Foros del Web » Programando para Internet » ASP Clásico »

¿Como impedir la opcion "ver codigo fuente"?

Estas en el tema de ¿Como impedir la opcion "ver codigo fuente"? en el foro de ASP Clásico en Foros del Web. Hola. Kisiera saber komo puede impedirle a un usuario ke vea el codigo fuente de mi pag. tengo una funcion ke es para desabilitar el ...
  #1 (permalink)  
Antiguo 22/02/2006, 08:40
 
Fecha de Ingreso: febrero-2006
Mensajes: 98
Antigüedad: 19 años, 3 meses
Puntos: 0
¿Como impedir la opcion "ver codigo fuente"?

Hola.
Kisiera saber komo puede impedirle a un usuario
ke vea el codigo fuente de mi pag.
tengo una funcion ke es para desabilitar el boton derecho del mouse.

<!--PARA DESABILITAR EL BOTON DERECHO DEL MOUSE!!!!!!!!-->

<SCRIPT language=JavaScript>
<!--
function click(){
if(event.button==2){
alert('Boton derecho deshabilitado');
}
}
document.onmousedown=click
//-->
</SCRIPT>

....
por si a alguien le sirve....
hay alguna forma de solo desabilitar la opcion "ver codigo fuente"?.
  #2 (permalink)  
Antiguo 22/02/2006, 08:49
Avatar de ElAprendiz  
Fecha de Ingreso: enero-2002
Ubicación: Maipu, Chile
Mensajes: 3.706
Antigüedad: 23 años, 3 meses
Puntos: 2
no hay manera.
si desabilitas el boton derecho, pueden verlo con la opcion menu->ver->codigo fuente

hay maneras de hacerlo mas dificil...por ejemplo codificando mira este post
http://www.forosdelweb.com/f15/codificador-scripts-genuino-microsoft-372490/

saludos
__________________
Manual de ASP Avanzado ;-)
  #3 (permalink)  
Antiguo 22/02/2006, 08:58
 
Fecha de Ingreso: febrero-2006
Mensajes: 98
Antigüedad: 19 años, 3 meses
Puntos: 0
es ke hay ciertos datos...
komo el string de conexion a la base de datos,el kual no kiero ke se vea
  #4 (permalink)  
Antiguo 22/02/2006, 09:00
Avatar de ElAprendiz  
Fecha de Ingreso: enero-2002
Ubicación: Maipu, Chile
Mensajes: 3.706
Antigüedad: 23 años, 3 meses
Puntos: 2
what???

si tu string esta dentro de <% %> no deberia verse.
__________________
Manual de ASP Avanzado ;-)
  #5 (permalink)  
Antiguo 22/02/2006, 09:02
Avatar de ElAprendiz  
Fecha de Ingreso: enero-2002
Ubicación: Maipu, Chile
Mensajes: 3.706
Antigüedad: 23 años, 3 meses
Puntos: 2
a menos claro que estes usando un archivo .inc para crear la conexion, lo cual no es recomendable. en tal caso renombralo a .asp
__________________
Manual de ASP Avanzado ;-)
  #6 (permalink)  
Antiguo 22/02/2006, 09:03
 
Fecha de Ingreso: febrero-2006
Mensajes: 98
Antigüedad: 19 años, 3 meses
Puntos: 0
si se ve.....
y la pag es ".asp".
y esta entre <% %>.
  #7 (permalink)  
Antiguo 22/02/2006, 09:05
Avatar de ElAprendiz  
Fecha de Ingreso: enero-2002
Ubicación: Maipu, Chile
Mensajes: 3.706
Antigüedad: 23 años, 3 meses
Puntos: 2
y el servidor esta ejecutando la pagina?

mejor pon el codigo.
__________________
Manual de ASP Avanzado ;-)
  #8 (permalink)  
Antiguo 22/02/2006, 09:10
 
Fecha de Ingreso: febrero-2006
Mensajes: 98
Antigüedad: 19 años, 3 meses
Puntos: 0
oka.
si la ejecuta)

