codigo_seguro : Mensagens : 34-63 de 1426

Cristiano,

Por que vc quer mudar de banco de dados ? O sistema se tornou muito
grande ou contém muitas informações (ficou pesado) ?

Um banco de dados Access bem configurado (acesso ao banco) e um
sistema bem desenvolvido, são bem mais seguros que um outro com SQL
Server mal configurado, contendo portas abertas e um sistema todo mal
planejado.

Primeiro, o seu banco de dados Access não deve estar em uma pasta
dentro do site...

Outro coisa, reparei que vc usa arquivos includes com a
extensão .inc, aconselho mudar para .asp, pois qualquer pessoa pode
fazer o download do seu arquivo e analisar o seu código. Se vc fizer
uma pesquisa no Google sobre conn.inc, descobrirá várias conexões a
banco de dados sem segurança na web.

[]´s

Andrey R. Freitas
Moderador


--- Em codigo_seguro@..., "Cristiano dos Santos
Lagame" <cristianolagame@y...> escreveu
>
>
> Olá para todos!
>
> Meu nome é Cristiano Lagame, tenho 25 anos, moro em Teresópolis-RJ
e
> trabalho com programação em ASP, PHP e Visual Fox Pro.
>
> Vejo que muitos já se inscreveram, mas poucos já escreveram
aki... :)
>
> Preciso saber se o código abaixo já é suficiente para manter um
> nível maior de segurança na parte de administração do site, ou
> preciso mudar o código, ou tomar mais alguma outra medida de
> segurança. Uso ASP e o banco de dados é Access. Será que vale a
pena
> mudar para SQL Server? Não seria muito trabalhoso?
>
> Arquivo: checa_senha.inc
> ---------------------------------------------
> <%
> 'Se a Session("nome") não contiver nada, significa que o usuário
não
> cadastrou-se antes de requisitar esta página.
>
> if Session("Usuario") = "" then
>
> 'mensagem de erro
> response.write "<!DOCTYPE HTML PUBLIC '-//W3C//DTD HTML 4.01
> Transitional//EN' 'http://www.w3.org/TR/html4/loose.dtd'>"
> response.write "<html>"
> response.write "<head>"
> response.write "<meta http-equiv='Content-Type' content='text/html;
> charset=iso-8859-1'>"
> response.write "<link rel='stylesheet' href='../estilo.css'
> type='text/css'>"
> response.write "<title>Verificando...</title>"
> response.write "<font size='3' color='red'><center>ÁREA
> RESTRITA</font><br><br>"
> response.write "<font size='2'>Se você possui senha de acesso a
área
> administrativa <a href='login.asp'>clique aqui</a> para se
> autenticar.</font></center>"
> response.write "</body>"
> response.write "</html>"
> else
> 'ou seja, existe uma Session("nome") válida
> %>
> ---------------------------------------------
>
> Coloco sempre um include deste arquivos em todas as páginas da
> administração do site, será que só isso já é suficiente para manter
> o site e o banco de dados seguro?
>
> Abraço para todos!
>
> Cristiano Lagame
> Webmaster

Responder | Mensagens neste tópico (6)

#36

De: José Augusto <augustowebd@...>
Data: Qui, 2 de Dez de 2004 10:41 am
Assunto: Re: SQL Injection

augustowebd

o espírito de um bom desenvolverdor eh a pesquisa, vamos lah:
dessa vez tah, mas dah próxima, vamos por a curiosidade pra funcionar.
http://www.google.com.br/search?hl=pt-BR&q=%22SQL+Injection%22&btnG=Pesquisa+Goo\
gle&meta=lr%3Dlang_pt


--- Em codigo_seguro@..., <celso@a...> escreveu
>
> O que é SQL Ingection?
>
> Celso
>   ----- Original Message -----
>   From: codigo_seguro
>   To: codigo_seguro@...
>   Sent: Monday, November 29, 2004 5:18 PM
>   Subject: [codigo_seguro] SQL Injection
>
>
>
>
>   Amigos,
>
>   Todos conhecem este tipo de ataque ?
>
>   O BD é o culpado ou é o desenvolvedor que não se preocupou com a
>   segurança do sistema ? Sistemas C/S tbm são vulneráveis ?
>
>   Como fazer para se precaver desta vulnerabilidade ?
>
>   Aguardo respostas...
>
>   []´s
>
>   Andrey R. Freitas
>   Moderador
>
>
>
>
>
>
>
>         Yahoo! Grupos, um serviço oferecido por:
>
>
>
>
>
>
>
>
------------------------------------------------------------------------------
>   Links do Yahoo! Grupos
>
>     a.. Para visitar o site do seu grupo na web, acesse:
>     http://br.groups.yahoo.com/group/codigo_seguro/
>
>     b.. Para sair deste grupo, envie um e-mail para:
>     codigo_seguro-unsubscribe@...
>
>     c.. O uso que você faz do Yahoo! Grupos está sujeito aos Termos
do Serviço do Yahoo!.
>
>
>
> [As partes desta mensagem que não continham texto foram removidas]

#37

De: "Augusto Cesar R. Costa" <accosta@...>
Data: Qui, 2 de Dez de 2004 12:07 pm
Assunto: Re: Falhas de Segurança

accosta@...

Xará, tudo bem?
Só discordo de voce em um ponto, NULL é diferente de NULL, pois null é
ausencia de valores. Essa ausencia de valores pode representar portanto um
valor qualquer, que consequentemente podem ser diferentes.
Sei que parece meio delírio mais posso mostrar (Utilizando banco de dados
Oracle):

SQL> conn scott/tiger@teste9i
Connected to Oracle9i Enterprise Edition Release 9.2.0.6.0
Connected as scott

SQL> select * from dept ;

DEPTNO DNAME          LOC
------ -------------- -------------
     10 ACCOUNTING     NEW YORK
     20 RESEARCH       DALLAS
     30 SALES          CHICAGO
     40 OPERATIONS     BOSTON

Executed in 0,02 seconds

SQL> select * from dept where '' = '';

DEPTNO DNAME          LOC
------ -------------- -------------

Executed in 0,01 seconds

SQL> select * from dept where null = null;

DEPTNO DNAME          LOC
------ -------------- -------------

Executed in 0,03 seconds

Atenciosamente.
Augusto Cesar R. Costa
DBA - Oracle
Tribunal de Contas do Estado de Goiás.
Tel: (62)  201-9076 / 201-9000
      (62) 8125-9858


----- Original Message -----
From: "augustowebd" <augustowebd@...>
To: <codigo_seguro@...>
Sent: Thursday, December 02, 2004 7:25 AM
Subject: Re: [codigo_seguro] Falhas de Segurança




li seu material e achei bacana e tal, todavia eu gostaria de retificar
uma coisa:
em uma parte do material diz:
>  '1'='1'
certo?
bom, uma das soluções para previnir isso, segundo material seria:
duplicar as aspas simples, certo?
> replace(vlogin,"'","''")

bom ateh onde sei, se 1 = 1, null tbm eh igual a null, ou seja,
poderia colocar:
''=''
sendo assim a solução de duplicar as aspas simples não funcionaria, correto?

no mais achei bastante legal mesmo.
valeu a iniciativa e que todos tenham a mesma.
sucesso man!


On Mon, 29 Nov 2004 12:55:56 -0300, WELLINGTON
<wellington@...> wrote:
>
>  Pessoal,
>  Postei um arquivo Falhas_de_Segurança_Sistemas.txt
>  gostaria de saber o que vcs acham sobre  ???
>
>
>
>
>
>
>
>
>
>
>
>  ________________________________
>
>    Pensamento:
>
>            " Dois importantes fatos, nesta vida, saltam aos olhos;
primeiro,
> que cada um de nós sofre inevitavelmente derrotas temporárias, de formas
> diferentes, nas ocasiões mais diversas. Segundo, que cada adversidade traz
> consigo a semente de um benefício equivalente. Ainda não encontrei homem
> algum bem-sucedido na vida que não houvesse antes sofrido derrotas
> temporárias. Toda vez que um homem supera os reveses, torna-se mental e
> espiritualmente mais forte.   É assim que aprendemos o que devemos à
grande
> lição da adversidade. "
>
>
>
>
>
>  [As partes desta mensagem que não continham texto foram removidas]
>
>
>
>
>
>
>  Yahoo! Grupos, um serviço oferecido por:
>
>
>
>
>
>
>  ________________________________
>  Links do Yahoo! Grupos
>
> Para visitar o site do seu grupo na web, acesse:
> http://br.groups.yahoo.com/group/codigo_seguro/
>
> Para sair deste grupo, envie um e-mail para:
> codigo_seguro-unsubscribe@...
>
> O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço do
> Yahoo!.


--
A diferença entre os homens comuns e os guerreiros é que os guerreiros
encaram tudo como um desafio, enquanto os homens comuns encaram tudo
como uma benção ou uma maldição.






Links do Yahoo! Grupos

#38

De: "codigo_seguro" <codigo_seguro@...>
Data: Qui, 2 de Dez de 2004 11:11 am
Assunto: Apresentação

codigo_seguro

Senhores, bom dia.

Gostaria de me apresentar:

Meu nome é Andrey R. Freitas, sou o criado/moderador deste grupo, tbm
sou o criador/moderador do grupo "Perícia Forense Aplicada à
Informática" (http://br.groups.yahoo.com/group/periciaforense),
criador/editor da "Revista Evidência Digital"
(http://www.guiatecnico.com.br/EvidenciaDigital) revista criada pelos
associados do grupo onde todos os artigos são escritos pelos
participantes, pretendo futuramente criar uma revista semelhante
contendo conteúdos escritos pelos participantes deste grupo.
Desenvolvo e mantenho atualizado o site "Perícia Forense Aplicada à
Informática" (http://www.guiatecnico.com.br/PericiaForense).

A revista, o grupo e o site são únicos na América do Sul, e são
referências nos principais sites sobre Forense. Vamos fazer com que
este grupo tbm seja referência no mundo do desenvolvimento.

Sou Analista de Sistemas, formado em Processamento de Dados, pós-
graduado em Computação Aplicada e pós-graduado em Internet Security.

Portanto, sejam todos bem vindos ao grupo Código Seguro - Segurança
no Desenvolvimento de Software.

[]´s
Andrey R. Freitas
Moderador

#39

De: "Ricardo Oliveira" <rickyto@...>
Data: Qui, 2 de Dez de 2004 12:20 pm
Assunto: Re: Re: Segurança em ASP

rickyto_sp

Ei Andrey onde deve ficar o banco Access ?


grato;

Ricardo Oliveira

----- Original Message -----
   From: codigo_seguro
   To: codigo_seguro@...
   Sent: Thursday, December 02, 2004 7:57 AM
   Subject: [codigo_seguro] Re: Segurança em ASP




   Cristiano,

   Por que vc quer mudar de banco de dados ? O sistema se tornou muito
   grande ou contém muitas informações (ficou pesado) ?

