Ma se i clienti hanno il diritto di essere dei somari (anzi, forse addirittura il dovere, quasi un attributo antropologico), è incredibile che ancora oggi ci siano developers che non conoscono affatto i principi di programmazione sicura, non conoscono se non in modo superficiale (o per sentito dire) le vulnerabilità più comuni e gli effetti devastanti che esse generano.

Il risultato è che ancora oggi gli attacchi più clamorosi vengono portati a causa di un parametro passato alla query SQL senza essere stato prima bonificato, o di un dato sensibile memorizzato in chiaro, magari in un campo “nascosto” di una pagina html!

Il Mitre, in collaborazione con Sans Institute, ha pubblicato la lista dei 25 errori più comuni e pericolosi che commettono i programmatori, errori che aprono le porte agli attacchi più clamorosi, riportati ormai ampiamente dalla stampa non specializzata e pubblicati nelle prime pagine e nei notiziari più importanti.

Di questa lista ho estrapolato gli 8 errori più comuni commessi dagli sviluppatori nell’ambito dello sviluppo web, presentadoli con alcune note descrittive:

1. SQL-Injection: probabilmente la vulnerabilità più pericolosa degli ultimi anni (e del momento), causa pricipale dei clamorosi hacking degli ultimi tempi. Si tratta della possibilità del pirata di introdurre codice SQL per sovvertire la logica dell’accesso ai dati del database con risultati devastanti.

2. Command Injection: altro problema legato all’insufficiente validazione dell’input utente, che permette al pirata di introdurre comandi che saranno eseguiti direttamente dal sistema operativo.

3. Buffer Overflow: in questo caso ad essere prese alla leggera sono le dimensioni dell’input; se il pirata riesce a sfruttare un buffer-overflow può (fornendo un payload appositamente creato) iniettare codice macchina nel computer colpito, costringedolo a eseguire le istruzioni da lui inserite. Per approfondimenti rimando all’articolo sul buffer overflow che scrissi alcuni anni fa.

4. Cross-site Scripting: questa volta la validazione dell’input porta all’inserimento da parte del pirata di codice (per esempio Javascript) che verrà eseguito nel browser dell’utente al momento della visualizzazione della pagina web, azione che potrebbe per esempio finalizzarsi con il furto di un cookie di autenticazione, cosa che permetterebbe al pirata di accedere ad un servizio web (come una webmail per esempio) senza conoscere la password della vittima.

5. Mancanza di autenticazione: gli ingressi principali di un’azienda o di un edificio pubblico sono presidiati da agenti, da dispositivi biometrici o tornelli; altri accessi secondari invece vengono lasciati sguarniti (“chi vuoi che ci passi qui?”). In una web application spesso i programmatori adottano le corrette misure di autenticazione sulle pagine di front-end, ma dimenticano di adottarle su altri canali, cosa assai gradita ai pirati.

6. Mancanza di autorizzazione: non basta autenticare un utente, bisogna anche assicurarsi che abbia le necessarie autorizzazioni per compiere particolari azioni. Il fatto che abbia effettuato il login correttamente non gli conferisce il diritto di accedere anche ad aree riservate, di amministrazione e di sistema.

7. Informazioni sensibili non cifrate: altro grave errore che viene ancora commesso dai programmatori è quello di non proteggere con la crittografia informazioni sensibili. Tutto ciò che è dato sensibili che viaggi attraverso la rete o venga memorizzato da qualche parte, deve essere cifrato. Per esempio, le password devono essere memorizzate nel database in formato cifrato, tramite un algoritmo di hash non reversibile e possibilmente salted.

8. Errori nella gestione dell’upload: uno degli incubi più grandi per i programmatori di web-applications è quello di gestire gli upload di file da parte degli utenti, cercando di evitare che l’utente invii al server documenti non autorizzati, per esempio script che potrebbero contenere backdoor sfruttabili dal pirata per accedere al sistema.