<script LANGUAGE="JavaScript">
<!-- Original: Ronnie T. Moore -->
<!-- Begin
function textCounter(field, countfield, maxlimit) {
if (field.value.length > maxlimit) // if too long...trim it!
field.value = field.value.substring(0, maxlimit);
// otherwise, update 'characters left' counter
else
countfield.value = maxlimit - field.value.length;
}
// End -->
</script>

</head>

<body>
<!--PARA DESABILITAR EL BOTON DERECHO DEL MOUSE!!!!!!!!-->

<SCRIPT language=JavaScript>
<!--
function click(){
if(event.button==2){
alert('Boton derecho deshabilitado');
}
}
document.onmousedown=click
//-->
</SCRIPT>

<!--#include File="../adovbs.inc" -->
<form>
<%Set connection=Server.CreateObject("ADODB.Connection")
set rs = CreateObject("ADODB.Recordset")
'set con = CreateObject("ADODB.Recordset")
connection.ConnectionString="Driver={SQL Server};Server=192.xxx.xx.xx;User Id=xxx; password='ddd'"
connection.Mode=3
connection.open
SQL = " trabajo.dbo.seleccionar_usuario'" & session("usuario") & "'"
rs.Open SQL, connection,1,2
'ARREGLAR....-----
'SQL2 = " trabajo.dbo.seleccionar_consulta'" & session("usuario") & "'"
'con.Open SQL2, connection,1,2%>
<div align="center">

<p><img src="dddddddd.JPG" width="491" height="84"></p>
<p class="style1 style12">Solicitud Abierta</p>
<table width="285" height="262" border="1" align="center" bordercolor="#999999">
<tr>
<td width="131" bordercolor="#FFFFFF" class="style1 style2"><div align="right" class="style4">Nro Solicitud :</div>
</td>
<td width="138" bordercolor="#FFFFFF" class="style1 style2"><div align="left">
<%con("nro_solic")%>
</div></td>
</tr>
<tr>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="right"></div>
<div align="right" class="style4">Usuario ID :</div></td>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="left">
<%rs("id")%>
</div></td>
</tr>
<tr>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="right"></div>
<div align="right" class="style4">Nombre :</div></td>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="left">
<%rs("describ")%>
</div></td>
</tr>
<tr>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="right" class="style4">Telefono :</div></td>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="left">
<%rs("anexo")%>
</div></td>
</tr>
<tr>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="right" class="style4">E-mail :</div></td>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="left">
<%rs("correo")%>
</div></td>
</tr>
<tr>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="right" class="style4">Oficina :</div></td>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="left">
<%rs("oficina")%>
</div></td>
</tr>
<tr>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="right" class="style4">Fecha :</div></td>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="left">
<%con("fecha_solic")%>
</div></td>
</tr>
<tr>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="right" class="style4">Centro de Costo :</div></td>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="left">
<%con("nom_centro")%>
</div></td>
</tr>
<tr>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="right" class="style4">Urgencia :</div></td>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="left">
<%con("urgencia")%>
</div></td>
</tr>
<tr>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="right" class="style4">Asunto :</div></td>
<td bordercolor="#FFFFFF" class="style1 style2"><div align="left">
<%con("asunto")%>
</div></td>
</tr>
</table>
<table width="286" height="130" border="1" bordercolor="#999999">
<tr>
<td width="276" height="23" bordercolor="#FFFFFF" class="style3"><div align="left" class="style4">Detalle : </div></td>
</tr>
<tr>
<td bordercolor="#FFFFFF">&nbsp;</td>
</tr>
</table>
<table width="547" height="140" border="0">
<tr>
<td width="122" height="23"><div align="right"><span class="style8">Respuesta : </span></div></td>
<td width="298" rowspan="3"><div align="left">
<p><span class="style15">(maximo 125 caracteres)</span>
<textarea name="textarea" cols="33" rows="8" onKeyDown="textCounter(this.form.textarea,this.for m.remLen,125);"
onKeyUp="textCounter(this.form.textarea,this.form. remLen,125);"></textarea>
<input readonly type="text" name="remLen" size="3" maxlength="3" value="125">
<span class="style15">caracteres</font> </span></p>
</div></td>
<td width="105" rowspan="3">&nbsp;</td>
</tr>
<tr>
<td>&nbsp;</td>
</tr>
<tr>
<td>&nbsp;</td>
</tr>
</table>
<table width="550" border="0" align="center">
<tr>
<td width="85"><div align="right"><span class="style11">Adjunto :</span></div></td>
<td width="330"><input name="textfield" type="text" size="55"></td>
<td width="113"><input name="Submit" type="submit" class="style6" value=" Examinar... "></td>
</tr>
</table>