   Um banco de dados Access bem configurado (acesso ao banco) e um
   sistema bem desenvolvido, são bem mais seguros que um outro com SQL
   Server mal configurado, contendo portas abertas e um sistema todo mal
   planejado.

   Primeiro, o seu banco de dados Access não deve estar em uma pasta
   dentro do site...

   Outro coisa, reparei que vc usa arquivos includes com a
   extensão .inc, aconselho mudar para .asp, pois qualquer pessoa pode
   fazer o download do seu arquivo e analisar o seu código. Se vc fizer
   uma pesquisa no Google sobre conn.inc, descobrirá várias conexões a
   banco de dados sem segurança na web.

   []´s

   Andrey R. Freitas
   Moderador


   --- Em codigo_seguro@..., "Cristiano dos Santos
   Lagame" <cristianolagame@y...> escreveu
   >
   >
   > Olá para todos!
   >
   > Meu nome é Cristiano Lagame, tenho 25 anos, moro em Teresópolis-RJ
   e
   > trabalho com programação em ASP, PHP e Visual Fox Pro.
   >
   > Vejo que muitos já se inscreveram, mas poucos já escreveram
   aki... :)
   >
   > Preciso saber se o código abaixo já é suficiente para manter um
   > nível maior de segurança na parte de administração do site, ou
   > preciso mudar o código, ou tomar mais alguma outra medida de
   > segurança. Uso ASP e o banco de dados é Access. Será que vale a
   pena
   > mudar para SQL Server? Não seria muito trabalhoso?
   >
   > Arquivo: checa_senha.inc
   > ---------------------------------------------
   > <%
   > 'Se a Session("nome") não contiver nada, significa que o usuário
   não
   > cadastrou-se antes de requisitar esta página.
   >
   > if Session("Usuario") = "" then
   >
   > 'mensagem de erro
   > response.write "<!DOCTYPE HTML PUBLIC '-//W3C//DTD HTML 4.01
   > Transitional//EN' 'http://www.w3.org/TR/html4/loose.dtd'>"
   > response.write "<html>"
   > response.write "<head>"
   > response.write "<meta http-equiv='Content-Type' content='text/html;
   > charset=iso-8859-1'>"
   > response.write "<link rel='stylesheet' href='../estilo.css'
   > type='text/css'>"
   > response.write "<title>Verificando...</title>"
   > response.write "<font size='3' color='red'><center>ÁREA
   > RESTRITA</font><br><br>"
   > response.write "<font size='2'>Se você possui senha de acesso a
   área
   > administrativa <a href='login.asp'>clique aqui</a> para se
   > autenticar.</font></center>"
   > response.write "</body>"
   > response.write "</html>"
   > else
   > 'ou seja, existe uma Session("nome") válida
   > %>
   > ---------------------------------------------
   >
   > Coloco sempre um include deste arquivos em todas as páginas da
   > administração do site, será que só isso já é suficiente para manter
   > o site e o banco de dados seguro?
   >
   > Abraço para todos!
   >
   > Cristiano Lagame
   > Webmaster







         Yahoo! Grupos, um serviço oferecido por:
               PUBLICIDADE




------------------------------------------------------------------------------
   Links do Yahoo! Grupos

     a.. Para visitar o site do seu grupo na web, acesse:
     http://br.groups.yahoo.com/group/codigo_seguro/

     b.. Para sair deste grupo, envie um e-mail para:
     codigo_seguro-unsubscribe@...

     c.. O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço
do Yahoo!.



[As partes desta mensagem que não continham texto foram removidas]

#40

De: augustowebd <augustowebd@...>
Data: Qui, 2 de Dez de 2004 11:20 am
Assunto: Re: Falhas de Segurança

augustowebd

pô ae seus pais tiveram bom gosto, assim como os meus ;) - me refiro
ao nome, para não haver ofenças CLARO!,

Augusto,
  eu fiz esta resalva pq uso MySQL, sou developer PHP e como todos
sabem o MySQL a mulher do PHP, então qm usar o mysql sobre desse
vulnerabilidade q me referir, pra ser mais preciso eu pretendia
mostrar algo do tipo:

select * from tabela where 'asdf' = 'asdf' or ''='';

o Oracle não retorna nada assim?

[]'s



On Thu, 2 Dec 2004 09:07:54 -0300, Augusto Cesar R. Costa
<accosta@...> wrote:
>
>  Xará, tudo bem?
>  Só discordo de voce em um ponto, NULL é diferente de NULL, pois null é
>  ausencia de valores. Essa ausencia de valores pode representar portanto um
>  valor qualquer, que consequentemente podem ser diferentes.
>  Sei que parece meio delírio mais posso mostrar (Utilizando banco de dados
>  Oracle):
>
>  SQL> conn scott/tiger@teste9i
>  Connected to Oracle9i Enterprise Edition Release 9.2.0.6.0
>  Connected as scott
>
>  SQL> select * from dept ;
>
>  DEPTNO DNAME          LOC
>  ------ -------------- -------------
>      10 ACCOUNTING     NEW YORK
>      20 RESEARCH       DALLAS
>      30 SALES          CHICAGO
>      40 OPERATIONS     BOSTON
>
>  Executed in 0,02 seconds
>
>  SQL> select * from dept where '' = '';
>
>  DEPTNO DNAME          LOC
>  ------ -------------- -------------
>
>  Executed in 0,01 seconds
>
>  SQL> select * from dept where null = null;
>
>  DEPTNO DNAME          LOC
>  ------ -------------- -------------
>
>  Executed in 0,03 seconds
>
>  Atenciosamente.
>  Augusto Cesar R. Costa
>  DBA - Oracle
>  Tribunal de Contas do Estado de Goiás.
>  Tel: (62)  201-9076 / 201-9000
>       (62) 8125-9858
>
>
>  ----- Original Message -----
>  From: "augustowebd" <augustowebd@...>
>  To: <codigo_seguro@...>
>  Sent: Thursday, December 02, 2004 7:25 AM
>  Subject: Re: [codigo_seguro] Falhas de Segurança
>
>
>
>
>  li seu material e achei bacana e tal, todavia eu gostaria de retificar
>  uma coisa:
>  em uma parte do material diz:
>  >  '1'='1'
>  certo?
>  bom, uma das soluções para previnir isso, segundo material seria:
>  duplicar as aspas simples, certo?
>  > replace(vlogin,"'","''")
>
>  bom ateh onde sei, se 1 = 1, null tbm eh igual a null, ou seja,
>  poderia colocar:
>  ''=''
>  sendo assim a solução de duplicar as aspas simples não funcionaria,
> correto?
>
>  no mais achei bastante legal mesmo.
>  valeu a iniciativa e que todos tenham a mesma.
>  sucesso man!
>
>
>  On Mon, 29 Nov 2004 12:55:56 -0300, WELLINGTON
>  <wellington@...> wrote:
>  >
>  >  Pessoal,
>  >  Postei um arquivo Falhas_de_Segurança_Sistemas.txt
>  >  gostaria de saber o que vcs acham sobre  ???
>  >
>  >
>  >
>  >
>  >
>  >
>  >
>  >
>  >
>  >
>  >
>  >  ________________________________
>  >
>  >    Pensamento:
>  >
>  >            " Dois importantes fatos, nesta vida, saltam aos olhos;
>  primeiro,
>  > que cada um de nós sofre inevitavelmente derrotas temporárias, de formas
>  > diferentes, nas ocasiões mais diversas. Segundo, que cada adversidade
> traz
>  > consigo a semente de um benefício equivalente. Ainda não encontrei homem
>  > algum bem-sucedido na vida que não houvesse antes sofrido derrotas
>  > temporárias. Toda vez que um homem supera os reveses, torna-se mental e
>  > espiritualmente mais forte.   É assim que aprendemos o que devemos à
>  grande
>  > lição da adversidade. "
>  >
>  >
>  >
>  >
>  >
>  >  [As partes desta mensagem que não continham texto foram removidas]
>  >
>  >
>  >
>  >
>  >
>  >
>  >  Yahoo! Grupos, um serviço oferecido por:
>  >
>  >
>  >
>  >
>  >
>  >
>  >  ________________________________
>  >  Links do Yahoo! Grupos
>  >
>  > Para visitar o site do seu grupo na web, acesse:
>  > http://br.groups.yahoo.com/group/codigo_seguro/
>  >
>  > Para sair deste grupo, envie um e-mail para:
>  > codigo_seguro-unsubscribe@...
>  >
>  > O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço do
>  > Yahoo!.
>
>
>  --
>  A diferença entre os homens comuns e os guerreiros é que os guerreiros
>  encaram tudo como um desafio, enquanto os homens comuns encaram tudo
>  como uma benção ou uma maldição.
>
>
>
>
>
>
>  Links do Yahoo! Grupos
>
>
>
>
>
>
>
>
>
>
>
>
>
>
>  Yahoo! Grupos, um serviço oferecido por:
>
>
>
>
>
>
>  ________________________________
>  Links do Yahoo! Grupos
>
> Para visitar o site do seu grupo na web, acesse:
> http://br.groups.yahoo.com/group/codigo_seguro/
>
> Para sair deste grupo, envie um e-mail para:
> codigo_seguro-unsubscribe@...
>
> O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço do
> Yahoo!.


--
A diferença entre os homens comuns e os guerreiros é que os guerreiros
encaram tudo como um desafio, enquanto os homens comuns encaram tudo
como uma benção ou uma maldição.

#41

De: Walter Alves Chagas Junior <wchagas@...>
Data: Qui, 2 de Dez de 2004 12:25 pm
Assunto: RES: Falhas de Segurança

walterchagas

Não é bem assim não.

Null é um dado nulo (pode ser um lixo ou qualquer coisa que esteja lá
naquele campo do banco de dados. Se você der um Dump na tabela, verá que
alguma coisa tem lá. portanto não dá pra testar Null = Null porque um campo
considerado Null PODE TER ALGUM LIXO LÁ como pode não ter também. Em alguns
casos esta condicional irá funcionar mas em outros não.

Desculpem se viajei hehehe



  []s

  Walter Alves Chagas Junior
  Projeto e desenvolvimento
  Telemont Engenharia de telecomunicações
  wchagas@...
  Fone: (31) 3389-8215 Fax: (31) 3389-8200



-----Mensagem original-----
De: augustowebd [mailto:augustowebd@...]
Enviada em: quinta-feira, 2 de dezembro de 2004 07:25
Para: codigo_seguro@...
Assunto: Re: [codigo_seguro] Falhas de Segurança



li seu material e achei bacana e tal, todavia eu gostaria de retificar
uma coisa:
em uma parte do material diz:
>  '1'='1'
certo?
bom, uma das soluções para previnir isso, segundo material seria:
duplicar as aspas simples, certo?
> replace(vlogin,"'","''")

bom ateh onde sei, se 1 = 1, null tbm eh igual a null, ou seja,
poderia colocar:
''=''
sendo assim a solução de duplicar as aspas simples não funcionaria, correto?

no mais achei bastante legal mesmo.
valeu a iniciativa e que todos tenham a mesma.
sucesso man!


