikke være 100% på at det er det eneste han har rørt.
Dertil har han tidligere idag mailet mig omkring om vi vil udtale os til en \"fin avis\" som han kaldte det... Tja... hvilke aviser mon vil tage dette op at vi har valgt at smide en bruger ud af vores firma.
cyberfessor>> Næh... Ud fra hvad jeg kan læse mig frem til, så består det ulovlige hvordan han er kommet frem til materialet. Og hvis vi nu skal forstsætte ned af symbolikkens gader, så svarer det vel til at man kommer til at gå ind i en butik (det er jo et sted som man alligevel kan komme) som er lukket. Eksemplet er taget fra mig selv i lørdags, men da butiksindehaveren så mig, blev jeg da ikke smidt i benlås eller sendt i spjældet. Hvorfor dog sige til en betalende kunde at han aldrig kan komme igen??
Men er det bacardil\'s firma, så er han vel i den henseende i sin gode ret, og så får han jo samtidig statueret et eksempel. Det eneste spg er hvor mange, som fremover opdager huller i sikkerheden, som tør sige det.
respawnede > genoplivede(udtryk fra spil som Quake og Unreal), altså forsætte med at hoste siden - eventuelt lade \"hacking\" forsøget gå lige op med at han anmeldte et sikkerhedshul. Du ved sikkert at der er store sider som laver konkurrence med priser på $10000 dollars til den første som bryder ind i websitet sammen med en forklaring på hvordan og hvor hulet skal lukkes.
Jeg ved at der var læst et dok. som lå på serveren (indrømmer han selv), dertil ved jeg at der samme dag var oprettet/oploadet nogle ekstra mapper/filer på serveren som kun kunne gøres via dette program.
Vi kiggede kundernes asp filer igennem og fandt den kun på 2 website.
netsrac> Der stå mange ting, men de tilhøre så min kæreste ;o)
Hmm.. siger jeg Adi, så snakker vi nok om det samme, men den stå ikke hos mig længere, den er sendt et andet sted hen, men der var så prob. med hvordan betalingen skulle foregå og adi ønskede åbenbart ikke vi skulle finde en løsning.
bacardil>> Tja....... Jeg skal indrømme at min viden omkring hvad der konkret defineres som hacking den.....er lidt som min tegnebog sidst på måneden. Ikke fuld.
Min indgangsvinkel til dene debat lå/ligger udelukkende i princippet i om hvad der skal til at dømme folk skyldige. Jeg mener at nettet bør være omfattet at de samme love som i den fysiske verden.
Du er jo så heldigvis i den situation, at vi her snakker om et område (serveren) hvor du er diktator, og derfor kan gøre nøjagtig som du mener rigtigt.
Jeg har sgu ikke oprettet nogle mapper, hvad jeg gjorde var jeg læste og VISTE at det var muligt så lad være med at smøre en masse tykt lort på, hold dig nu til sandheden Bacardil.
bacardil>> kan du bevise at han har oprettet de mapper/filer?? Hvorfor holder vi os ikke til fact?? Hvis du havde dine log-filer iorden ville jeg mene at du havde lov at komme med sådanne udtalelser, men ikke når det drejer som rene gisninger!! Du ved IKKE om mark har levet denne mappe du snakker om, og derfor er det også sagen uvedkommende.
madizone>> Selv ville jeg ikke fortsætte hos web-sale hvis det var mig, dog synes jeg det er bund uretfærdigt at mark ikke har fået sine penge tilbage, da han er blevet opsagt på så tyndt et grundlag. 600 kroner lige ud af vinduet... :P
Ja et tilgode bevis på en eller anden måde ville sgu være på sin plads, fedt at tjene sine penge på et koldt lager hele vinteren og købe domainer og så bare se dem flyve væk.
