Domande con tag 'web-application'

domande con tag
3
risposte

Richiesta GET e POST vulnerabile all'attacco CSRF?

Le richieste GET e POST sono vulnerabili a CSRF? Dovremmo invece usare PUT?     
posta 25.05.2015 - 05:41
1
risposta

Come funziona il collegamento simbolico zip?

Ho visto ultimamente alcuni bug che utilizzavano la tecnica zip symlink, qualcuno può spiegare come funziona questa vulnerabilità, come gli hacker la usano per sfruttare le applicazioni? Grazie     
posta 26.11.2014 - 20:15
1
risposta

Non è complementare HIDS, NIDS e WAF?

Assumi questo scenario: Qualcuno sta cercando di hackerare un sito web. In poche parole: www.site.com/example.php?=<script>alert(1)</script> Un HIDS vedrebbe questo tentativo nel log di accesso di Apache, un NIDS vedreb...
posta 17.03.2014 - 14:06
2
risposte

Come funziona l'autenticazione esterna?

Ad esempio, posso accedere ai siti Web di stackexchange accedendo a siti Web esterni come OpenID, Yahoo, ecc. Come funziona? Come comunicano i siti web (SE e Yahoo !, ad esempio)? Come fa Yahoo! sai che è davvero stackexchange? In che modo Stack...
posta 17.06.2011 - 17:24
2
risposte

Come pentestire il file Flash su webapp con alowscriptaccess = samedomain?

Nel corso di un pentest ho trovato un file filmato Flash (swf) che carica un altro filmato Flash attraverso loadMovie . L'HTML è questo: <embed width="388" height="350" src="http://www.domain.com/first_flash.swf?videoload=http://www.dom...
posta 07.08.2012 - 21:18
4
risposte

Scenario app JavaScript limitato: vettori di attacco e mitigazione

Svilupperò un'applicazione JavaScript a pagina singola che consente l'input tramite una textarea. Questo input non viene mai inviato al server, non viene mai mostrato a un altro utente e verrà conservato nella memoria del browser solo finché si...
posta 30.10.2012 - 13:34
2
risposte

Se i dati crittografati in un database sono accessibili dall'applicazione, significa che l'applicazione ha la chiave di decodifica?

Sto utilizzando un'applicazione collegata a un database che contiene dati riservati (numeri). Secondo lo sviluppatore, questi dati sono crittografati. Tuttavia, posso facilmente generare un rapporto che mostrerà i numeri in chiaro. In che modo l...
posta 25.07.2013 - 09:00
1
risposta

Le applicazioni Web terminano le stringhe su null-byte

Ho appena eseguito alcuni test di penetrazione su un sito, e ho notato (e ho notato prima, ma ora sembra un buon punto per farlo apparire) che mettere un byte null nella stringa di ricerca in realtà termina la stringa lì. Questo va bene per i...
posta 23.09.2013 - 18:21
4
risposte

Modo più sicuro per la pubblicazione di più utenti su un singolo account di social network

Supponiamo che io abbia una squadra o un'organizzazione che gestisce un singolo account Twitter e una singola pagina Facebook. Utenti diversi devono poter pubblicare contenuti nello stesso account. Come posso ridurre al minimo il rischio che que...
posta 15.03.2013 - 16:29
2
risposte

Cosa deve sapere un programmatore prima dell'audit client del servizio web

Situazione: ho creato un client WS (.net wcf) per il cliente che accede a un servizio Web di terzi (Websphere). Questo WS utilizza HTTPS e ottengo un certificato dal fornitore WS. Funziona tutto bene, ho consegnato il client WS al cliente, il cl...
posta 24.01.2011 - 11:24