On Mon, 29 Nov 2004 12:55:56 -0300, WELLINGTON
<wellington@...> wrote:
>
>  Pessoal,
>  Postei um arquivo Falhas_de_Segurança_Sistemas.txt
>  gostaria de saber o que vcs acham sobre  ???
>
>
>
>
>
>
>
>
>
>
>
>  ________________________________
>
>    Pensamento:
>
>            " Dois importantes fatos, nesta vida, saltam aos olhos;
primeiro,
> que cada um de nós sofre inevitavelmente derrotas temporárias, de formas
> diferentes, nas ocasiões mais diversas. Segundo, que cada adversidade traz
> consigo a semente de um benefício equivalente. Ainda não encontrei homem
> algum bem-sucedido na vida que não houvesse antes sofrido derrotas
> temporárias. Toda vez que um homem supera os reveses, torna-se mental e
> espiritualmente mais forte.   É assim que aprendemos o que devemos à
grande
> lição da adversidade. "
>
>
>
>
>
>  [As partes desta mensagem que não continham texto foram removidas]
>
>
>
>
>
>
>  Yahoo! Grupos, um serviço oferecido por:
>
>
>
>
>
>
>  ________________________________
>  Links do Yahoo! Grupos
>
> Para visitar o site do seu grupo na web, acesse:
> http://br.groups.yahoo.com/group/codigo_seguro/
<http://br.groups.yahoo.com/group/codigo_seguro/>
>
> Para sair deste grupo, envie um e-mail para:
> codigo_seguro-unsubscribe@...
>
> O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço do
> Yahoo!.


--
A diferença entre os homens comuns e os guerreiros é que os guerreiros
encaram tudo como um desafio, enquanto os homens comuns encaram tudo
como uma benção ou uma maldição.





Yahoo! Grupos, um serviço oferecido por:


<http://br.rd.yahoo.com/SIG=12a1qbukg/M=264379.5078783.6203979.1588051/D=brc
lubs/S=2137114691:HM/EXP=1102070468/A=2191897/R=0/SIG=10vqa2grn/*http://br.d
iversao.yahoo.com/>


<http://br.rd.yahoo.com/SIG=12a1qbukg/M=264379.5078783.6203979.1588051/D=brc
lubs/S=2137114691:HM/EXP=1102070468/A=2191897/R=1/SIG=10vqa2grn/*http://br.d
iversao.yahoo.com/>
  São Paulo  Rio de Janeiro  Curitiba  Porto Alegre  Belo Horizonte  Brasília



   _____

Links do Yahoo! Grupos


* Para visitar o site do seu grupo na web, acesse:
http://br.groups.yahoo.com/group/codigo_seguro/
<http://br.groups.yahoo.com/group/codigo_seguro/>


* Para sair deste grupo, envie um e-mail para:
codigo_seguro-unsubscribe@...
<mailto:codigo_seguro-unsubscribe@...?subject=Unsubscribe>


* O uso que você faz do Yahoo! Grupos está sujeito aos Termos do
Serviço do Yahoo! <http://br.yahoo.com/info/utos.html> .




[As partes desta mensagem que não continham texto foram removidas]

#42

De: Sergio <SERGIO.YOSHIOKA@...>
Data: Qui, 2 de Dez de 2004 10:57 am
Assunto: Re: RES: Estou chegando

sergioy2004

Além dos citados, acredito que outro item importante é o
desenvolvimento de sw para missões críticas cujo mal
funcionamento/eventuais vulnerabilidades, possam intencionalmente ou
acidentalmente por erros humanos de operação/interface/mapeamento
mental, causar desastres, com consequências graves (controle de
tráfego aéreo, usinas nucleares, etc).

[]s

Sergio Yoshioka


On Thu, 2 Dec 2004 08:21:48 -0300, Walter Alves Chagas Junior
<wchagas@...> wrote:
>
>
> Não vamos pensar em código seguro, apenas proteção contra invasões. Vamos
> pensar código seguro como a proteção contra invasões e também a consistencia
> das informações e a garantia da integridade e da privacidade dos dados, que
> são de altíssima preciosidade para o cliente.
>
> []s
>
> Walter Alves Chagas Junior
> Projeto e desenvolvimento
> Telemont Engenharia de telecomunicações
> wchagas@...
> Fone: (31) 3389-8215 Fax: (31) 3389-8200
>
> -----Mensagem original-----
> De: warlockws [mailto:warlockws@...]
> Enviada em: segunda-feira, 29 de novembro de 2004 12:56
> Para: codigo_seguro@...
> Assunto: [codigo_seguro] Estou chegando
>
> Bom saber que existem pessoas que se preocupam com programas seguros
> ou de qualidade, segurança també implica em codigos limpos bem
> escritos usando-se de tecnicas corretas, patterns e etc, espero poder
> trocar muito com o pessoal. Acho legal cada um se apresentar para que
> todos saibam com quem contar e para quebrar a inercia das primeiras
> mensagens.:
>
> Jorge Rangel
> Arquiteto de Sistemas
> Autodidata em informatica
> Programo em C/C++ Delphi e Java atualmente
> Ja programei em ASM (!) LTD, LPS, Cobol, Basic (Bons tempos) Fortran
> Uso OO em Requisitos, Analise, Projeto e Implementaçao
>
> Construo aplicaçoes C/S, nTier e Web hoje em dia para clientes e
> implemento algumas rotinas de segurança para clientes Web.
>
> Forte Abraço a todos!
>
> Yahoo! Grupos, um serviço oferecido por:
>
> <http://br.rd.yahoo.com/SIG=12a3bbr20/M=264379.5078783.6203979.1588051/D=brc
> lubs/S=2137114691:HM/EXP=1102066778/A=2191897/R=0/SIG=10vqa2grn/*http://br.d
> iversao.yahoo.com/>
>
> <http://br.rd.yahoo.com/SIG=12a3bbr20/M=264379.5078783.6203979.1588051/D=brc
> lubs/S=2137114691:HM/EXP=1102066778/A=2191897/R=1/SIG=10vqa2grn/*http://br.d
> iversao.yahoo.com/>
> São Paulo  Rio de Janeiro  Curitiba  Porto Alegre  Belo Horizonte  Brasília
>
>  _____
>
> Links do Yahoo! Grupos
>
> *       Para visitar o site do seu grupo na web, acesse:
> http://br.groups.yahoo.com/group/codigo_seguro/
> <http://br.groups.yahoo.com/group/codigo_seguro/>
>
> *       Para sair deste grupo, envie um e-mail para:
> codigo_seguro-unsubscribe@...
> <mailto:codigo_seguro-unsubscribe@...?subject=Unsubscribe>
>
> *       O uso que você faz do Yahoo! Grupos está sujeito aos Termos do
> Serviço do Yahoo! <http://br.yahoo.com/info/utos.html> .
>
> [As partes desta mensagem que não continham texto foram removidas]
>
> Links do Yahoo! Grupos
>
>
>
>
>

#43

De: "Augusto Cesar R. Costa" <accosta@...>
Data: Qui, 2 de Dez de 2004 12:17 pm
Assunto: Fw: RE:Re: Falhas de Segurança

accosta@...

Pessoal, atentem para este detalhe pois é um tanto inconveniente, toda vez que
se enviar mensagem ter que ficar confirmando.
As pessoas que possuem antispam por favor desabilitem ou permitam receber as
mensagens do grupo sem confirmação.
Atenciosamente.
Augusto Cesar R. Costa
DBA - Oracle
Tribunal de Contas do Estado de Goiás.
Tel: (62)  201-9076 / 201-9000
      (62) 8125-9858


----- Original Message -----
From: AntiSpam UOL
To: accosta
Sent: Thursday, December 02, 2004 8:12 AM
Subject: RE:Re: [codigo_seguro] Falhas de Segurança




             Olá,

             Você enviou uma mensagem para lima.ls@...
             Para que sua mensagem seja encaminhada, por favor, clique aqui


             Esta confirmação é necessária porque lima.ls@... usa o
Antispam UOL, um programa que elimina mensagens enviadas por robôs, como
pornografia, propaganda e correntes.

             As próximas mensagens enviadas para lima.ls@... não
precisarão ser confirmadas*.
             *Caso você receba outro pedido de confirmação, por favor, peça para
lima.ls@... incluí-lo em sua lista de autorizados.

                   Atenção! Se você não conseguir clicar no atalho acima, acesse
este endereço:
                  
http://tira-teima.as.uol.com.br/challengeSender.html?data=XI%2FVKc2zwOX4iGAkxaeN\
Dkl2BAy8we6uqNrG3kUR%2Bgnq2%2F%2FyYyc88QW1FKSsEHpjvXh3wrpdTmep%0AJg38T7WPWcd8Hiu\
h%2BDgRpNTyAKikKWFB6b9LR6q7wtJW5O9ljIjR0kv%2Bb0YdcW2fIawSeYy6jK9d%0AiuVouCn%2FZ0\
5la1P4jE3AM2BCnoF7BbUv6SI9B6ax



--------------------------------------------------------------------------


             Hi,

             You´ve just sent a message to lima.ls@...
             In order to confirm the sent message, please click here


             This confirmation is necessary because lima.ls@... uses
Antispam UOL, a service that avoids unwanted messages like advertising,
pornography, viruses, and spams.

             Other messages sent to lima.ls@... won't need to be
confirmed*.
             *If you receive another confirmation request, please ask
lima.ls@... to include you in his/her authorized e-mail list.

                   Warning! If the link doesn´t work, please copy the address
below and paste it on your browser:
                  
http://tira-teima.as.uol.com.br/challengeSender.html?data=XI%2FVKc2zwOX4iGAkxaeN\
Dkl2BAy8we6uqNrG3kUR%2Bgnq2%2F%2FyYyc88QW1FKSsEHpjvXh3wrpdTmep%0AJg38T7WPWcd8Hiu\
h%2BDgRpNTyAKikKWFB6b9LR6q7wtJW5O9ljIjR0kv%2Bb0YdcW2fIawSeYy6jK9d%0AiuVouCn%2FZ0\
5la1P4jE3AM2BCnoF7BbUv6SI9B6ax



       Use o AntiSpam UOL e proteja sua caixa postal



[As partes desta mensagem que não continham texto foram removidas]

#44

De: "Iuri Pereira" <iuri51@...>
Data: Qui, 2 de Dez de 2004 11:27 am
Assunto: Re: SQL Injection

iuri51

Bom dia Srs,

Um material muito bom para iniciantes é o CD: "Segurança no Desenvolvimento de
Software" - Microsoft.
Pode ser adquirido em forma de bonus no site da msdn.