A questi errori si aggiungono le ingenuità, di chi per esempio pretende di proteggeere i propri dati sviluppando da zero un algoritmo crittografico, o di chi testardamente decide di reinventare la ruota, ignorando che probabilmente la ruota è già stata inventata, e ottenendo spesso risultati poco efficienti (tipo ruota quadrata…).

Come si vede, gran parte degli errori di programmazione elencati qui sopra possono essere riassunti in 3 categorie: validazione degli input, autenticazione/autorizzazione, crittografia.

Considerando che la rete, le applicazioni web e mobili sono sempre più al centro dello sviluppo della civiltà globale, sarebbe opportuno accrescere il livello di sicurezza dei software partendo dalla base, ovvero lo sviluppo, sensibilizzando gli sviluppatori e includendo le tematiche di programmazione sicura nei percorsi formativi dei programmatori di domani.

Segnala presso:

Tutto molto comodo e molto bello, ma in alcuni casi è necessario sviluppare applicazioni più leggere, sottosistemi che non necessitano di tutto l’armamentario offerto dai framework.

Il professionista deve essere in grado di destreggiarsi nelle varie fasi dello sviluppo anche quando non viene preso per mano e condotto nelle insidiose strade dello sviluppo web dalla rassicurante mano del framework.

Agli sviluppatori avventurosi voglio indicare alcune librerie che secondo me possono essere utili nello sviluppio di applicazioni che non necessitano di tutta la complessità di un framework:

1. ADOdb
http://adodb.sourceforge.net/
ADOdb è un database abstraction library. Permette di scrivere applicazioni che necessitano di accesso al database in modo astratto. Questo significa che un’applicazione scritta per MySql può essere facilmente portata su PostgreSQL (e altri). Esiste anche una versione per Python.

2. EASY PHP Validation
http://www.phpclasses.org/package/3737-PHP-Validate-and-fetch-request-and-other-value-types-.html#author
Un dei punti cruciali di un’applicazione web è la validazione degli input. Questa libreria consente di validare i casi più comuni (numeri,alfanumerici,email,indirizzi IP…), consente di validare anche la lunghezza (minima e massima), e può fornire un valore di default ai campi non definiti.

3. KLogger
http://codefury.net/projects/klogger/
Utile e semplice da implementare, mette a disposizione del programmatore le funzioni base per effettuare il log delle attività, utile per tener traccia del comportamento dell’applicazione, ma utilissima anche per semplificare il debug.

4. php-router
http://robap.github.com/php-router/
Gestisce l’accesso centralizzato all’applicazione (tramite dispatcher) e permette di mappare i controller tramite “pretty url” (controller/metodo/parametro).

5. Swift Mailer
http://swiftmailer.org/
Swift Mailer permette di integrare nelle applicazioni PHP 5 tutti gli aspetti legati all’invio di email, fornendo diversi metodi di invio (SMTP,sendmail…) e consentendo anche la gestione degli allegati in modo semplice.

6. TCPDF
http://www.tcpdf.org/
E’ probabilmente la più completa libereria per la creazione di Pdf in ambito PHP. Offre anche la possibilità di generare documenti da template HTML.

7. PHPIDS
https://phpids.org/
Naturalmente un occhio alla sicurezza. PHPIDS (PHP Intrusion Detection System) è una libreria che sulla base di firme tenta di individuare comportamenti potenzialmente pericolosi, per esempio è in grado di rilevare tentativi di attacco tramite SQL-Injection e XSS. E’ possibile programmare il tipo di reazione (come l’invio di notifiche email o la distruzione di una sessione) in base a valori di soglia.

Un suggerimentio extra per concludere:  HTML Purifier, per rimanere nell’ambito della sicurezza rimuove codici pericolosi (i soliti XSS) ma non solo: ma garantisce anche che i documenti HTML prodotti siano standard-compliant (a questo link si può vedere HTML Purifier in azione).