<table width="294" height="46" align="center">
<tr>
<td width="132"><div align="center">
<input name="Submit" type="button" onclick="location.href = 'menu_principal.asp'" class="style6" value=" Men&uacute; ">
</div></td>
<td width="146"><div align="center">
<input name="Submit" type="submit" class="style6" value=" Guardar ">
</div></td>
</tr>
</table>
<p class="style1">&nbsp;</p>
<p>&nbsp;</p>
</div>
</form>
</body>
</html>
no kiero ke se vea lo rojo
  #9 (permalink)  
Antiguo 22/02/2006, 09:15
Avatar de ElAprendiz  
Fecha de Ingreso: enero-2002
Ubicación: Maipu, Chile
Mensajes: 3.706
Antigüedad: 23 años, 3 meses
Puntos: 2
no pues, es raro. y esa es la unica parte que te muestra? lo que esta en rojo
__________________
Manual de ASP Avanzado ;-)
  #10 (permalink)  
Antiguo 22/02/2006, 09:19
 
Fecha de Ingreso: febrero-2006
Mensajes: 98
Antigüedad: 19 años, 3 meses
Puntos: 0
nop...me muestra todo el codigo.
  #11 (permalink)  
Antiguo 22/02/2006, 09:26
Avatar de ElAprendiz  
Fecha de Ingreso: enero-2002
Ubicación: Maipu, Chile
Mensajes: 3.706
Antigüedad: 23 años, 3 meses
Puntos: 2
si te lo muestra todo es por que no te la esta ejecutando. por que dices que si te la ejecuta en que lo notas?

como dice el amigo myakire "tienes que debugear". prueba algo copia todo el codigo a otra pagina temporal y coloca esto en la original. es para revisar si te esta ejecutando el codigo.



<HTML>
<HEAD></HEAD>
<BODY>
<%response.write "este script funciona"%>
</BODY>

deberia mostrarte en pantalla "este script funciona". si no es que hay algo malo en tu servidor


saludos
__________________
Manual de ASP Avanzado ;-)
  #12 (permalink)  
Antiguo 22/02/2006, 09:31
Avatar de 3pies
Colaborador
 
Fecha de Ingreso: diciembre-2003
Ubicación: Desde una destilería
Mensajes: 2.584
Antigüedad: 21 años, 5 meses
Puntos: 144
¿¿¿Otro fenómeno poltergeist????.

A_girl, imagina que tienes una hoja de cálculo donde en la celda A3 tienes esta fórmula:

=suma(A1:A2)

En la celda A1, y A2 tienes respectivamente estas cifras: 1, y 4.

¿Cuánto vale la suma?. Mmmmm, pues 1+4=5

Por tanto, en la celda A3, el resultado será 5.

¿Y en qué se parece esto a ASP?. Pues en que cuando programas en ASP, tu estás poniendo algo similar a esa fórmula =suma(A1:A2), pero cuando el usuario ve el código fuente de esa página, lo que ve es precisamente el resultado de esa fórmula (siguiendo con el ejemplo, lo que vería es la cifra 5).

Conclusión: El usuario no puede ver jamás de los jamases tu cadena de conexión, ni nada que haya entre <% y %>

Editado: Por cierto, ese código en javascript, para deshabilitar el botón derecho del mouse, tiene un pequeño problema: Mira que pasa si pulsas el botón izquierdo (he dicho izquierdo, sí) del mouse, y sin soltarlo, pulsas de nuevo el botón derecho. Mmmmm, vaya, ¡¡¡¡parece que no hace bien su trabajo ese script!!!.
  #13 (permalink)  
Antiguo 22/02/2006, 09:39
Avatar de richardinj  
Fecha de Ingreso: enero-2005
Ubicación: Ciber Espacio
Mensajes: 2.180
Antigüedad: 20 años, 3 meses
Puntos: 11
Creo que se refiere a ocultar el codigo fuente real... porque es imposible que se vea ese codigo (ASP) del lado del Cliente...