Uha... jeg dømmer heller ikke. Hvem der er \"skurken\" (hvis der overhovedet er en) i denne lille debat, det skal jeg ikke gøre mig klog på. Jeg synes blot det er et interessant emne, specielt eftersom det med garanti vil ske igen på en eller andens webhotel-server. Men du kunne jo nu tilføje nogle regler til web-sale.dk. Der må da være kommet nogen erfaringer ud af dette. Så er web-sale.dk da i hvert fald hævet over denne diskussion fremover. Det er selvfølgelig bare en skam at der skulle hoveder først.
bacardil>> btw, hvem giver dig ret til at kigge dine kunders filer igennem?? har du måske siddet og læst kildekoden på alle ASP filerne som ligger på din server igennem?? Tag lige og klap hesten, det hænger jo ikke sådan sammen at kun filer med et bestemt navn må lave manipulere med filsystemet!! Hvad nu hvis jeg havde en fil med navnet default.asp liggende i roden af mit website... vil du så kunne udelukke at denne fil ikke havde samme egenskaber som asp admin??
Ups.....bacardil. Har det beholdt penge for en ikke leveret vare. Nu håber jeg da godtnok at regelsættet på dette område er meget klart, da du ellers kan havne i en slemkattepine.
cyber_k> Vi har skam lært og det er meget kedeligt, men dette er hvis det sker igen, så håber vi at de smider en link fremfor at læse oplysninger der ikke ligger under deres dir.
cyber k> Vi har hverken sagt nej eller ja til at udbetale de penge, faktisk tror jeg slet ikke at no har sendt en mail omkring dette og hans webhotel blev lukket igår aftes.
Dette er et spm. som vi vil se på, men vi vil naturligvis kontakte dem har jurien iorden og høre deres mening.
no_doubt> Så vidt vides er det 125*2 + 300 - De 300 du snakkede om skulle være betalt for LANGE siden og der blev efter rykkere aftalt en ordning du bryd i første omgang.
*g* også sletter i dem igen fordi i heller ville have et klart bevis på hvad man kan komme i forbindelse med. web-sale is not all it WAS crack up to be.
Jamen I trækker vel de sidste pga grådighed den 1/7. Men Jeg har faktisk skrevet en mail omkring de penge og fået svar tilbage fra dig. Har ik gem den DESVÆRRE, men mente ikke at det var muligt, men kan du ik forhøre dig nu om det er muligt at jeg kan få NOGLE tilbage ?
Hvis kunden ikke overholder Web-Sale s forretningsbetingelser, kan Web-Sale dog opsige abonnementet med øjeblikkeligt varsel uden tilbagebetaling af evt. resterende abonnement.
dog kan jeg ikke finde nogen i jeres betingelser som nævner sager som denne, så umiddelbart ser det jo ud som om vi er havnet i noget sim I ikke har taget højde for... måske noget i troede aldrig ville ske for NETOP jer.
Det kan godt være at der er mange der ikke har taget højde for dette, personligt synes jeg at de burde HOLDE SIG VÆK FRA DENNE BRANCHE! Det er synd at hele webhosting-markedet skal få et dårligt ry på grund af amatører der forsøger sig med en lille computer og sin ny-anskaffede adsl forbindelse. Jeg beskylder ikke dig for noget som helst, det er mit kendskab til web-sales ikke stor nok til, men det er min en generelle opfattelse!
Law #1: Nobody believes anything bad can happen to them, until it does.
Many people are unwilling partners in computer security. This isn\'t because they\'re deliberately trying to endanger the network – they simply have a different agenda than you do. The reason your company has a network is because it lets your company conduct business, and your users are focused on your company\'s business rather than on the vagaries of computer security. Many users can\'t conceive why someone might ever go to the trouble of sending them a malicious email or trying to crack their password, but an attacker only needs to find one weak link in order to penetrate your network.
As a result, relying on voluntary measures to keep your network secure is likely to be a non-starter. You need the authority to mandate security on the network. Work with your company\'s management team to develop a security policy that spells out specifically what the value of the information on your network is, and what steps the company is willing to take to protect it. Then develop and implement security measures on the network that reflect this policy
bacardil>> Jeg hr nu set lidt for mange spørgsmåk her på eksperten der starter med; \"weee... jeg har lige fået adsl, nu vil jeg gerne sætte en webserver op... hvor mange sites tror i jeg kan trækker på 256/256?? og hvordan er det egenligt lige man gør, er der nogen der vil hjælpe mig??\"
no_doubt>> Beløbet er praktisk talt umuligt at regne sig frem til for andre end det pågældende firma. Såfremt der direkte står at du betaler for leje af serverplads, så betaler udfra tid. Men det kan være at du betaler for administration så snakker vi jo et meget mindre beløb du kan få retuneret.