Segnala presso:

Qual’è il miglior linguaggio per iniziare a programmare, o per muovere i primi passi nel mondo dello sviluppo web? Potrei rispondere Php, è il linguaggio che uso di più (anche per motivi professionali), quello che mi piace di più. Avrei potuto rispondere .Net, Java, ma non è questo il punto.

Il punto è che non basta conoscere un solo linguaggio server side per poter sviluppare delle applicazioni web al passo coi tempi. Per poter creare qualcosa di utile non basta conoscere un linguaggio di programmazione.

Un’applicazione web è formata da tre elementi: i dati, la rappresentazione dei dati e “qualcosa” che tenga insieme dati e rappresentazione. Per la funzione di “tramite” un linguaggioo come il Php va benissimo; ma i dati dell’applicazione saranno probabilmente memorizzati in un database, sarà quindi necessario conoscere SQL, linguaggio per estrarre i dati dalla base dati.

I dati da soli non servono a nulla se non vengono rappresentati in qualche forma. La forma normalmente viene modellata dalla pagina web in formato HTML. E in genere una pagina web ha anche un aspetto grafico, colori, font, tutte cose descritte nei fogli di stile CSS.

Inoltre un’applicazione moderna è dotata di interfacce abbastanza complesse; non basta più il solo Html ma si rende indispensabile un linguaggio di programmazione lato client: Javascript.

Quindi, la conoscenze minime per poter creare applicazioni web serie, sono Php (o Ruby, o Jsp,Python…), SQL, HTML, CSS e Javascript.

La situazione, che potrebbe già apparire complessa al neofita, si complica maggiormente. Infatti esistono diversi dialetti di SQL. In genere, se ci si limita allo sviluppo web, nel 99% dei casi ci si imbatterà nel database MySql, più raramente in Postgres. Ma nel caso di sviluppo in ambito enterprise la scelta si allarga a Oracle, SQL Server.

Non è finita. Un programmatore web che si rispetti deve conoscere Ajax (Asynchronous Javascript and Xml) per poter sfruttare al meglio l’interazione tra client e server, con lo scambio dati che viene codificato in Xml, o JSON.

Poi eventualmente c’è il framework lato server, questa o quella libreria: e non abbiamo minimamente sfiorato i problemi relativi alla sicurezza.

Quindi, alla domanda dell’apertura, “qual’è il miglior linguaggio per iniziare a programmare, o per muovere i primi passi nel mondo dello sviluppo web?”, non c’è una risposta univoca e semplice.

Quello che conta non è tanto (non solo) conoscere un linguaggio, ma imparare ad imparare, riuscire a crearsi una mentalità flessibile che abbia il fine di apprendere in maniera permanente.

Segnala presso:

Con questo articolo vogliamo spiegare come possiamo essere infettati da dei semplici virus che possono essere scritti in linguaggio batch. Specifico che il termine virus in questo articolo sta ad intendere un software malevolo in generale non virus in senso stretto (così semplifichiamo e non ci perdiamo in lungaggini sulla differenza tra virus, worm, spyware ecc.)

Prima di cominciare dobbiamo comunque aggiungere che questi virus non sono molto pericolosi perchè, benchè possano creare danni seri, ormai nelle ultime versioni di windows bisogna avere il consenso dell’amministratore per apportare delle modifiche al file di sistema, quindi lo script malevolo non riuscirebbe ad agire indisturbato o verrebbe comunque bloccato.

Ancora una nota prima di cominciare: dobbiamo spiegare in cosa consistono gli script batch. Questi file (di solito di piccole dimensioni) sono salvati in formato .bat e non sono altro dei comandi che vengono dati al promt di ms-dos. Tutti coloro che hanno una minima conoscenza di dos possono creare questi file. Vediamo alcuni esempi di codice che possono aiutarci a capire meglio come funzionano questi virus. Contate che si creano semplicemente scrivendo il codice sul blocco note e salvandolo come “nome”.bat.

format c: /autotest /q /u

Salvando questo testo sul blocco note in un file .bat avrete creato un virus che formatta l’hard disk senza chiedere nessuna conferma all’utente. La maggioranza degli antivirus trova e annulla questo tipo di file.

start
start
start
start
….