Apesar de não programar para a plataforma .NET,  foi muito útil para iniciar
meus estudos, pois dá uma visão geral sobre segurança e alguns exemplos de como
sanar o problema de sql injection.

abraços.


----- Original Message -----
   From: Daniel Batista Lemes
   To: codigo_seguro@...
   Sent: Thursday, December 02, 2004 8:06 AM
   Subject: Re: [codigo_seguro] SQL Injection



   Isso é um erro do desenvolvedor, ja que nao se deve nunca passar dados do
   formulario diretamente para a consulta.
   A prevedepende da linguagem para eu te dizer as funções, mas basicament,
   deve-se trocar aspas simples, por duplas, ou entao remove-as(eu acho a
   melhor opçao), alem de remover caracteres "coringas" como "%", tbm remover
   "#", se for meio paranoico da pra deixar somente letras e numeros.

   Sds,

   Daniel
   ----- Original Message -----
   From: "codigo_seguro" <codigo_seguro@...>
   To: <codigo_seguro@...>
   Sent: Monday, November 29, 2004 4:18 PM
   Subject: [codigo_seguro] SQL Injection





   Amigos,

   Todos conhecem este tipo de ataque ?

   O BD é o culpado ou é o desenvolvedor que não se preocupou com a
   segurança do sistema ? Sistemas C/S tbm são vulneráveis ?

   Como fazer para se precaver desta vulnerabilidade ?

   Aguardo respostas...

   []´s

   Andrey R. Freitas
   Moderador









   Links do Yahoo! Grupos













         Yahoo! Grupos, um serviço oferecido por:

                     São Paulo Rio de Janeiro Curitiba Porto Alegre Belo
Horizonte Brasília




------------------------------------------------------------------------------
   Links do Yahoo! Grupos

     a.. Para visitar o site do seu grupo na web, acesse:
     http://br.groups.yahoo.com/group/codigo_seguro/

     b.. Para sair deste grupo, envie um e-mail para:
     codigo_seguro-unsubscribe@...

     c.. O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço
do Yahoo!.



[As partes desta mensagem que não continham texto foram removidas]

#45

De: Walter Alves Chagas Junior <wchagas@...>
Data: Qui, 2 de Dez de 2004 12:27 pm
Assunto: RES: Re: Testar aplicações

walterchagas

Eu tenho uns programas de stressar threads para aplicações WEB, que peguei
no site da Microsoft a muito tempo quando eu mexia com programação ISAPI. Se
for o caso, depois eu coloco eles na seção de arquivos da lista. Eles são
muito bons pra voce ver, até quantas conexões e processamentos simultaneos,
seu site aguenta.




  []s

  Walter Alves Chagas Junior
  Projeto e desenvolvimento
  Telemont Engenharia de telecomunicações
  wchagas@...
  Fone: (31) 3389-8215 Fax: (31) 3389-8200



-----Mensagem original-----
De: codigo_seguro [mailto:codigo_seguro@...]
Enviada em: quinta-feira, 2 de dezembro de 2004 07:48
Para: codigo_seguro@...
Assunto: [codigo_seguro] Re: Testar aplicações




Hugo,

Há vários modos de se testar uma aplicação, seguem alguns exemplos:

1)Conhecer vários métodos de ataques e tentar usar em seu site, por
exemplo: SQL Injection, Cross Site Scripting, roubo de sessão, roubo
de banco de dados, desativação de validações (JavaScript), procurar
por comentários deixados em códigos...

2)Existem programas de stress para sites, a própria Microsoft tem um
e são poucas as pessoas que conhecem, depois de configurado, o
programa simula a tentativa de várias conexões simultâneas ao seu
sistema, dê uma procurada no site da Microsoft.

3)Há diferenças de testes em aplicações e servidores web.

[]´s
Andrey R. Freitas
Moderador



--- Em codigo_seguro@..., "takarebello"
<hugo.rebello@d...> escreveu
>
>
> Pessoal,
>
> Alguém pode me recomendar algum software que eu possa testar o e-
> commerce da minha empresa ?
> Quero simular algum tipo de ataque no servidor Web e na aplicação.
>
> Obrigado,
> Hugo








Yahoo! Grupos, um serviço oferecido por:


   <http://br.i1.yimg.com/br.yimg.com/i/br/ads4/2309_lrec_yshopping2.gif>




<http://br.rd.yahoo.com/SIG=12andkdcm/M=264105.3931087.6562589.1588051/D=brc
lubs/S=2137114691:HM/EXP=1102071589/A=2361264/R=6/SIG=10v4acpp0/*http://br.s
hopping.yahoo.com/>


   _____

Links do Yahoo! Grupos


* Para visitar o site do seu grupo na web, acesse:
http://br.groups.yahoo.com/group/codigo_seguro/
<http://br.groups.yahoo.com/group/codigo_seguro/>


* Para sair deste grupo, envie um e-mail para:
codigo_seguro-unsubscribe@...
<mailto:codigo_seguro-unsubscribe@...?subject=Unsubscribe>


* O uso que você faz do Yahoo! Grupos está sujeito aos Termos do
Serviço do Yahoo! <http://br.yahoo.com/info/utos.html> .




[As partes desta mensagem que não continham texto foram removidas]

#46

De: "augustowebd" <augustowebd@...>
Data: Qui, 2 de Dez de 2004 11:25 am
Assunto: minha contribuição com a turma

augustowebd

gente eh o seguinte, uma das muitas listas q participo recebi uma msg
com este link - minhas humildes desculpas a pessoa q enviou o link,
por não ter o nome para divulgar - como eh de muita utilidade ae vai:

  http://ftp.cdut.edu.cn/pub3/uncate_doc/

#47

De: José Gutiérrez Farías <gruposdediscursion@...>
Data: Qui, 2 de Dez de 2004 11:32 am
Assunto: Re: SQL Injection

gruposdedisc...

Em alguns países como Espanha e alguns outros da Europa, quando há invasão via
sistema, é aberto uma investigação e a empresa que desenvolveu a aplicação é
processada sem dó. Lá o código de defesa do consumidor é mais rígido e prioriza
o cliente até o último.

José Gutiérrez Farías.


Daniel Batista Lemes <dlemes@...> wrote:


Isso é um erro do desenvolvedor, ja que nao se deve nunca passar dados do
formulario diretamente para a consulta.
A prevedepende da linguagem para eu te dizer as funções, mas basicament,
deve-se trocar aspas simples, por duplas, ou entao remove-as(eu acho a
melhor opçao), alem de remover caracteres "coringas" como "%", tbm remover
"#", se for meio paranoico da pra deixar somente letras e numeros.

Sds,

Daniel
----- Original Message -----
From: "codigo_seguro"
To:
Sent: Monday, November 29, 2004 4:18 PM
Subject: [codigo_seguro] SQL Injection





Amigos,

Todos conhecem este tipo de ataque ?

O BD é o culpado ou é o desenvolvedor que não se preocupou com a
segurança do sistema ? Sistemas C/S tbm são vulneráveis ?

Como fazer para se precaver desta vulnerabilidade ?

Aguardo respostas...

[]´s

Andrey R. Freitas
Moderador









Links do Yahoo! Grupos















Links do Yahoo! Grupos










---------------------------------



[As partes desta mensagem que não continham texto foram removidas]

#48

De: "augustowebd" <augustowebd@...>
Data: Qui, 2 de Dez de 2004 11:30 am
Assunto: a verdade sobre o NULL - heheheheh

augustowebd

O valor NULL pode ser supreendente até você usá-lo. Conceitualmente,
NULL significa valor em falta ou valor desconhecido e é tratado de uma
forma diferente de outros valores. Para testar o valor NULL, você não
pode usar os operadores de comparações aritméticas como em =, <, ou
!=. Para demonstrar para você mesmo, tente executar a seguinte consulta:


  Augusto,
  como vc falou - corretamente - o null eh a:
> significa valor em falta ou valor desconhecido.

todavia '' eh diferente de NULL, pq ''  eh uma string vazia, certo?
jah NULL eh assume a situação acima descrita. logo:
NULL pode ser diferente de '', mas '' = '' vai ser sempre igual a '',
estou certo?

Responder | Mensagens neste tópico (3)

#49

De: "Alan Messias" <informatica@...>
Data: Qui, 2 de Dez de 2004 4:36 pm
Assunto: Re: Falhas de Segurança

kurtnerd2003

olá cara,

Artigo muito bom mesmo,

Mas, observe essa parte:

"A questão é: o hacker pode destruir tudo?"

O termo hacker nesse artigo está sendo empregada de forma errada.

[]'s
Inseto
   ----- Original Message -----
   From: WELLINGTON
   To: codigo_seguro@...
   Sent: Monday, November 29, 2004 7:55 AM
   Subject: [codigo_seguro] Falhas de Segurança



   Pessoal,
   Postei um arquivo Falhas_de_Segurança_Sistemas.txt
   gostaria de saber o que vcs acham sobre  ???











   ________________________________

     Pensamento:

             " Dois importantes fatos, nesta vida, saltam aos olhos; primeiro,
que cada um de nós sofre inevitavelmente derrotas temporárias, de formas
diferentes, nas ocasiões mais diversas. Segundo, que cada adversidade traz
consigo a semente de um benefício equivalente. Ainda não encontrei homem algum
bem-sucedido na vida que não houvesse antes sofrido derrotas temporárias. Toda
vez que um homem supera os reveses, torna-se mental e espiritualmente mais
forte.   É assim que aprendemos o que devemos à grande lição da adversidade. "





   [As partes desta mensagem que não continham texto foram removidas]





         Yahoo! Grupos, um serviço oferecido por:







------------------------------------------------------------------------------
   Links do Yahoo! Grupos

     a.. Para visitar o site do seu grupo na web, acesse:
     http://br.groups.yahoo.com/group/codigo_seguro/

     b.. Para sair deste grupo, envie um e-mail para:
     codigo_seguro-unsubscribe@...

     c.. O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço
do Yahoo!.



[As partes desta mensagem que não continham texto foram removidas]

#50

De: "Luciano" <luciano-zanette@...>
Data: Qui, 2 de Dez de 2004 11:36 am
Assunto: Re: Apresentação

luciano_zanette

Bom dia a todos...

Andrey,

Parabéns pela tua iniciativa em criar este grupo. Creio que o
Conhecimento/Experiência que
aqui tivermos a oportunidade de trocar será muito relevante para todos nós.
Parabenizo também os demais participantes e todos aqueles que investirem parte
de seu tempo
trazendo suas soluções aos assuntos que serão abordados nesta lista.

