Problem sa IIS

Pozdrav svima,

Imamo jedan sajt koji radi sa online placanjem i hakeri se satrase od napadanja ... interesuje me da li mi neko moze nesto reci o tzv loop-hole u IIS - uz pomoc koje hakeri mogu da vide kod ASP stranica na serveru. Sta, kako i kako se zastititi?

Hvala svima,
Ljuba

Potpis

Pozdrav

LJUBA

Kritičnu funkcionalnost izdvojiti u dll pa onda mogu da se slikaju sve dok nemaju pristup istom :) Brojeve kreditnih kartica, lozinke i slično u bazi drži u šifrovanom obliku.
Instaliraj potrebne zakrpe sa windowsupdate.microsoft.com i manje-više si miran.

I ne postavljaj isto pitanje u 5 foruma.

Potpis

Commercial-Free !!!

"Instaliraj potrebne zakrpe sa windowsupdate.microsoft.com
i manje-više si miran."

Bivsi kolega (ima nekoliko MS sertifikata) bez problema provali i vidi i sors i sve :( Nece da kaze kako i sta dok mu gazde ne plate, oni ciganisu i tako ...

Sajt se svakako preradjuje u PHP i bice na Linuxu, ali me interesuje kako se odbraniti od toga na IIS :(

Hvala i cao,

Ljuba

Potpis

Pozdrav

LJUBA

Postoji jedan propust da u slucaju da je na hostu FAT fajl sistem ne procesira .asp kao skript vec ga prikazuje kao obican fajl u slucaju odgovarajuceg upita. Mozda je to u pitanju?
EDIT: Sad sam se setio, postoji i jedan propust sa fajlom http://www.sitename.com/msadc/Samples/SELECTOR/showcode.asp (gde je sitename ime sajta) koji bi mogao da posluzi u ove svrhe. Proveri imas li ovaj fajl.

Potpis

Nebojsa Milanovic:
-Trumpa smatram vrhunskim predsednikom i voleo bih da živim u državi na čijem je on čelu
-Rusija ne laže, ne vodi osvajačke ratove
-Trump je svetla tačka u USA blatu
-Elon Musk, možda najpametniji i najtrezveniji Amerikanac

Cao,

Nema showcode.asp (ni showsource.asp kao sto bude u instalaciji Perla).

Sajt najnormalnije radi ali taj bivsi kolega uspeva da pristupi sajtu i da vidi i imena fajlova i njihov sadrzaj - kao da nema default dokumenta a da je browse omoguceno ...

Na MS kursu je to naucio da bi sebe i svoje sajtove zastitio ali isto tako moze i druge da provaljuje :(

Potpis

Pozdrav

LJUBA

Hm, jeste li pokušali da pokrenete LockDown 2.1 (koji možete da preuzmete sa microsoft.com) i tako zaključate nepotrebne stvari na serveru? Obavezno.

Potpis

Commercial-Free !!!