Que raro ha.. quisas el servidor no soporta ASP.. . pero lo que llega al cliente es 100% HTML y/o javascript.... a lo mas podrias bloquear para que no vean el codigo fuente HTML (Foro javascript).. aunque solo serviria para que los novatos no lo vean.

El codigofuente que muestras POST#8 es del lado del servidor, si no quieres que lo vean.. pues que no tengan acceso al servidor web... "Politicas de seguridad" o elaborate un "Plan de Seguridad informatica (PSI)"... je


Saludos.


Saludos.
  #14 (permalink)  
Antiguo 22/02/2006, 10:02
Avatar de sjam7  
Fecha de Ingreso: diciembre-2001
Ubicación: Guadalajara, Mexico
Mensajes: 3.672
Antigüedad: 23 años, 4 meses
Puntos: 16
podrias poner la pagina donde dices que se ve el codigo?

el ASP no se muestra en el lado del cliente a menos que el servidor no lo soporte o que no este escrito entre las llaves <% y %>
  #15 (permalink)  
Antiguo 22/02/2006, 10:29
Avatar de El_Metallick  
Fecha de Ingreso: noviembre-2002
Ubicación: Santiago, Chile
Mensajes: 1.718
Antigüedad: 22 años, 6 meses
Puntos: 16
Cita:
Iniciado por richardinj
Creo que se refiere a ocultar el codigo fuente real... porque es imposible que se vea ese codigo (ASP) del lado del Cliente....
Estas seguro amigo mio??? la verdad de las cosas es que han habido problemas de seguridad con el IIS que han permitido a un "usuario" ver el codigo real de una pagina ASP y si das vuelta por la red aun hay servidores con uno que otro oyo de seguridad...

Procedo a contarles lo que incumbe a la seguridad

Febrero del 2000

Cita:
El problema


Como todos sabemos, cuando escribimos una URL que contiene una página ASP (Active Server Pages) en nuestro navegador, lo que obtenemos no es el contenido de la misma, como ocurre en las páginas HTML, sino que obtenemos el resultado de la ejecución de la página ASP que hemos solicitado. Hasta aquí nada nuevo.


Pero existe un agujero de seguridad en el servidor Web de Microsoft Internet Information Server 4 (IIS 4). Este fallo en la seguridad de IIS 4 consiste en que es posible que un cliente (navegador Web) pueda descargar o visualizar el contenido de una página ASP, es decir, puede obtener el código fuente completo de la página ASP, de la misma forma que lo podemos ver cuando desarrollamos aplicaciones Web con Visual InterDev. Lo mismo ocurre con el fichero GLOBAL.ASA.


Este ataque se realiza cuando al final de la URL que contiene una petición de una página ASP añadimos la siguiente cadena ::$DATA. Es decir, si por ejemplo tenemos la siguiente página ASP http://almagesto.com/entradaprivada.asp, para obtener el código fuente de dicha página ASP simplemente escribiremos lo siguiente: http://almagesto.com/entradaprivada.asp::$DATA.


El problema del literal $DATA es debido a que los ficheros del servidor Web se encuentran en un sistema de ficheros NTFS (NT File System), y este sistema de ficheros posee un valor por defecto denotado por el sufijo ::$DATA que se corresponde con el contenido del fichero, y al añadirlo a una URL de una página ASP no se respetan los mapeos que realiza IIS y permite que el servidor devuelva el contenido de la página ASP tal cual, en lugar de ejecutarla como sería lo normal y deseable.


La solución


Que no cunda el pánico, existen varias soluciones posibles al problema, ya que se trata de un problema conocido. Estas soluciones se encuentran extraídas de la base de conocimiento de artículos del sitio Web de Microsoft. Para más información sobre este tema se pueden consultar los siguientes artículos en el sitio Web de Microsoft: http://support.microsoft.com/support.../q193/7/93.ASP y http://support.microsoft.com/support.../Q188/8/06.ASP.