Um cordial abraço e BOAS SOLUÇÕES a todos,
Luciano T. Zanette
   ----- Original Message -----
   From: codigo_seguro
   To: codigo_seguro@...
   Sent: Thursday, December 02, 2004 9:11 AM
   Subject: [codigo_seguro] Apresentação



   Senhores, bom dia.

   Gostaria de me apresentar:

   Meu nome é Andrey R. Freitas, sou o criado/moderador deste grupo, tbm
   sou o criador/moderador do grupo "Perícia Forense Aplicada à
   Informática" (http://br.groups.yahoo.com/group/periciaforense),
   criador/editor da "Revista Evidência Digital"
   (http://www.guiatecnico.com.br/EvidenciaDigital) revista criada pelos
   associados do grupo onde todos os artigos são escritos pelos
   participantes, pretendo futuramente criar uma revista semelhante
   contendo conteúdos escritos pelos participantes deste grupo.
   Desenvolvo e mantenho atualizado o site "Perícia Forense Aplicada à
   Informática" (http://www.guiatecnico.com.br/PericiaForense).

   A revista, o grupo e o site são únicos na América do Sul, e são
   referências nos principais sites sobre Forense. Vamos fazer com que
   este grupo tbm seja referência no mundo do desenvolvimento.

   Sou Analista de Sistemas, formado em Processamento de Dados, pós-
   graduado em Computação Aplicada e pós-graduado em Internet Security.

   Portanto, sejam todos bem vindos ao grupo Código Seguro - Segurança
   no Desenvolvimento de Software.

   []´s
   Andrey R. Freitas
   Moderador







         Yahoo! Grupos, um serviço oferecido por:

                     São Paulo Rio de Janeiro Curitiba Porto Alegre Belo
Horizonte Brasília




------------------------------------------------------------------------------
   Links do Yahoo! Grupos

     a.. Para visitar o site do seu grupo na web, acesse:
     http://br.groups.yahoo.com/group/codigo_seguro/

     b.. Para sair deste grupo, envie um e-mail para:
     codigo_seguro-unsubscribe@...

     c.. O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço
do Yahoo!.



[As partes desta mensagem que não continham texto foram removidas]

#51

De: "Augusto Cesar R. Costa" <accosta@...>
Data: Qui, 2 de Dez de 2004 12:48 pm
Assunto: Re: Falhas de Segurança

accosta@...

É verdade, pessoas de bom gosto. :)
Ok, quanto ao exemplo que deu, seria errado se o banco de dados não
retornasse nada ok, pois se trata até de uma questão conceitual (xxx=xxx or
NULL=NULL, retorno verdadeiro da expressao).
O problema, é que como sugere o artigo (que infelizmente não li e faço
referencia ao que citou), se a pessoa que deseja causar a fraude, colocar
por ventura '1'='1', a expressao será substituida por ''='', cujo resultado
é falso ok?
Portanto, é preciso colocar uma expressao que retorne um resultado
verdadeiro pelo menos, o que não ocorrerá se for duplicada as aspas, pois as
expressoes serão (''='' ou null=null).
Não sei se fui claro, mais espero poder ajudar.
Atenciosamente.


----- Original Message -----
From: "augustowebd" <augustowebd@...>
To: <codigo_seguro@...>
Sent: Thursday, December 02, 2004 8:20 AM
Subject: Re: [codigo_seguro] Falhas de Segurança




pô ae seus pais tiveram bom gosto, assim como os meus ;) - me refiro
ao nome, para não haver ofenças CLARO!,

Augusto,
  eu fiz esta resalva pq uso MySQL, sou developer PHP e como todos
sabem o MySQL a mulher do PHP, então qm usar o mysql sobre desse
vulnerabilidade q me referir, pra ser mais preciso eu pretendia
mostrar algo do tipo:

select * from tabela where 'asdf' = 'asdf' or ''='';

o Oracle não retorna nada assim?

[]'s



On Thu, 2 Dec 2004 09:07:54 -0300, Augusto Cesar R. Costa
<accosta@...> wrote:
>
>  Xará, tudo bem?
>  Só discordo de voce em um ponto, NULL é diferente de NULL, pois null é
>  ausencia de valores. Essa ausencia de valores pode representar portanto
um
>  valor qualquer, que consequentemente podem ser diferentes.
>  Sei que parece meio delírio mais posso mostrar (Utilizando banco de dados
>  Oracle):
>
>  SQL> conn scott/tiger@teste9i
>  Connected to Oracle9i Enterprise Edition Release 9.2.0.6.0
>  Connected as scott
>
>  SQL> select * from dept ;
>
>  DEPTNO DNAME          LOC
>  ------ -------------- -------------
>      10 ACCOUNTING     NEW YORK
>      20 RESEARCH       DALLAS
>      30 SALES          CHICAGO
>      40 OPERATIONS     BOSTON
>
>  Executed in 0,02 seconds
>
>  SQL> select * from dept where '' = '';
>
>  DEPTNO DNAME          LOC
>  ------ -------------- -------------
>
>  Executed in 0,01 seconds
>
>  SQL> select * from dept where null = null;
>
>  DEPTNO DNAME          LOC
>  ------ -------------- -------------
>
>  Executed in 0,03 seconds
>
>  Atenciosamente.
>  Augusto Cesar R. Costa
>  DBA - Oracle
>  Tribunal de Contas do Estado de Goiás.
>  Tel: (62)  201-9076 / 201-9000
>       (62) 8125-9858
>
>
>  ----- Original Message -----
>  From: "augustowebd" <augustowebd@...>
>  To: <codigo_seguro@...>
>  Sent: Thursday, December 02, 2004 7:25 AM
>  Subject: Re: [codigo_seguro] Falhas de Segurança
>
>
>
>
>  li seu material e achei bacana e tal, todavia eu gostaria de retificar
>  uma coisa:
>  em uma parte do material diz:
>  >  '1'='1'
>  certo?
>  bom, uma das soluções para previnir isso, segundo material seria:
>  duplicar as aspas simples, certo?
>  > replace(vlogin,"'","''")
>
>  bom ateh onde sei, se 1 = 1, null tbm eh igual a null, ou seja,
>  poderia colocar:
>  ''=''
>  sendo assim a solução de duplicar as aspas simples não funcionaria,
> correto?
>
>  no mais achei bastante legal mesmo.
>  valeu a iniciativa e que todos tenham a mesma.
>  sucesso man!
>
>
>  On Mon, 29 Nov 2004 12:55:56 -0300, WELLINGTON
>  <wellington@...> wrote:
>  >
>  >  Pessoal,
>  >  Postei um arquivo Falhas_de_Segurança_Sistemas.txt
>  >  gostaria de saber o que vcs acham sobre  ???
>  >
>  >
>  >
>  >
>  >
>  >
>  >
>  >
>  >
>  >
>  >
>  >  ________________________________
>  >
>  >    Pensamento:
>  >
>  >            " Dois importantes fatos, nesta vida, saltam aos olhos;
>  primeiro,
>  > que cada um de nós sofre inevitavelmente derrotas temporárias, de
formas
>  > diferentes, nas ocasiões mais diversas. Segundo, que cada adversidade
> traz
>  > consigo a semente de um benefício equivalente. Ainda não encontrei
homem
>  > algum bem-sucedido na vida que não houvesse antes sofrido derrotas
>  > temporárias. Toda vez que um homem supera os reveses, torna-se mental e
>  > espiritualmente mais forte.   É assim que aprendemos o que devemos à
>  grande
>  > lição da adversidade. "
>  >
>  >
>  >
>  >
>  >
>  >  [As partes desta mensagem que não continham texto foram removidas]
>  >
>  >
>  >
>  >
>  >
>  >
>  >  Yahoo! Grupos, um serviço oferecido por:
>  >
>  >
>  >
>  >
>  >
>  >
>  >  ________________________________
>  >  Links do Yahoo! Grupos
>  >
>  > Para visitar o site do seu grupo na web, acesse:
>  > http://br.groups.yahoo.com/group/codigo_seguro/
>  >
>  > Para sair deste grupo, envie um e-mail para:
>  > codigo_seguro-unsubscribe@...
>  >
>  > O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço
do
>  > Yahoo!.
>
>
>  --
>  A diferença entre os homens comuns e os guerreiros é que os guerreiros
>  encaram tudo como um desafio, enquanto os homens comuns encaram tudo
>  como uma benção ou uma maldição.
>
>
>
>
>
>
>  Links do Yahoo! Grupos
>
>
>
>
>
>
>
>
>
>
>
>
>
>
>  Yahoo! Grupos, um serviço oferecido por:
>
>
>
>
>
>
>  ________________________________
>  Links do Yahoo! Grupos
>
> Para visitar o site do seu grupo na web, acesse:
> http://br.groups.yahoo.com/group/codigo_seguro/
>
> Para sair deste grupo, envie um e-mail para:
> codigo_seguro-unsubscribe@...
>
> O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço do
> Yahoo!.


--
A diferença entre os homens comuns e os guerreiros é que os guerreiros
encaram tudo como um desafio, enquanto os homens comuns encaram tudo
como uma benção ou uma maldição.






Links do Yahoo! Grupos

#52

De: "Luciano" <luciano-zanette@...>
Data: Qui, 2 de Dez de 2004 11:47 am
Assunto: Re: Falhas de Segurança

luciano_zanette

Sim, o Oracle aceita isso, acabei de testar.

select * from DUAL where 'asdf' = 'asdf' or ''='';

DUMMY
------------
X

Agora se vc fizer,
select * from DUAL where null = null;

Não retorna nada. Acho que essa era a questão inicial, pelo

que eu tinha entendido.

[]´s, Luciano
   ----- Original Message -----
   From: augustowebd
   To: codigo_seguro@...
   Sent: Thursday, December 02, 2004 9:20 AM
   Subject: Re: [codigo_seguro] Falhas de Segurança



   pô ae seus pais tiveram bom gosto, assim como os meus ;) - me refiro
   ao nome, para não haver ofenças CLARO!,

   Augusto,
   eu fiz esta resalva pq uso MySQL, sou developer PHP e como todos
   sabem o MySQL a mulher do PHP, então qm usar o mysql sobre desse
   vulnerabilidade q me referir, pra ser mais preciso eu pretendia
   mostrar algo do tipo:

   select * from tabela where 'asdf' = 'asdf' or ''='';

   o Oracle não retorna nada assim?