Jeg kan fortælle hvornår jeg har fået start tilladelse på de to domainer.
Fredericia-Bynight.dk hvor der er betalt 2*125 er oprette og sat igang 20/5/01 KL. 22.29 Zequenze.dk hvor alle 300 er betalt er oprettet og sat igang 20/02/01 KL 08:09
Weeee....min mailbox bliver flooded. Hvis nogen er utilfreds findes der alverdens instanser som forbrugerklagenævnet og meget mere. Nu er sådan noget som ASP-administration ikke noget mange forstår, havde det bare været et lidt mere jordnært emne så plejer Rene ord for Pengene at være flinke til at tvære firmaer ud baseret på indicier.
madizone>> havde da ellers været festlige 45 minutter, se ham speakeren udtale ord som FileSytemObject, Access Control List, Active Server Pages, Internet Information Server 4.0, Server.CreateObject og jeg kunne blive ved!!
Det her er nok det værste jeg nogen sinde har hørt. En kunde finder en fejl, og fortæller at denne fejl er til stede. Firmaet som er ansvarlig for at disse fejl ikke opstår eller i det hele taget er til stede, sparker kunden i røven og smider ham ud.
Hvis det var mig der var den ansvarlig ledene i det selskab, ville jeg da under ingen omstændigheder smide kunden ud, men istedet sende tusinde takker til kunden.
At I (bacardil) ikke har styr på jeres servere, og ikke ved hvordan man sætter en sådanne op, skal da under ingen omstændigheder gå ud over kunden som oven i købet SELV skriver til jer.
Jeg kunne forstå at i ville smide ham ud hvis i fandt ud af at han sad og rodede rundt på serveren, for at snuse eller lave ravage på den, men manden hendvender sig til jer.................
Det er bare for langt ude.
Jeg har intet kendskab til jeres firma som sådant, og skal da aldrig efter at have læst denne tråd nogensinde have det. Og jeg skal da også huske denne tråd når jeg fortæller andre om web hosts som jeg tror er gode, og PÅLIDELIGE.
Jeg ville sgu give no_doubt en gave og ikke et los i røven.
WEb-sale.dk har bla ikke opdateret deres server med Microsoft fixes... dette gjorde at en af mine venner kunne hacke sig ind på serveren og rette/slette forskellige filer...
Det synes jeg nok er noget af det dårligtste... at et web-hotel ikke sørger for at opdatere deres servere
så efter denne tråd så tror jeg antallet af web-sale.dk kunder falder dramatisk
Nu har jeg ikke lige fulgt dette spørgsmål hele vejen igennem. Men jeg har før hjulpet no_doubt med noget kode til hans site og han virker jo ikke lige som den hackende type. Selvfølgelig har du ret i dit synspunkt om, at han ikke burde have været inde i andre mapper end hans egen. Men hvis man drager lidt parallel til førstehjælp, så er der en gammel device, der siger, at det er bedre at forsøge at hjælpe og måske ikke ramme rigtigt end det er ikke at hjælpe overhoved. Personligt synes jeg alt dette lyder en lille smule banalt, omkring hvad han skulle have gjort eller ej. Faktum er, at han prøvede og gjorde sit bedste og som en ansvarlig webhost, og det regner jeg da med at du er, så burde du måske have håndteret det udfra ovennævnte device, i stedet for at male fanden på væggen. Husk på at dine kunder betaler dine regninger og samtidig kan være din største hjælp når det gælder sikkerheden på dit webhotel. Hvor mange potentielle kunder tror du ikke at du har mistet på en sådan handling og hvor mange kunder tror du vil henvende sig i fremtiden, hvis de finder et nyt sikkerhedsbrist?
Bare lige lidt stof til eftertanke.
P.S. Blot lige som en afsluttende kommentar til noget af det jeg har læst i denne tråd. Nu er det altså ikke lige fordi FileSystemObjectet er totalt nyt i ASP og så vidt vides, optræder nøjagtig de samme problemer under W2K. Ganske enkelt fordi det ikke er et problem eller en sikkerheds bug men en nøje overvejet del af FSO. Der er en løsning på det problem og det hedder korrekt indstilling af ACL rettighederne på mapperne. Bare rolig dette er ikke ment som en provokation - blot en oplysing til alle der læser denne tråd om at FSO objektet kan være din bedste ven eller din værste fjende.