Una de las soluciones, y la más artesanal e inmediata, es mapear la extensión .asp::$DATA dentro de nuestro sitio Web. Para ello se debe abrir la página de propiedades del sitio Web y en la pestaña Directorio particular pulsar el botón Configuración. Y en la pestaña Asignaciones para la aplicación debemos mapear la extensión .asp::$DATA al fichero encargado de ejecutar las páginas ASP, es decir, la libreria ASP.DLL. Lo mismo debemos hacer con la extensión .asa::$DATA. El resultado de esta configuración se puede ver en la siguiente imagen.





Otra solución más rigurosa es instalar el Service Pack 4 de Windows NT o superior (el último es el SP 5). Este Service Pack corrige esta situación anómala en la ejecución de las páginas ASP. Se debe señalar que si tenemos ya instalado el Service Pack 4 de NT o superior, e instalamos Internet Information Server 4, deberemos volver a instalar el Service Pack para que repare los diferentes fallos que presenta IIS 4.


Y la última de las soluciones es utilizar la nueva versión de Internet Information Server, que se denomina Internet Information Services 5 y se encuentra dentro del sistema operativo Windows 2000 Server. IIS5 entre otras muchas mejoras soluciona este problema de seguridad.
__________________
Haz la guerra en la cama y el amor donde se te de la gana...
El tiempo es el mejor maestro, lo único malo es que te mata...¡¡Aprovecha tu tiempo!!
  #16 (permalink)  
Antiguo 22/02/2006, 10:30
Avatar de El_Metallick  
Fecha de Ingreso: noviembre-2002
Ubicación: Santiago, Chile
Mensajes: 1.718
Antigüedad: 22 años, 6 meses
Puntos: 16
Abril del 2000

Cita:
El problema


Volvemos a encontrarnos con otro importante fallo en la seguridad de las páginas ASP (Active Server Pages), remito al lector al artículo de Algoritmo del mes de Febrero (número 54) en el que se trataba otro agujero en la seguridad de las páginas activas.


En este caso el problema es muy similar al descrito en el artículo del mes de Febrero. Aunque en el caso que nos ocupa el causante del fallo en la seguridad es otro, el efecto es el mismo, es decir, mediante el agujero en la seguridad que comentamos en este artículo es posible visualizar en el navegador Web el código fuente de las páginas ASP contenidas en un servidor Web.


El causante de este problema es el servidor de búsquedas en páginas Web Index Server, este fallo lo presenta tanto la versión contenida en Windows NT 4.0 a través de la extensión del sistema operativo Windows NT Option Pack, como la versión contenida dentro del nuevo sistema operativo Windows 2000 Server. En Windows NT 4.0 el motor de búsquedas se denomina Index Server 2.0 y dentro de Windows 2000 lo podemos encontrar integrado como un servicio denominado Indexing Services.


Recuerdo al lector que Index Server es el motor de búsquedas de Internet Information Server (IIS) y que lo utilizamos para definir consultas para realizar búsquedas de páginas en nuestro servidor Web.


Precisamente el ataque a la seguridad de las páginas ASP consiste en definir un tipo de búsqueda para Index Server que lo que hace realmente es devolvernos el contenido de la página ASP que indiquemos.


La librería que provoca este error que permite obtener el código fuente de las páginas ASP es llamada WebHits.dll.


Para comprobar si nuestro servidor Web posee este fallo en la seguridad deberemos escribir la siguiente URL en un navegador Web:


http://www.sitioWeb.com/null.htw?CiWebHitsFile=/paginaASP.asp%20&
CiRestriction=none&CiHiliteType=Full


Así si queremos ver el código de la página EntradaPrivada.asp contenida en el sitio Web del Campus Virtual Almagesto, escribiremos:


http://www.almagesto.com/null.htw?CiWebHitsFile=/EntradaPrivada.asp%20&
CiRestriction=none&CiHiliteType=Full


La solución


Al igual que ocurría en el artículo de Febrero, existe una solución (como para casi todo), y está solución es muy sencilla y consiste simplemente en obtener los parches que ofrece Microsoft para Index Server e instalarlos en nuestro servidor Web.