   []'s



   On Thu, 2 Dec 2004 09:07:54 -0300, Augusto Cesar R. Costa
   <accosta@...> wrote:
   >
   >  Xará, tudo bem?
   >  Só discordo de voce em um ponto, NULL é diferente de NULL, pois null é
   >  ausencia de valores. Essa ausencia de valores pode representar portanto um
   >  valor qualquer, que consequentemente podem ser diferentes.
   >  Sei que parece meio delírio mais posso mostrar (Utilizando banco de dados
   >  Oracle):
   >
   >  SQL> conn scott/tiger@teste9i
   >  Connected to Oracle9i Enterprise Edition Release 9.2.0.6.0
   >  Connected as scott
   >
   >  SQL> select * from dept ;
   >
   >  DEPTNO DNAME          LOC
   >  ------ -------------- -------------
   >      10 ACCOUNTING     NEW YORK
   >      20 RESEARCH       DALLAS
   >      30 SALES          CHICAGO
   >      40 OPERATIONS     BOSTON
   >
   >  Executed in 0,02 seconds
   >
   >  SQL> select * from dept where '' = '';
   >
   >  DEPTNO DNAME          LOC
   >  ------ -------------- -------------
   >
   >  Executed in 0,01 seconds
   >
   >  SQL> select * from dept where null = null;
   >
   >  DEPTNO DNAME          LOC
   >  ------ -------------- -------------
   >
   >  Executed in 0,03 seconds
   >
   >  Atenciosamente.
   >  Augusto Cesar R. Costa
   >  DBA - Oracle
   >  Tribunal de Contas do Estado de Goiás.
   >  Tel: (62)  201-9076 / 201-9000
   >       (62) 8125-9858
   >
   >
   >  ----- Original Message -----
   >  From: "augustowebd" <augustowebd@...>
   >  To: <codigo_seguro@...>
   >  Sent: Thursday, December 02, 2004 7:25 AM
   >  Subject: Re: [codigo_seguro] Falhas de Segurança
   >
   >
   >
   >
   >  li seu material e achei bacana e tal, todavia eu gostaria de retificar
   >  uma coisa:
   >  em uma parte do material diz:
   >  >  '1'='1'
   >  certo?
   >  bom, uma das soluções para previnir isso, segundo material seria:
   >  duplicar as aspas simples, certo?
   >  > replace(vlogin,"'","''")
   >
   >  bom ateh onde sei, se 1 = 1, null tbm eh igual a null, ou seja,
   >  poderia colocar:
   >  ''=''
   >  sendo assim a solução de duplicar as aspas simples não funcionaria,
   > correto?
   >
   >  no mais achei bastante legal mesmo.
   >  valeu a iniciativa e que todos tenham a mesma.
   >  sucesso man!
   >
   >
   >  On Mon, 29 Nov 2004 12:55:56 -0300, WELLINGTON
   >  <wellington@...> wrote:
   >  >
   >  >  Pessoal,
   >  >  Postei um arquivo Falhas_de_Segurança_Sistemas.txt
   >  >  gostaria de saber o que vcs acham sobre  ???
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >  ________________________________
   >  >
   >  >    Pensamento:
   >  >
   >  >            " Dois importantes fatos, nesta vida, saltam aos olhos;
   >  primeiro,
   >  > que cada um de nós sofre inevitavelmente derrotas temporárias, de formas
   >  > diferentes, nas ocasiões mais diversas. Segundo, que cada adversidade
   > traz
   >  > consigo a semente de um benefício equivalente. Ainda não encontrei homem
   >  > algum bem-sucedido na vida que não houvesse antes sofrido derrotas
   >  > temporárias. Toda vez que um homem supera os reveses, torna-se mental e
   >  > espiritualmente mais forte.   É assim que aprendemos o que devemos à
   >  grande
   >  > lição da adversidade. "
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >  [As partes desta mensagem que não continham texto foram removidas]
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >  Yahoo! Grupos, um serviço oferecido por:
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >  ________________________________
   >  >  Links do Yahoo! Grupos
   >  >
   >  > Para visitar o site do seu grupo na web, acesse:
   >  > http://br.groups.yahoo.com/group/codigo_seguro/
   >  >
   >  > Para sair deste grupo, envie um e-mail para:
   >  > codigo_seguro-unsubscribe@...
   >  >
   >  > O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço do
   >  > Yahoo!.
   >
   >
   >  --
   >  A diferença entre os homens comuns e os guerreiros é que os guerreiros
   >  encaram tudo como um desafio, enquanto os homens comuns encaram tudo
   >  como uma benção ou uma maldição.
   >
   >
   >
   >
   >
   >
   >  Links do Yahoo! Grupos
   >
   >
   >
   >
   >
   >
   >
   >
   >
   >
   >
   >
   >
   >
   >  Yahoo! Grupos, um serviço oferecido por:
   >
   >
   >
   >
   >
   >
   >  ________________________________
   >  Links do Yahoo! Grupos
   >
   > Para visitar o site do seu grupo na web, acesse:
   > http://br.groups.yahoo.com/group/codigo_seguro/
   >
   > Para sair deste grupo, envie um e-mail para:
   > codigo_seguro-unsubscribe@...
   >
   > O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço do
   > Yahoo!.


   --
   A diferença entre os homens comuns e os guerreiros é que os guerreiros
   encaram tudo como um desafio, enquanto os homens comuns encaram tudo
   como uma benção ou uma maldição.




         Yahoo! Grupos, um serviço oferecido por:







------------------------------------------------------------------------------
   Links do Yahoo! Grupos

     a.. Para visitar o site do seu grupo na web, acesse:
     http://br.groups.yahoo.com/group/codigo_seguro/

     b.. Para sair deste grupo, envie um e-mail para:
     codigo_seguro-unsubscribe@...

     c.. O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço
do Yahoo!.


ora

[As partes desta mensagem que não continham texto foram removidas]

#53

De: "Renato Pessanha" <ren@...>
Data: Qui, 2 de Dez de 2004 12:47 pm
Assunto: Re: SQL Injection

Andrey,

SQL Injection afeta tb aplicações C/S e a melhor maneira de evitá-lo é
validar todos os parâmetros recebidos pela aplicação. Nesse sentido,
expressões regulares são de grande auxílio. No banco de dados uma boa
prática seria usar stored procedure parametrizada, mas é importante ficar
atendo ao código construído, um artigo interessante que aborda o tema (query
parametrizadas) é
http://dotnetjunkies.com/WebLog/chris.taylor/archive/2004/10/13/28370.aspx


[]s,
Renato Pessanha


----- Original Message -----
From: "codigo_seguro" <codigo_seguro@...>
To: <codigo_seguro@...>
Sent: Monday, November 29, 2004 5:18 PM
Subject: [codigo_seguro] SQL Injection


> Amigos,
>
> Todos conhecem este tipo de ataque ?
>
> O BD é o culpado ou é o desenvolvedor que não se preocupou com a
> segurança do sistema ? Sistemas C/S tbm são vulneráveis ?
>
> Como fazer para se precaver desta vulnerabilidade ?
>
> Aguardo respostas...
>
> []´s
>
> Andrey R. Freitas
> Moderador

#54

De: "codigo_seguro" <codigo_seguro@...>
Data: Qui, 2 de Dez de 2004 12:47 pm
Assunto: Re: SQL Injection

codigo_seguro

Senhores,

E qual a melhor opção em desenvolvimento para não sofrer um SQL
Injection no sistema ? Qual o melhor método de segurança ?

[]´s

Andrey R. Freitas
Moderador

#55

De: "Augusto Cesar R. Costa" <accosta@...>
Data: Qui, 2 de Dez de 2004 2:00 pm
Assunto: Falhas de Segurança

augusto_crc

Luciano, como disse em e-mail anterior, é questão até conceitual (x=y ou
1=1, resultado verdadeiro).
A questão não é apenas o retorno do select, mais sim a solução sugerida pelo
arquivo Falhas_de_Segurança_Sistemas.txt
É que como foi proposto a substituicao de ("'", por "''"), quando estiver
comparando as expressões, após a substituição, será sempre comparada ''='',
o que retorna resultado falso. Portanto, o que foi sugerido pelo arquivo
funciona realmente da maneira esperada.
Atenciosamente.
Augusto Cesar R. Costa
DBA - Oracle
Tribunal de Contas do Estado de Goiás.
Tel: (62)  201-9076 / 201-9000
      (62) 8125-9858

----- Original Message -----
From: "Luciano" <luciano-zanette@...>
To: <codigo_seguro@...>
Sent: Thursday, December 02, 2004 8:47 AM
Subject: Re: [codigo_seguro] Falhas de Segurança




Sim, o Oracle aceita isso, acabei de testar.

select * from DUAL where 'asdf' = 'asdf' or ''='';

DUMMY
------------
X

Agora se vc fizer,
select * from DUAL where null = null;

Não retorna nada. Acho que essa era a questão inicial, pelo

que eu tinha entendido.

[]´s, Luciano
   ----- Original Message -----
   From: augustowebd
   To: codigo_seguro@...
   Sent: Thursday, December 02, 2004 9:20 AM
   Subject: Re: [codigo_seguro] Falhas de Segurança



   pô ae seus pais tiveram bom gosto, assim como os meus ;) - me refiro
   ao nome, para não haver ofenças CLARO!,

   Augusto,
   eu fiz esta resalva pq uso MySQL, sou developer PHP e como todos
   sabem o MySQL a mulher do PHP, então qm usar o mysql sobre desse
   vulnerabilidade q me referir, pra ser mais preciso eu pretendia
   mostrar algo do tipo:

   select * from tabela where 'asdf' = 'asdf' or ''='';

   o Oracle não retorna nada assim?