Hacking er ulovligt og jeg mener 100% at det skal politi anmeldes. Hacking SKAL stoppes og no_doubt bør politianmeldes. Det er IKKE en leg det her, selvom nogle børn åbenbart mener at det er sjovt!!
Ok det eneste jeg kan sige til det er - læs dog den manual til ASP.
FSO objektet er netop baseret på at kunne tilgå alle mapper og filer på en given computer - OGSÅ over nettet og der findes altså kun en måde, at kontrollere det på og det er ved at indfører en ordentlig rettighedspolitik på mapperne på serveren uanset om det er NT4.0 Eller W2K.
Ud over problemer med FSO så er der også tusindvis af andre problemer, der kan udnyttes, hvis fil rettighederne ikke er sat ordentligt op.
Til det med de andre webhoteller, kan jeg kun sige, at jeg aldrig er støt på andre webhoteller, der ikke bruger intensiv mappe kontrol på deres webserver.
P.S. Jeg har selv for ikke så lang tid siden fået foretaget en Vigilante test, samt diverse tests for sikkerhedshuller på et website, hvor jeg bruger en del FSO scripts under NT4.0 og ISS4.0 og de var alle tilfredsstillende pga. en korrekt rettighedspolitik.
bacardil>> Du er sq for langt ude... hvis i ikke kan magte at sikre en maskine med IIS, så hold jeg dog langt væk! \"Nu vil vi så opdatere og måske har win2k samme fejl...\", nej... dette er IKKE en fejl!!!!!! og nej, win2k (IIS 5.0) har ikke måske understøttelse for FSO, IIS 5.0 HAR understøttelse for FSO. Dette viser bare hvor lidt du egentlig har styr på tingene :(
Blot en lille kommentar til IIS 4.0 - 5.0 diskussionen. FSO objektet er IKKE en del af IIS serveren eller ASP for den sags skyld.
Man kan bruge FSO via ASP - men objektet er rent faktisk en del af windows scripting engine\'en og kan derfor også bruges via scripting hosten eller andre ting, der benytter sig af JScript eller VBScript (f.eks lokale vbscripts m.v.).
Derfor er sikkerhedsproblematikken med mappe rettigheder ikke kun relateret til brugen af FSO i ASP sammenhænge men kan være nøjagtig lige så farlig, hvis der f.eks er mulighed for at uploade et VBScript til serveren og derefter eksekvere det på serveren.
Ergo betyder det ikke noget hvilken IIS man benytter, hvis man har en scripting engine kørende på serveren (og det har man, hvis man kan bruge ASP), så er det et problem.
jivefive>> Det er rigtigt, men det er et komponent MS har valgt at have i sin windows, dog kan man jo sagtens afinstallere det hvis man har lyst. Det kan være meget hensigstmæssigt hvis man alligevel ikke skal bruge den. Det er dog ikke end undskyldning for ikke at sætte rettigheder på sine mapper. En anden ting man kan gøre er at lade hvert website køre med sin egen bruger, på den måde hindrer man at man kan kigge i hindandens mapper bare man kender den exacte sti!
hmm... kan nu godt lide sætningen \"Vi har nu ikke kunde mærke nogen tilbagegang i kunderne, men tror nu ikke det sker, for dette er et prob. de fleste har\"... den sætter vist prikken over i´et..
nu er der en mindre på listen over hosting firmaer *g*
no_doubt >> der er så mange hosting firmaer nu, men hvis blot en brøkdel ville gøre det der kræves for at gøre det ordentligt ... *hmm* nej det er nok for meget at bede om...
Web sale har ikke styr på en skid og deres linie er ofte nede - hold jer langt væk fra dem, hvis i vil beholde jeres server/filer .
Synes godt om
Ny brugerNybegynder
Din løsning...
Tilladte BB-code-tags: [b]fed[/b] [i]kursiv[/i] [u]understreget[/u] Web- og emailadresser omdannes automatisk til links. Der sættes "nofollow" på alle links.