Ognuno di questi comandi apre una finestra del prompt dei comandi di dos…immaginate cosa potrebbe succedere se scriveste 2000/3000 start.

erase /q C:/Windows/nomefile

Questo comando cancellerebbe il file “nomefile” dalla cartella Windows senza chiedere nessuna conferma di cancellazione.

deltree c:/Windows

In questo modo cancellerebbe tutto il contenuto della cartella windows. Bisogna dire in questo caso che questo comando nello specifico (come molti altri) è stato disattivato dalle ultime versioni di windows (per esempio nelle versioni Home di Win 7)

In conclusione dobbiamo aggiungere che questi comandi potrebbero essere combinati e messi uno dopo l’altro per creare più danni.

In questo articolo abbiamo visto solo alcune delle potenzialità dei file batch, ovviamente è una tecnica un po’ datata e con scarse possibilità di successo anche perchè il file deve essere eseguito per funzionare (anche se potrebbe essere messo in autorun) comunque ci ricorda una buona regola della sicurezza informatica: se non sappiamo da chi arriva o cosa contiene un file o una mail NON APRIAMOLO!

Segnala presso:

Un esempio è awardspace.com. Il servizio è totalmente gratuito e propone oltre allo spazio web da 200MB un db MySql, però versione 4.

A chi interessa un hosting per il solo db suggerisco db4free.net. Anche questo è un servizio totalmente gratuito. Per ogni account garantisce due database MySql 5.1. Non sono specificati limiti di spazio, ma è ovvio che trattandosi di un servizio free è norma di buon senso limitarsi.

Il servizio è dotato anche di un blog dove vengono pubblicate novità e informazioni sullo stato dei servizi,  e di un forum dove poter discutere di problemi comuni e dove trovare soluzioni per eventuali problemi legati alla configurazione.

Tengo a precisare che il suggerimento è valido per chi intende sviluppare software e non per testare bug o tecniche hacker!  Per queste ultime è meglio prepararsi un laboratorio in locale sul proprio PC.

Per concludere, se sei un programmatore affamato di risorse per fare esperienza con Sql e ti serve un database gratuito, db4free.net potrebbe fare al caso tuo.

Segnala presso:

1. Firebug
Il debugger per antonomasia. Ne ho parlato nell’articolo come scaricare video da myspace, ma le sue capacità vanno ben oltre a quelle descritte in quell’articolo. Analisi live dell’html, debug Javascript, controllo attività di rete e tanto altro fanno di Firebug uno strumento indispensabile per il web developer.
http://getfirebug.com/

2. Web Developer
Wev Developer extension aggiunge a Firefox una toolbar ricca di strumenti per lo sviluppo. Dalla gestione dei cookie a quella dei CSS, dalle informazioni sui moduli alla gestione delle immagini. Permette per esempio di evidenziare con dei contorni tabelle e celle, far apparire a video i nomi campi di unform.
http://chrispederick.com/work/web-developer/

3. Aardvark
http://karmatics.com/aardvark/
Con Aardvark manipolare una pagina web è semplicissimo. Si attiva cliccando il tasto destro del mouse e mette a disposizione del programmatore una serie funzioni attivabili tramite la pressione di un tasto. Una volta attivato Aardvark evidenzia gli elementi html che si trovano sotto il puntatore del mouse. Premendo ‘v’ si apre una finestra con il sorgente dell’elemento selezionato; il tasto ‘r’ rimuove l’elemento dalla pagina.

4. LiveHTTPHeaders
Forsnisce informazioni sullo scambio di header HTTP tra il browser e il server. E’ molto utile per vedere cosa passa effettivamente nelle intestazioni, compresi i dati dei parametri GET, POST e COOKIES.
http://livehttpheaders.mozdev.org/

Queste quattro estensioni, combinate tra di loro permettono di controllare ogni aspetto dell’applicazione client side e nell’interazione con il server, come per esempio il controllo dei parametri passati o la presenza di errori negli url (risorse mancanti…).