   []'s



   On Thu, 2 Dec 2004 09:07:54 -0300, Augusto Cesar R. Costa
   <accosta@...> wrote:
   >
   >  Xará, tudo bem?
   >  Só discordo de voce em um ponto, NULL é diferente de NULL, pois null é
   >  ausencia de valores. Essa ausencia de valores pode representar portanto
um
   >  valor qualquer, que consequentemente podem ser diferentes.
   >  Sei que parece meio delírio mais posso mostrar (Utilizando banco de
dados
   >  Oracle):
   >
   >  SQL> conn scott/tiger@teste9i
   >  Connected to Oracle9i Enterprise Edition Release 9.2.0.6.0
   >  Connected as scott
   >
   >  SQL> select * from dept ;
   >
   >  DEPTNO DNAME          LOC
   >  ------ -------------- -------------
   >      10 ACCOUNTING     NEW YORK
   >      20 RESEARCH       DALLAS
   >      30 SALES          CHICAGO
   >      40 OPERATIONS     BOSTON
   >
   >  Executed in 0,02 seconds
   >
   >  SQL> select * from dept where '' = '';
   >
   >  DEPTNO DNAME          LOC
   >  ------ -------------- -------------
   >
   >  Executed in 0,01 seconds
   >
   >  SQL> select * from dept where null = null;
   >
   >  DEPTNO DNAME          LOC
   >  ------ -------------- -------------
   >
   >  Executed in 0,03 seconds
   >
   >  Atenciosamente.
   >  Augusto Cesar R. Costa
   >  DBA - Oracle
   >  Tribunal de Contas do Estado de Goiás.
   >  Tel: (62)  201-9076 / 201-9000
   >       (62) 8125-9858
   >
   >
   >  ----- Original Message -----
   >  From: "augustowebd" <augustowebd@...>
   >  To: <codigo_seguro@...>
   >  Sent: Thursday, December 02, 2004 7:25 AM
   >  Subject: Re: [codigo_seguro] Falhas de Segurança
   >
   >
   >
   >
   >  li seu material e achei bacana e tal, todavia eu gostaria de retificar
   >  uma coisa:
   >  em uma parte do material diz:
   >  >  '1'='1'
   >  certo?
   >  bom, uma das soluções para previnir isso, segundo material seria:
   >  duplicar as aspas simples, certo?
   >  > replace(vlogin,"'","''")
   >
   >  bom ateh onde sei, se 1 = 1, null tbm eh igual a null, ou seja,
   >  poderia colocar:
   >  ''=''
   >  sendo assim a solução de duplicar as aspas simples não funcionaria,
   > correto?
   >
   >  no mais achei bastante legal mesmo.
   >  valeu a iniciativa e que todos tenham a mesma.
   >  sucesso man!
   >
   >
   >  On Mon, 29 Nov 2004 12:55:56 -0300, WELLINGTON
   >  <wellington@...> wrote:
   >  >
   >  >  Pessoal,
   >  >  Postei um arquivo Falhas_de_Segurança_Sistemas.txt
   >  >  gostaria de saber o que vcs acham sobre  ???
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >  ________________________________
   >  >
   >  >    Pensamento:
   >  >
   >  >            " Dois importantes fatos, nesta vida, saltam aos olhos;
   >  primeiro,
   >  > que cada um de nós sofre inevitavelmente derrotas temporárias, de
formas
   >  > diferentes, nas ocasiões mais diversas. Segundo, que cada adversidade
   > traz
   >  > consigo a semente de um benefício equivalente. Ainda não encontrei
homem
   >  > algum bem-sucedido na vida que não houvesse antes sofrido derrotas
   >  > temporárias. Toda vez que um homem supera os reveses, torna-se mental
e
   >  > espiritualmente mais forte.   É assim que aprendemos o que devemos à
   >  grande
   >  > lição da adversidade. "
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >  [As partes desta mensagem que não continham texto foram removidas]
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >  Yahoo! Grupos, um serviço oferecido por:
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >
   >  >  ________________________________
   >  >  Links do Yahoo! Grupos
   >  >
   >  > Para visitar o site do seu grupo na web, acesse:
   >  > http://br.groups.yahoo.com/group/codigo_seguro/
   >  >
   >  > Para sair deste grupo, envie um e-mail para:
   >  > codigo_seguro-unsubscribe@...
   >  >
   >  > O uso que você faz do Yahoo! Grupos está sujeito aos Termos do
Serviço do
   >  > Yahoo!.
   >
   >
   >  --
   >  A diferença entre os homens comuns e os guerreiros é que os guerreiros
   >  encaram tudo como um desafio, enquanto os homens comuns encaram tudo
   >  como uma benção ou uma maldição.
   >
   >
   >
   >
   >
   >
   >  Links do Yahoo! Grupos
   >
   >
   >
   >
   >
   >
   >
   >
   >
   >
   >
   >
   >
   >
   >  Yahoo! Grupos, um serviço oferecido por:
   >
   >
   >
   >
   >
   >
   >  ________________________________
   >  Links do Yahoo! Grupos
   >
   > Para visitar o site do seu grupo na web, acesse:
   > http://br.groups.yahoo.com/group/codigo_seguro/
   >
   > Para sair deste grupo, envie um e-mail para:
   > codigo_seguro-unsubscribe@...
   >
   > O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço
do
   > Yahoo!.


   --
   A diferença entre os homens comuns e os guerreiros é que os guerreiros
   encaram tudo como um desafio, enquanto os homens comuns encaram tudo
   como uma benção ou uma maldição.




         Yahoo! Grupos, um serviço oferecido por:







----------------------------------------------------------------------------
--
   Links do Yahoo! Grupos

     a.. Para visitar o site do seu grupo na web, acesse:
     http://br.groups.yahoo.com/group/codigo_seguro/

     b.. Para sair deste grupo, envie um e-mail para:
     codigo_seguro-unsubscribe@...

     c.. O uso que você faz do Yahoo! Grupos está sujeito aos Termos do
Serviço do Yahoo!.


ora

[As partes desta mensagem que não continham texto foram removidas]







Links do Yahoo! Grupos

Responder | Mensagens neste tópico (27)

#56

De: "Renato Pessanha" <ren@...>
Data: Qui, 2 de Dez de 2004 1:01 pm
Assunto: Re: Segurança em ASP

From: "Cristiano dos Santos Lagame" <cristianolagame@...>

> Preciso saber se o código abaixo já é suficiente para manter um
> nível maior de segurança na parte de administração do site, ou
> preciso mudar o código, ou tomar mais alguma outra medida de
> segurança. Uso ASP e o banco de dados é Access. Será que vale a pena
> mudar para SQL Server? Não seria muito trabalhoso?

Variáveis de sessão tem um nível de segurança bom, mas como nada é
definitivo em informática, é preciso ficar atento ao tempo de validade da
sessão, se o usuário aceita cookies...

Migrar Access para SQL não é muito trabalhoso, o ADO ajuda bastante nesse
sentido, mas migrar simplesmente não é garantia de segurança, todo caso deve
ser analisado com critério, há de vantagens de um lado e limitações de
outro. Um cuidado elementar que deve se ter com o arquivo MDB do Access é
mantê-lo em um diretório indisponível na web.


[]s,
Renato Pessanha

#57

De: "Renato Pessanha" <ren@...>
Data: Qui, 2 de Dez de 2004 1:17 pm
Assunto: Re: SQL Injection

SQL Injection é uma técnica que passa dados maliciosos através de parâmetros
de forma arbitrária, ou seja, injeta-se dados num parâmetro que concatenado
ao comando SQL original gera resultados diferentes dos esperados. Analise o
comando:

    "SELECT Login, Nome FROM Usuario WHERE Login = '" + sParam + "'"

Se sParam receber "1' OR '2'='2" teremos o seguinte resultado:

    "SELECT Login, Nome FROM Usuario WHERE Login = '1' OR '2'='2'"

Provavelmente você não terá um Login = 1, mas o OU 2=2 será sempre
verdadeiro, com isso ao invés de retornar um único, ou nenhum, resultado,
você obterá toda relação de Login e Nome da tabela Usuario.


[]s,
Renato Pessanha


----- Original Message -----
From: <celso@...>
To: <codigo_seguro@...>
Sent: Thursday, December 02, 2004 7:33 AM
Subject: Re: [codigo_seguro] SQL Injection


>
>
> O que é SQL Ingection?
>
> Celso

#58

De: F S <yehaain@...>
Data: Qui, 2 de Dez de 2004 1:25 pm
Assunto: Re: Re: Testar aplicações

yehaain

Essa é uma questão bastante importante, mas normalmente é confundida, a
diferença na segurança de srvidores e da aplicação. Eu venho buscando me
aprimorar justamente na questão de segurança de aplicações, ramos do
conhecimento estou iniciando...

Bem, gostaria de saber se existem padrões de segurança de aplicações, e onde
posso encontrar referencias sobre o assunto. Desde segurança para aplicações web
como outras aplicações.

[]´s

codigo_seguro <codigo_seguro@...> wrote:

Hugo,

Há vários modos de se testar uma aplicação, seguem alguns exemplos:

1)Conhecer vários métodos de ataques e tentar usar em seu site, por
exemplo: SQL Injection, Cross Site Scripting, roubo de sessão, roubo
de banco de dados, desativação de validações (JavaScript), procurar
por comentários deixados em códigos...

2)Existem programas de stress para sites, a própria Microsoft tem um
e são poucas as pessoas que conhecem, depois de configurado, o
programa simula a tentativa de várias conexões simultâneas ao seu
sistema, dê uma procurada no site da Microsoft.

3)Há diferenças de testes em aplicações e servidores web.

[]´s
Andrey R. Freitas
Moderador

--- Em codigo_seguro@..., "takarebello"
<hugo.rebello@d...> escreveu
>
>
> Pessoal,
>
> Alguém pode me recomendar algum software que eu possa testar o e-
> commerce da minha empresa ?
> Quero simular algum tipo de ataque no servidor Web e na aplicação.
>
> Obrigado,
> Hugo

Yahoo! Grupos, um serviço oferecido por:

                                        function SearchComboBox() { if
(document.form_combo.keyword.value.length==0){  alert("Por favor, digite
algo.");  return false; }else {  document.form_combo.action
="http://br.rd.yahoo.com/SIG=12andkdcm/M=264105.3931087.6562589.1588051/D=brclub\
s/S=2137114691:HM/EXP=1102071589/A=2361264/R=0/SIG=11uaou2jn/*http://www.bondfar\
o.com/bondfaro/in/combosearch_in.jsp?sk=11"; } return true;} [input]   [input]  
[input]

---------------------------------
Links do Yahoo! Grupos

    Para visitar o site do seu grupo na web, acesse:
http://br.groups.yahoo.com/group/codigo_seguro/

    Para sair deste grupo, envie um e-mail para:
codigo_seguro-unsubscribe@...

    O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço do
Yahoo!.

---------------------------------
Post your free ad now! Yahoo! Canada Personals

[As partes desta mensagem que não continham texto foram removidas]

Responder | Mensagens neste tópico (4)

#59

De: "codigo_seguro" <codigo_seguro@...>
Data: Qui, 2 de Dez de 2004 1:24 pm
Assunto: Re: Segurança em ASP

codigo_seguro

Ricardo,

Por questão de segurança o arquivo MDB (Access) não deve ficar no
mesmo diretório das páginas ou outro qualquer dentro do site, porque
qualquer programa de cópia de site (programas que criam um espelho do
site na máquina local) poderá copiar sua base inteira. O mais correto
seria em um outro diretório no servidor e vc fazer a conexão via odbc
ou caminho completo.