El parche para Index Server 2.0 de Windows NT 4.0 lo podemos encontrar en la siguiente URL.


http://www.microsoft.com/downloads/r...eleaseID=17727


Y el parche para Indexing Services de Windows 2000 está disponible en esta otra dirección de Internet.


http://www.microsoft.com/downloads/r...eleaseID=17726


Para obtener información complementaria a este fallo en la seguridad de las páginas ASP se pueden consultar las siguientes direcciones del sitio Web de Microsoft.



http://www.microsoft.com/technet/sec...n/ms00-006.asp
http://www.microsoft.com/technet/support/kb.asp?ID=251170
__________________
Haz la guerra en la cama y el amor donde se te de la gana...
El tiempo es el mejor maestro, lo único malo es que te mata...¡¡Aprovecha tu tiempo!!
  #17 (permalink)  
Antiguo 22/02/2006, 10:31
Avatar de El_Metallick  
Fecha de Ingreso: noviembre-2002
Ubicación: Santiago, Chile
Mensajes: 1.718
Antigüedad: 22 años, 6 meses
Puntos: 16
Abril 2001

Cita:
El problema


De nuevo nos volvemos a encontrar con un fallo en la seguridad del servidor Web de Microsoft Internet Information Server, es decir, este sería el tercer artículo en la serie de artículos de los ofrecidos hasta la fecha acerca de los ataques o agujeros en la seguridad de aplicaciones Web basadas en ASP, los anteriores se pueden ver los meses de Febrero y Abril del pasado año.


El problema en la seguridad resulta muy sencillo y consiste en que se permite visualizar en el navegador Web el código fuente completo del fichero GLOBAL.ASA de una aplicación Web. El código nunca se podrá modificar, pero si es completamente visible para el usuario conectado.


Esto significa que el contenido de nuestro fichero GLOBAL.ASA de una aplicación Web puede ser de dominio público, quienes hallan desarrollado alguna aplicación Web basada en ASP comprenderán la gravedad del asunto. En el fichero GLOBAL.ASA muchas veces se suelen almacenar las contraseñas y usuarios para el acceso a bases de datos así como otra información de gran utilidad para la aplicación Web correspondiente.


Por lo tanto cualquier persona podrá descubrir con un mínimo esfuerzo los usuarios y sus contraseñas correspondientes para realizar conexiones con la bases de datos de la aplicación.


Decimos el contenido del fichero GLOBAL.ASA puede quedar al descubierto con un mínimo esfuerzo ya que el ataque simplemente consiste en añadir al nombre del fichero GLOBAL.ASA la cadena ".htr", así por ejemplo si escribimos la siguiente URL en nuestro navegador: http://www.almagesto.com/global.asa+.htr, aparentemente veríamos una página en blanco en nuestro navegador, pero si seleccionamos la opción de menú del navegador Ver|Código Fuente aparecerá ante nuestros ojos el código fuente completo del fichero GLOBAL.ASA del Campus Virtual Almagesto.


Para poder visualizar el contenido del fichero GLOBAL.ASA de cualquier sito Web únicamente tenemos que escribir la siguiente URL:
http://www.sitioWeb.com/global.asa+.htr


Este fallo en la seguridad lo presenta Internet Information Server tanto en su versión 4 para Windows NT como en su versión 5 para Windows 2000.


La solución


Para este ataque tan sencillo existe también una solución muy sencilla, que consiste en eliminar el reconocimiento de la extensión .HTR por parte del servidor Web Internet Information Server. Esto no supone ningún problema ya que la extensión no suele ser utilizada casi nunca, es una extensión que se incluyó con el Internet Information Server en su versión 2.0 y pretendía introducir una nueva tecnología de script que nunca llegó a utilizarse demasiado. Por lo tanto lo más seguro es deshabilitar el soporte de ficheros HTR.


Para eliminar el soporte de ficheros HTR de nuestro IIS debemos acudir al Administrador de servicios de Internet, y dentro del mismo a la página de propiedades del servidor, esto lo conseguimos pulsando con el botón derecho del ratón sobre el nombre de la máquina del servidor y seleccionado la opción propiedades.