Unite agli strumenti che ho presentato nell’altro articolo forniscono allo sviluppatore (o aspirante tale) tutto quello di cui ha bisogno per creare programmi web.

Segnala presso:

Ecco una serie di risorse gratuito che permettono di sviluppare un’applicazione web dall’inizio alla fine. C’è tutto quello che serve, dai tutorials, all’editor, passando per i server e le librerie per semplificare il lavoro di sviluppo.

1. Tutorials, HTML, CSS, XML, Javascript, Ajax, SQL
Tutorials per tutti (o quasi) i linguaggi coinvolti nello sviluppo di applicazioni web: HTML, CSS, XML, Javascript, Ajax, SQL e molto altro.
http://www.w3schools.com/

2. Kohana Framework Php
Invece di scrivere un’applicazione è meglio utilizzare un framework, ovvero una piattaforma, una “cornice” che faccia da guida allo sviluppo dell’applicazione. Il framework Kohana contiene tantissime classi, librerie, helpers già pronti e fornisce anche un modello (MVC) per organizzare al meglio il lavoro e separare i dati dalla rappresentazione.
http://kohanaphp.com/

3. jQuery Libreria Javascript
Un’applicazione web moderna non può fare a meno di interazione lato client con Javascript e Ajax. Uno dei problemi di questi linguaggi è la compatibilità tra diversi browser, vero incubo dei programmatori. jQuery è una libreria Javascript multibrowser che risolve questo problema. Semplifica enormemente l’interazione con la pagina html e permette di ottenere spettacolari effetti grafici con poche istruzioni.
http://jquery.com/

4. Gliffy Diagrammi Online
Durante la progettazione del software nasce la necessità di dare un aspetto grafico alla struttura logica del programma, sia per schiarirsi le idee, sia per condividerle. Per la creazione di diagrammi di flusso, ma anche diagrammi di topologia di rete, si può usare Gliffy, tool online potentissimo. I grafici possono essere memorizzati ed esportati in diversi formati.
http://www.gliffy.com/

5. XAMPP: Apache, MySql, Php in un solo pacchetto
XAMPP è la soluzione più semplice per installare con pochi click una vera piattaforma di sviluppo open-source, con Apache, MySql, Php e tanto altro.
XAMPP

6. Xp-Dev Spazio Online per Storage e Versionamento
Se il software viene creato in team si rende necessario uno spazio comune dove memorizzare i sorgenti ed accedervi tramite Subversion. Ma anche se lo sviluppo è individuale è necessario uno spazio dove memorizzare e versionare i codici. Xp-Dev fornisce sia lo spazio per un repository Subversion, sia strumenti per la gestione del progetto, come blog e bug/time tracker.
Xp-Dev

7. PsPad Editor
Ok, ora abbiamo tutto e possiamo iniziare a scrivere i nostri software. Manca solo una cosa: l’editor. PsPad è un editor gratuito, multilinguaggio (naturalmente Php incluso), con evidenziatore di sintassi. Supporta i progetti, è corredato di una serie di tools utilissimi (calcolatore di firma digitale, tabella ASCII, selettore di colori…)
http://www.pspad.com/it/

Qui c’è tutto quello che vi serve per iniziare a sviluppare applicazioni per il web. Mancano le cose più importanti: creatività, passione, determinazione che naturalmente ci dovete mettere voi.

Buon divertimento!

Segnala presso:

XAMPP è un pacchetto software che mette a disposizione del programmatore tutto quello di cui ha bisogno per iniziare lo sviluppo (o la ricerca) in modo semplice.
Mentra scrivo XAMPP è alla versione 1.7.1. Il pacchetto comprende:

• Apache 2.2.11

• MySQL 5.1.33

• Php 5.2.9

Comprende inoltre phpMyAdmin per gestire MySQL tramite interfaccia web, FileZilla Server per condividere file e fornire accesso al server tramite ftp e Mercury Mail Transport System, semplice mail server.