[]´s

Andrey R. Freitas


--- Em codigo_seguro@..., "Ricardo Oliveira"
<rickyto@t...> escreveu
>
> Ei Andrey onde deve ficar o banco Access ?
>
>
> grato;
>
> Ricardo Oliveira
>
> ----- Original Message -----
>   From: codigo_seguro
>   To: codigo_seguro@...
>   Sent: Thursday, December 02, 2004 7:57 AM
>   Subject: [codigo_seguro] Re: Segurança em ASP
>
>
>
>
>   Cristiano,
>
>   Por que vc quer mudar de banco de dados ? O sistema se tornou
muito
>   grande ou contém muitas informações (ficou pesado) ?
>
>   Um banco de dados Access bem configurado (acesso ao banco) e um
>   sistema bem desenvolvido, são bem mais seguros que um outro com
SQL
>   Server mal configurado, contendo portas abertas e um sistema todo
mal
>   planejado.
>
>   Primeiro, o seu banco de dados Access não deve estar em uma pasta
>   dentro do site...
>
>   Outro coisa, reparei que vc usa arquivos includes com a
>   extensão .inc, aconselho mudar para .asp, pois qualquer pessoa
pode
>   fazer o download do seu arquivo e analisar o seu código. Se vc
fizer
>   uma pesquisa no Google sobre conn.inc, descobrirá várias conexões
a
>   banco de dados sem segurança na web.
>
>   []´s
>
>   Andrey R. Freitas
>   Moderador
>
>
>   --- Em codigo_seguro@..., "Cristiano dos Santos
>   Lagame" <cristianolagame@y...> escreveu
>   >
>   >
>   > Olá para todos!
>   >
>   > Meu nome é Cristiano Lagame, tenho 25 anos, moro em Teresópolis-
RJ
>   e
>   > trabalho com programação em ASP, PHP e Visual Fox Pro.
>   >
>   > Vejo que muitos já se inscreveram, mas poucos já escreveram
>   aki... :)
>   >
>   > Preciso saber se o código abaixo já é suficiente para manter um
>   > nível maior de segurança na parte de administração do site, ou
>   > preciso mudar o código, ou tomar mais alguma outra medida de
>   > segurança. Uso ASP e o banco de dados é Access. Será que vale a
>   pena
>   > mudar para SQL Server? Não seria muito trabalhoso?
>   >
>   > Arquivo: checa_senha.inc
>   > ---------------------------------------------
>   > <%
>   > 'Se a Session("nome") não contiver nada, significa que o
usuário
>   não
>   > cadastrou-se antes de requisitar esta página.
>   >
>   > if Session("Usuario") = "" then
>   >
>   > 'mensagem de erro
>   > response.write "<!DOCTYPE HTML PUBLIC '-//W3C//DTD HTML 4.01
>   > Transitional//EN' 'http://www.w3.org/TR/html4/loose.dtd'>"
>   > response.write "<html>"
>   > response.write "<head>"
>   > response.write "<meta http-equiv='Content-Type'
content='text/html;
>   > charset=iso-8859-1'>"
>   > response.write "<link rel='stylesheet' href='../estilo.css'
>   > type='text/css'>"
>   > response.write "<title>Verificando...</title>"
>   > response.write "<font size='3' color='red'><center>ÁREA
>   > RESTRITA</font><br><br>"
>   > response.write "<font size='2'>Se você possui senha de acesso a
>   área
>   > administrativa <a href='login.asp'>clique aqui</a> para se
>   > autenticar.</font></center>"
>   > response.write "</body>"
>   > response.write "</html>"
>   > else
>   > 'ou seja, existe uma Session("nome") válida
>   > %>
>   > ---------------------------------------------
>   >
>   > Coloco sempre um include deste arquivos em todas as páginas da
>   > administração do site, será que só isso já é suficiente para
manter
>   > o site e o banco de dados seguro?
>   >
>   > Abraço para todos!
>   >
>   > Cristiano Lagame
>   > Webmaster
>
>
>
>
>
>
>
>         Yahoo! Grupos, um serviço oferecido por:
>               PUBLICIDADE
>
>
>
>
> --------------------------------------------------------------------
----------
>   Links do Yahoo! Grupos
>
>     a.. Para visitar o site do seu grupo na web, acesse:
>     http://br.groups.yahoo.com/group/codigo_seguro/
>
>     b.. Para sair deste grupo, envie um e-mail para:
>     codigo_seguro-unsubscribe@...
>
>     c.. O uso que você faz do Yahoo! Grupos está sujeito aos Termos
do Serviço do Yahoo!.
>
>
>
> [As partes desta mensagem que não continham texto foram removidas]

#60

De: "Rodrigo Moraes" <rodrigom@...>
Data: Qui, 2 de Dez de 2004 12:33 pm
Assunto: RE: Apresentacao

rodrigommoraes

Pessoal

Meu nome é Rodrigo Moraes trabalho com MS SQL Server (DBA) e estou aqui para
me atualizar com relação a desenvolvimento de software em geral, incluindo
Transact-SQL que trabalho com mais frequencia. Procuro captar algo q possa
ser utilizado no ambiente em que trabalho. Todos aqui, e eu estou iniciando,
trabalham com .NET.

Abraço a todos...

Atc,

----------------------
  Rodrigo Moraes
  DBA - Lemon Bank
  rodrigom@...
  www.lemonbank.com.br
----------------------
---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (http://www.grisoft.com).
Version: 6.0.803 / Virus Database: 546 - Release Date: 30/11/2004

---
Outgoing mail is certified Virus Free.
Checked by AVG anti-virus system (http://www.grisoft.com).
Version: 6.0.803 / Virus Database: 546 - Release Date: 30/11/2004

#61

De: Pedro Henrique Silva Nunes <pedronunesbr@...>
Data: Qui, 2 de Dez de 2004 12:28 pm
Assunto: Re: Segurança em ASP

pedronunesbr

Olá,

A Session é criada no servidor WEB e não pode ser repassada para outro.

[ ]'s

Pedro Henrique

Israel Aéce <israel_webdev@...> wrote:

Ola Cristiano,

Bem, nao conheço ASP, mas nao seria possível algum usuario "criar" uma session
em uma pagina ASP qualquer (claro, desde que ele saiba a key da mesma) e dar um
Response.Redirect para esta sua pagina, e nesse caso ele nao conseguiria violar
a sua area "segura"?

Com relação à mudar de Access para SQL Server, claro que o SQL Server é
infinitamente melhor, mas isso não envolve apenas a migração, mas sim custos que
terá para obter a licensa do mesmo.

Em termos de codigos, se escreveu apenas codigos SQL ANSI, com certeza nao
precisa fazer muitos ajustes, ou quase nenhum. Mas se utilizou funções
especificas do Access, terá que reescrever, com algo equivalente em T-SQL.

Espero ter ajudado,

Israel Aéce

---------------------------------
Yahoo! Acesso Grátis - Internet rápida e grátis. Instale o discador agora!

[As partes desta mensagem que não continham texto foram removidas]

Responder | Mensagens neste tópico (6)

#62

De: "Renato Pessanha" <ren@...>
Data: Qui, 2 de Dez de 2004 2:43 pm
Assunto: Re: Re: Testar aplicações

A norma ISO 15408 (Common Criteria) trata da segurança no desenvolvimento de
software. Há, inclusive, um livro em português explorando o assunto.

Segurança no Desenvolvimento de Software
Autores: Ricardo Albuquerque e Bruno Ribeiro
Editora Campus


[]s,
Renato Pessanha

----- Original Message -----
From: "F S" <yehaain@...>
To: <codigo_seguro@...>
Sent: Thursday, December 02, 2004 11:25 AM
Subject: Re: [codigo_seguro] Re: Testar aplicações


>
>
> Essa é uma questão bastante importante, mas normalmente é confundida, a
> diferença na segurança de srvidores e da aplicação. Eu venho buscando me
> aprimorar justamente na questão de segurança de aplicações, ramos do
> conhecimento estou iniciando...
>
> Bem, gostaria de saber se existem padrões de segurança de aplicações, e
> onde posso encontrar referencias sobre o assunto. Desde segurança para
> aplicações web como outras aplicações.
>
> []´s
>
> codigo_seguro <codigo_seguro@...> wrote:
>
>
> Hugo,
>
> Há vários modos de se testar uma aplicação, seguem alguns exemplos:
>
> 1)Conhecer vários métodos de ataques e tentar usar em seu site, por
> exemplo: SQL Injection, Cross Site Scripting, roubo de sessão, roubo
> de banco de dados, desativação de validações (JavaScript), procurar
> por comentários deixados em códigos...
>
> 2)Existem programas de stress para sites, a própria Microsoft tem um
> e são poucas as pessoas que conhecem, depois de configurado, o
> programa simula a tentativa de várias conexões simultâneas ao seu
> sistema, dê uma procurada no site da Microsoft.
>
> 3)Há diferenças de testes em aplicações e servidores web.
>
> []´s
> Andrey R. Freitas
> Moderador
>
>
>
> --- Em codigo_seguro@..., "takarebello"
> <hugo.rebello@d...> escreveu
>>
>>
>> Pessoal,
>>
>> Alguém pode me recomendar algum software que eu possa testar o e-
>> commerce da minha empresa ?
>> Quero simular algum tipo de ataque no servidor Web e na aplicação.
>>
>> Obrigado,
>> Hugo
>
>
>
>
>
>
>
> Yahoo! Grupos, um serviço oferecido por:
>
>
>
>
>
>
>
>
>
>
>
>
>
>
>
>
>
>
>
>                                       function SearchComboBox() { if
> (document.form_combo.keyword.value.length==0){  alert("Por favor, digite
> algo.");  return false; }else {  document.form_combo.action
>
="http://br.rd.yahoo.com/SIG=12andkdcm/M=264105.3931087.6562589.1588051/D=brclub\
s/S=2137114691:HM/EXP=1102071589/A=2361264/R=0/SIG=11uaou2jn/*http://www.bondfar\
o.com/bondfaro/in/combosearch_in.jsp?sk=11";
>  } return true;} [input]   [input]   [input]
>
> ---------------------------------
> Links do Yahoo! Grupos
>
>   Para visitar o site do seu grupo na web, acesse:
> http://br.groups.yahoo.com/group/codigo_seguro/
>
>   Para sair deste grupo, envie um e-mail para:
> codigo_seguro-unsubscribe@...
>
>   O uso que você faz do Yahoo! Grupos está sujeito aos Termos do Serviço
> do Yahoo!.
>
>
>
>
> ---------------------------------
> Post your free ad now! Yahoo! Canada Personals
>
>
> [As partes desta mensagem que não continham texto foram removidas]
>
>
>
>
>
>
>
> Links do Yahoo! Grupos
>
>
>
>
>
>
>
>
>

#63

De: "Idemilson Yahoo" <idemilson@...>
Data: Qui, 2 de Dez de 2004 3:07 pm
Assunto: Apresentação .....

idemilson

Ola pessoal,

Meu nome é Idemilson S Júnior, Analista de Sistemas, desenvolvo com DELPHI,
ASP, JavaScript, HTML, ACCESS dentre outras linguagem e ferramentas !

Gostei muito de alguns tópicos já postados nessa lista !

Sempre que possivel estarei colaborando com a lista !

Ats,

Idemilson S Júnior
Analista Sistemas
   ----------

E-mail enviado verificado pelo AVG, não contém VIRUS !
Checked by AVG Anti-Virus (http://www.grisoft.com).
Version: 7.0.279 / Virus Database: 265.4.4 - Release Date: 30/11/2004


[As partes desta mensagem que não continham texto foram removidas]