Una vez en la página de propiedades generales del servidor seleccionamos el servicio Web de la lista desplegable y pulsamos sobre el botón Modificar y entre las múltiples páginas de propiedades que aparecen seleccionamos la hoja de propiedades llamada Directorio particular.






Dentro de la hoja de propiedades de Directorio particular pulsamos el botón etiquetado como Configuración, en ese momento aparecerán las distintas extensiones de fichero que reconoce el servidor Web IIS y el programa que tiene asociado para cada extensión. Ahora no tenemos nada más que situarnos sobre la extensión .htr y pulsar el botón de Quitar. Con este sencillo proceso habremos eliminado este agujaeor en la seguirad de IIS.





Además de esta solución, que es la recomendada por la propia compañía, podemos instalar una serie de parches que ofrece Microsoft para solventar el problema.


El parche para Internet Information Server 4 de Windows NT 4.0 lo podemos encontrar en la siguiente URL.


http://www.microsoft.com/downloads/release.asp?ReleaseID=22709


Y el parche para Internet Information Server 5 de Windows 2000 está disponible en esta otra dirección de Internet.


http://www.microsoft.com/downloads/release.asp?ReleaseID=22708


En el caso del sistema operativo Windows 2000 tenemos otra alternativa más que consiste en instalar el parche del sistema operativo, es decir, el Service Pack 1 de Windows 2000.


Más información sobre este agujero en la seguridad del servidor Web Internet Information Server se puede obtener en la siguiente dirección:


http://www.microsoft.com/technet/security/bulletin/fq00-044.asp
Eso saludos

PD: No me cabia todo en uno por eso los 3 post Sorry a las autoridades ^^
__________________
Haz la guerra en la cama y el amor donde se te de la gana...
El tiempo es el mejor maestro, lo único malo es que te mata...¡¡Aprovecha tu tiempo!!
  #18 (permalink)  
Antiguo 22/02/2006, 10:55
Avatar de 3pies
Colaborador
 
Fecha de Ingreso: diciembre-2003
Ubicación: Desde una destilería
Mensajes: 2.584
Antigüedad: 21 años, 5 meses
Puntos: 144
El_Metallick, hombre... nos referimos a que no se puede ver el código fuente "en condiciones normales" de uso. Sin artimañas, triquiñuelas, ni sin utilizar herramientas de hacking, o aprovechando errores del servidor.
  #19 (permalink)  
Antiguo 22/02/2006, 11:05
Avatar de El_Metallick  
Fecha de Ingreso: noviembre-2002
Ubicación: Santiago, Chile
Mensajes: 1.718
Antigüedad: 22 años, 6 meses
Puntos: 16
jajajaj si lo se pero me parecio pertinente hacer el alcance... en todo caso comparto con ustedes que es muy raro que se vea el codigo de la pagina y no el resultado de su ejecucion... saludos
__________________
Haz la guerra en la cama y el amor donde se te de la gana...
El tiempo es el mejor maestro, lo único malo es que te mata...¡¡Aprovecha tu tiempo!!
  #20 (permalink)  
Antiguo 22/02/2006, 11:17
 
Fecha de Ingreso: enero-2006
Ubicación: Torroles (Costa der Só)
Mensajes: 1.017
Antigüedad: 19 años, 4 meses
Puntos: 7
Y supongo que todas esas fallas de seguridad son aplicables a PHP corriendo en IIS en modo ISAPI. ¿No es asi? Me resulta tan deprimente este Microsoft



Un saludo
  #21 (permalink)  
Antiguo 22/02/2006, 11:40
Avatar de 3pies
Colaborador
 
Fecha de Ingreso: diciembre-2003
Ubicación: Desde una destilería
Mensajes: 2.584
Antigüedad: 21 años, 5 meses
Puntos: 144
Aunque no venga a cuento, el ejemplo de El_Metallick me recuerda a una situación real ocurrida con cierta compañía de seguros norteameriacana, a la que le pasó lo siguente:

En cierta ocasión, una mujer lavó a su perro, y para secarlo, no se le ocurrió nada mejor que cogerlo, y meterlo en el microondas un tiempo prudencial (ni idea del tiempo que lo tuvo, pero ya podeis imaginar como acabó el perro). Tras el sonido de "pinnnn", que indicaba que "el producto" se podía sacar ya del microondas, la mujer vió horrorizada que su perro la había palmado.

Ante esta situación, no se le ocurrió otra cosa que demandar judicialmente al fabricante del microondas, porque en el manual de instrucciones no ponía que no se podían introducir animales para que se secaran. ¿Qué quien ganó?. Pues la mujer (ya sabemos como está la justicia norteamericana).

A partir de entonces, en muchos países (especialmente en USA, donde hay mucho "cazurro") las marcas de microondas, ya indican bien claramente en su manual de instrucciones, que no se pueden introducir animales dentro.

Aunque evidentemente, este ejmplo no sea comparable al tema del post, viene a cuento de eso que entrecomillaba en mi anterior post: "en condiciones normales de uso", jajajajajajaaja.
  #22 (permalink)  
Antiguo 22/02/2006, 12:36
Avatar de richardinj  
Fecha de Ingreso: enero-2005
Ubicación: Ciber Espacio
Mensajes: 2.180
Antigüedad: 20 años, 3 meses
Puntos: 11
Solucion : IIS6
  #23 (permalink)  
Antiguo 22/02/2006, 12:45
Avatar de ElAprendiz  
Fecha de Ingreso: enero-2002
Ubicación: Maipu, Chile
Mensajes: 3.706
Antigüedad: 23 años, 3 meses
Puntos: 2
Cita:
Solucion : IIS6
solucion a que??
__________________
Manual de ASP Avanzado ;-)
  #24 (permalink)  
Antiguo 22/02/2006, 13:30
Avatar de El_Metallick  
Fecha de Ingreso: noviembre-2002
Ubicación: Santiago, Chile
Mensajes: 1.718
Antigüedad: 22 años, 6 meses
Puntos: 16
probablemente pero te aseguro que se descubriran nuevas fallas en IIS6 y asi siempre va a ser mientras aya esa pelea entre el "Hacker" y las compañias de sftware.... ahora en cuanto a lo que comenta 3pies... jajajja me rei con tu ejemplo pero no creo que represente del todo lo que aqui paso... el alcance lo hice porque me parecia importante destacarlo para corregir lo de "IMPOSILE" ya que no lo es... ademas no creo que para nadie este demas saberlo y revisar su IIS sobre todo para usuarios de SO como Windos 2000.... saludos
__________________
Haz la guerra en la cama y el amor donde se te de la gana...
El tiempo es el mejor maestro, lo único malo es que te mata...¡¡Aprovecha tu tiempo!!
  #25 (permalink)  
Antiguo 22/02/2006, 19:10
Avatar de Myakire
Colaborador
 
Fecha de Ingreso: enero-2002
Ubicación: Centro de la república
Mensajes: 8.849
Antigüedad: 23 años, 3 meses
Puntos: 146
Hombre, El_Metallick, ese era un problema de hace aaaños, la verdad es que si fue algo serio en ese entonces (www.barrapunto.com fue el primer medio que yo sepa en comentarlo), pero ahora, a menos que no se haya descargado una sola actualización desde entonces ....

Bueno, lo cierto es que a este usuario a_girl le pasan las cosas más extrañas del mundo, cosas que sinceramente, hay que ver (estar ahí) para creer.
  #26 (permalink)  
Antiguo 22/02/2006, 20:00
Avatar de u_goldman
Moderador
 
Fecha de Ingreso: enero-2002
Mensajes: 8.031
Antigüedad: 23 años, 4 meses
Puntos: 98
Es verdad, ya ni me acordaba de este problemilla...pero bueno, no esta de mas tampoco, puede ser que nuestro amigo tenga su aplicacion corriendo bajo NT 4.0, yo no olvido mi Win98 segunda edicion con su poderoso PWS

Saludos!
__________________
"El hombre que ha empezado a vivir seriamente por dentro, empieza a vivir más sencillamente por fuera."
-- Ernest Hemingway
Atención: Estás leyendo un tema que no tiene actividad desde hace más de 6 MESES, te recomendamos abrir un Nuevo tema en lugar de responder al actual.
Respuesta




La zona horaria es GMT -6. Ahora son las 06:38.