Di XAMPP esistono 4 versioni (Windows, Linux, Mac, Solaris). La versione Windows può essere installata in due modi:

1. Tramite Windows Installer

2. Estraendolo dal file zip

Sul sito di origine è presente una dettagliata guida che rende la fase di installazione e configurazione semplicissima. Una volta installato, tutti i server verranno gestiti tramite un’interfaccia grafica, dalla quale sarà possibile avviare/arrestare Apache e MySQL; sarà anche possibile decidere se installare i server come servizi o comeapplicazioni stand-alone.

Uso da anni XAMPP per Windows e lo consiglio. Mette il programmatore in grado di iniziare lo sviluppo vero e proprio in pochi minuti. Utile anche per creare un ambiente di test dove provare le tecniche dihacking e gli exploit.

Lo potete scaricare dal sito http://www.apachefriends.org/

Segnala presso:

Macro, funzioni, e quindi gli oggetti, riusabilità del codice fino ad arrivare alla riusabilità dei concetti che si concretizza nei design patterns della perfida Banda dei Quattro. Tutto questo per evitare il più possibile di scrivere codice.

L’avvento del copia/incolla e di Visual Studio ha dato un impulso fatale e definitivo allo sviluppo di  questa attitudine neuro-muscolare.

Se anche voi siete programmatori sull’orlo di una crisi di nervi il suggerimento che sto per darvi potrebbe salvarvi, o perlomeno potrebbe evitarvi tanta deprecabile fatica: usate gli snippets.

Gli snippets sono frammenti di codice, da quello banale a quello complesso, da conservare e riusare quando se ne presenta la necessità.

Un’espressione regolare per validare un indirizzo email; le funzioni per effettuare l’interrogazione ad un particolare database, la procedura per creare una password sicura, il metodo per gestire in modo efficace una sessione…

Chi programma, per passione o per professione, o semplicemente per masochismo, nel corso del tempo tenderà a raccogliere degli snippets, a crearsi un proprio archivio. Chi volesse farlo, o chi già l’ha fatto ma non è soddisfatto del metodo di raccolta e memorizzazione, suggerisco php-csl, programma open-source, basato su php/apache/mysql che permette di gestire diverse librerie di snippets, librerie tematiche (per linguaggio) organizzate in categorie (database, sicurezza, formato date/ore, gestione degli array…). Lo uso e lo trovo molto utile.

Per chi è troppo pigro per crearsi una propria libreria di snippets, suggerisco di guardare snipt.net. Su questo sito sono disponibili migliaia di snippet per svariati linguaggi di programmazione. Si tratta di un sito dove i programmatori condividono i propri snippets con gli altri, utile archivio per chi vuole trovarsi già una barca di snippets pronti, senza fare troppa fatica.

Segnala presso:

L’accesso alle risorse dei vari utenti può essere gestito configurando i permessi di lettura e scrittura, ed inoltre è possibile accedere al servizio anche tramite SSL. Il prezzo? Tutto questo è gratuito !

Utilizzando un servizio come Xp-Dev è possibile usare TortoiseSVN come client per accedere al repository online da qualsiasi computer. Per chi come me utilizza diversi PC e da diversi luoghi l’utilizzo di uno strumento di questo tipo facilita sicuramente il lavoro. Inoltre collaborare e mettere insieme un team di sviluppatori anche lontani geograficamente e permettere loro di condividere il sorgente in sicurezza grazie al controllo di versione di Subversion è straordinario.

Xp-Dev è disponibile non solo per progetti open-source, ma anche per lo sviluppo di software che non prevedono la condivisione del codice sorgente.

Mi sembra uno strumento completissimo e gratuito che consiglio a tutti i programmatori o aspiranti tali .

Segnala presso: