Panel administracyjny i system zabezpieczeń. Opcje

[Rid]

Piszę tutaj bo temat ogólnikowy.W przyszłości, będę chciał zrobić taki panel i zrobić na nim super restrykcyjne zabezpieczenia-mianowicie coś ,ala sprawdzanie podzespołów zastosowanych przez MS przy rejestracji windowsa.
Zastanawiam się czy to w ogóle ,możliwe -ale jak MS wyskrobał dane producenta itp,z naszych płyt głównych przez internet
to zwykły użytkownik też może(chyba).
Miałoby to działać na zasadzie ,że dostęp do panelu administracyjnego będzie możliwy tylko z konkretnego komputera.
Nie wiem jak to się ma do linuxa i innych os ,czy dostęp do takich danych jest także możliwy?.Może to szalony pomysł,ale z mojego punktu widzenia, wydaje mi się najlepszym.

Ten post edytował Rid 30.08.2011, 11:06:53

[mike]

Oj nie sądzę,żeby to było i osiągalne i efektywne.
A nie możesz po prostu rozdać ludziom klucze SSL założyć certyfikat i sprawdzać czy podczas korzystania ze strony WWW delikwent używa SSL. Jak nie to wypad.

[Rid]

Też nie wiem czy jest osiągalne,ale efektywne by było na pewno.

[mike]

Sprawdź sobie co możesz dostać od przeglądarki: http://panopticlick.eff.org
Żeby dostać cokolwiek więcej będziesz zmuszony korzystać z jakichś ActiveX w przypadku IE ale to chyba zamknie drogę w przypadku innych przeglądarek.

Nie sądzę żeby bez dodatkowego softu Twój cel był możliwy do zrealizowania.

[Rid]

To co Pan przedstawił linku to sprawdzenie browsera:) "How Unique Is Your Browser". Podczas ,każdego pobrania jakiegoś pliku z ich strony,Microsoft w jakiś sposób sprawdza oryginalność windowsa.Ci którzy mają piraty nic nie ściągną( żadnych plików ,żadnych uaktualnień,czy services packów). Wątpię aby też korzystali z kontrolek activeX,gdyż nie mogliby sprawdzić oryginalności windowsa użytkownika,na takich przeglądarkach jak opera,firefox,safarii itp.

Przyjrzę się dokładnie jeszcze temu tematowi,pogoogluje,przeanalizuje-czy jest to możliwe.

Właśnie zajrzałem i jest to możliwe i prościej niż myślałem.
Najpierw sprawdzam wersję OS.
http://www.brokenwire.net/bw/Programming/8...os-version-in-c
Jeśli okaże się,że windows to sprawdzenie podzespołów.
http://www.aspnetinterviewquestions.com/20...ial-number.html

W C# jest to osiągalne,nawet zbytnio namęczyć się nie trzeba,nie wiem jak w PHP.

Ten post edytował Rid 30.08.2011, 12:26:36

[trucksweb]

mozesz ew. uzyc do tego javy - odpalasz aplet weryfikujacy- na systemie uruchamia sie maszyna javy i masz dostep do informacji o kompie+ obejscie zabezpieczen np. antywirusa.
Jak ktos nie ma zainstalowanej javy to nie wejdzie do panelu.

tak chyba bedzie najszybciej i najprosciej

Ten post edytował trucksweb 30.08.2011, 12:35:38

[Rid]

c++ to nie c#.

W ten sposób ,będę miał super zabezpieczenie na Panel administracyjny-raczej nikt mi się nie wbije,chyba że się porządnie nagimnastykuje,albo będzie znał moją konfigurację sprzętową.

[nospor]

Najpierw sprawdzam wersję OS.
http://www.brokenwire.net/bw/Programming/8...os-version-in-c

print_r($_SERVER);
I też wiesz czy to windows czy nie.

Jeśli okaże się,że windows to sprawdzenie podzespołów.
http://www.aspnetinterviewquestions.com/20...ial-number.html

Tak nieśmiało zapytam, gdyż z c# już dawno nie miałem do czynienia: a czy to przypadkiem nie podaje danych serwera?

[mike]

Właśnie zajrzałem i jest to możliwe i prościej niż myślałem.
Najpierw sprawdzam wersję OS.
http://www.brokenwire.net/bw/Programming/8...os-version-in-c
Jeśli okaże się,że windows to sprawdzenie podzespołów.
http://www.aspnetinterviewquestions.com/20...ial-number.html

W C# jest to osiągalne,nawet zbytnio namęczyć się nie trzeba,nie wiem jak w PHP.

A jak masz zamiar wykonać taki kod zdalnie u klienta przeglądarki?
To co jest pod tymi linkami to efekt działania poleceń wykonanych na kompie. Nie pomoże Ci to zbytnio bo dostaniesz informacje o serwerze a nie o kliencie. Czyli o co napisał ~nospor

[Fifi209]

print_r($_SERVER);
I też wiesz czy to windows czy nie.

telnet, ręczne klepanie nagłówków i mogę mieć nawet androida

Tak nieśmiało zapytam, gdyż z c# już dawno nie miałem do czynienia: a czy to przypadkiem nie podaje danych serwera?

Przecież odpalasz u siebie na kompie aplikację, która dopiero połączy się z serwerem.

[nospor]

telnet, ręczne klepanie nagłówków i mogę mieć nawet androida

Ba... normalne, że nie można w pełni ufać danym, które pochodzą od klienta. Ty mi tego nie tłumacz

Przecież odpalasz u siebie na kompie aplikację, która dopiero połączy się z serwerem.

A nie mówimy przypadkiem o przeglądarce, która to łączy się z serwerem i ten zwraca kod html, który ma się nijak do pobrania danych o kompie klienta?

[Fifi209]

Zastanawiam się czy to w ogóle ,możliwe -ale jak MS wyskrobał dane producenta itp,z naszych płyt głównych przez internet

Przecież w systemie masz tyle narzędzi ukrytych etc. Poza tym to ich system więc mogą się dowiedzieć wszystkiego jak będą chcieli.

Chciałbym również skrytykować ten pomysł, ponieważ o ile dla MS jest to uzasadnione bo chodzi o komputer a nie o to kto siedzi, to w przypadku panelu jakbym mógł się logować tylko z jednego komputera to bym ku**icy dostał.

A nie mówimy przypadkiem o przeglądarce, która to łączy się z serwerem i ten zwraca kod html, który ma się nijak do pobrania danych o kompie klienta?

Skoro zostało zaproponowane C# to rozumiem, że zmieniliśmy język i mamy aplikację kliencką i serwer. Bo nie wyobrażam sobie połączenia tego z PHP.

Ba... normalne, że nie można w pełni ufać danym, które pochodzą od klienta. Ty mi tego nie tłumacz

Rozmawiamy o zabezpieczeniach etc. wypalasz z $_SERVER, po czym sam przytakujesz, że nie można ufać. Coś nie halo ;d

[nospor]

Skoro zostało zaproponowane C# to rozumiem, że zmieniliśmy język i mamy aplikację kliencką i serwer. Bo nie wyobrażam sobie połączenia tego z PHP.

Przecież c# też może służyć jako aplikacja serwerowa a klient może być przeglądarką. nie widzę problemu. W tym przypadku c# zastępuje php. Po stronie klienta nic się nie musi zmieniać.

Rozmawiamy o zabezpieczeniach etc. wypalasz z $_SERVER, po czym sam przytakujesz, że nie można ufać. Coś nie halo ;d

Fifi, coś się dzisiaj czepiasz zamiast przeczytać ze zrozumienie.
Rid podał przykład jak pobrać system w c#. Powiedział, że nie wie jak to zrobić w php to mu napisałem. Zarówno moje jak i jego jest tak samo "bezpieczne", jeśli opiera się na danych od klienta.

[Fifi209]

Przecież c# też może służyć jako aplikacja serwerowa a klient może być przeglądarką. nie widzę problemu. W tym przypadku c# zastępuje php. Po stronie klienta nic się nie musi zmieniać.

Ohoho ale pojechałeś, pisać serwer w C#? I tak nie dostaniesz tego czego oczekujesz, skoro nie wydobędziesz danych o sprzęcie (który pomysł skrytykowałem gdzieś wyżej). Poza tym pisanie takiego serwera byłoby raczej trudne, czasochłonne. C# nie został stworzony raczej do takich celów, gdyż zbyt szybki nie jest (jak np. c++), w dodatku narażasz się na wiele błędów które możesz popełnić.

Strata wydajności, czasu + ew. dziury w serwerze = klapa

[nospor]

@Fifi ale to nie ja chcę to pisać tylko autor tematu. A przynajmniej ja tak zrozumiałem, że Rid chce c# jako serwer. Zejdź więc proszę ze mnie

[Fifi209]

Rid podał przykład jak pobrać system w c#. Powiedział, że nie wie jak to zrobić w php to mu napisałem. Zarówno moje jak i jego jest tak samo "bezpieczne", jeśli opiera się na danych od klienta.

Jak dla mnie raczej chodziło mu o pobranie podzespołów niż systemu, jest na forum na tyle długo, że chyba wie jak system wyciągnąć.
Jak i jego zabezpieczenie? Jeżeli C# pobiera bezpośrednio z systemu to jak go oszukać?

@Fifi ale to nie ja chcę to pisać tylko autor tematu. A przynajmniej ja tak zrozumiałem, że Rid chce c# jako serwer. Zejdź więc proszę ze mnie

Autor nie wie czego chce i jak wielu problemom będzie musiał stawić czoła. Tak jak napisałem, ograniczać logowanie do jednego komputera? Równie dobrze mógłby go przykuć kajdanami.

@edit
Poza tym nie jestem na Tobie ;d Tylko dyskutujemy a ja potępiam chore pomysły autora.

Ten post edytował Fifi209 30.08.2011, 13:13:01

[nospor]

Cały czas jest mowa o przeglądarkach, nie ma krzty mowy o aplikacjach klienckich...

Jak dla mnie raczej chodziło mu o pobranie podzespołów niż systemu

To przeczytaj ze zrozumieniem jeszcze raz to:

Właśnie zajrzałem i jest to możliwe i prościej niż myślałem.
Najpierw sprawdzam wersję OS.
http://www.brokenwire.net/bw/Programming/8...os-version-in-c

Potem ze zrozumieniem przeczytaj cały post, z które wziąłem cytat, a potem ze zrozumieniem cały temat.

[Fifi209]

Wiesz ja też mogę wyciąć ^ każdy widzi to co chce widzieć

Jeśli okaże się,że windows to sprawdzenie podzespołów.
http://www.aspnetinterviewquestions.com/20...ial-number.html

W C# jest to osiągalne,nawet zbytnio namęczyć się nie trzeba,nie wiem jak w PHP.

[mike]

@Fifi209 pogubiłeś się. Ochłoń a potem przeczytaj wątek.

[Fifi209]

@mike
Wcale się nie pogubiłem i nie mam po czym ochłonąć

Potępiam pomysł autora ze sprawdzaniem sprzętu, pomysł z serwerem C# i tyle. ;]

Niech zastosuje się do rady o kluczach i tyle.

[nospor]

Wiesz ja też mogę wyciąć ^ każdy widzi to co chce widzieć

Fifi, dlatego napisałem, byś potem przeczytał jeszcze raz cały post, z którego dałem cytat. Fifi czepiasz się bez powodu, nie rozumiesz prostej rzeczy i mi wciskach jakieś rzeczy :/

Cały fragment wygląda tak:

Właśnie zajrzałem i jest to możliwe i prościej niż myślałem.
Najpierw sprawdzam wersję OS.
http://www.brokenwire.net/bw/Programming/8...os-version-in-c
Jeśli okaże się,że windows to sprawdzenie podzespołów.
http://www.aspnetinterviewquestions.com/20...ial-number.html

W C# jest to osiągalne,nawet zbytnio namęczyć się nie trzeba,nie wiem jak w PHP.

Ja udzieliłem odpowiedzi i pytań na poszczególne fragmenty, nic nie wycinałem z kontekstu!


Najpierw Rid sprawdza system, a potem podzespoły, więc mi nie pisz, ze nie chciał sprawdzać systemu bo chciał!

Powód edycji: [nospor]:

[Fifi209]

nospor napisałem w którymś z postów o tym, że Rid jest już "duży" i przez jego staż wydaje mi się, że w PHP potrafi znaleźć system - stąd dyskusja.

Zakończmy ją. ;]

[nospor]

Napisałeś też, że ja coś wycinam, sugerując tym, że manipuluję tu czyjąś wypowiedzią.

że Rid jest już "duży" i przez jego staż wydaje mi się, że w PHP potrafi znaleźć system

A ja widziałem go w akcji w php i uznałem, że wyciągnięcie systemu klienta w php to on też może nie wiedzieć. Stąd moje wyjasnienie jak to zrobić w php.

I tak, masz rację, zakończmy tę dyskusję.

[Rid]

Myślę że jest to możliwe.
http://msdn.microsoft.com/en-us/library/ms257361.aspx.Pomysł wcale nie wydaje mi się chory.Muszę bardziej zagłębić się w archtekturę WMI.Wnipskuję z tego diagramu ,że archtektura WMI działa w obie strony klient-serwer,serwer-klient.
Z tego co udało mi się tam zrozumieć to problemem jedynie mogą okazać się firewalle.

Fifi209 poczytaj troszeczkę oWMI ,a potem krytykuj.Z tego co też wywnioskowałem to w php też da rady by było to zastosować poprzez MIcrosoft PowerShell.

Ten post edytował Rid 30.08.2011, 13:33:05

[Fifi209]

Patrząc na diagram widzę "Internet Explorer" zamiast "web browser" co znów ogranicza Cię do jednej przeglądarki, czyż nie? Tego nie chciałeś.

[trucksweb]

no przeciez podalem mu latwa i przyjemna mozliwosc rozwiazania problemu - niech uzyje apletu javy.

my za pomoca flexa i wlasnie javy moglismy nawet odczytaj rozdzielczosc kamery internetowej gdy mial zainstalowana.
Tak jak pisalem - pozostaje kwestia zabezpieczen, mielismy problemy z antywirusami i firewallami.

[Rid]

Straszna ta Architektura ,tutaj jest program który ukazuje jej możliwości.Do czysto naukowych celów!!
Kurcze nie wiem,ale ci co nie mają zapór to są bezbronni tak mi się wydaje.Nie wiem czy należy ten program uznać jako hakerski-spróbuje wyłączyć zapory systemowe siostry i pobrać konfigurację sprzętową jej komputera.
Ta architektura to masakra.

PS.próbowałem połączyć się z tym forum, by pobrać konfigurację sprzętową ale bezskutecznie ,mam nadzieje że Team nie ma tego za złe ,pewnie zapora to odnotowała.

Ten post edytował Rid 31.08.2011, 19:49:21

[mls]

Oho! "Haker" sie znalazł Na szczęście zdecydowana większość maszyn obsługujących serwery www stoi na innych systemach niż Windows. Na szczęście, interfejs WMI jest wymysłem Microsoftu do ich jedynego słusznego systemu. Na szczęście, w ten sposób nie wyciągniesz od nikogo jakichkolwiek informacji. Na szczęście, póki co, nie ma możliwości napisania aplikacji webowej sprawdzającej konfigurację sprzętową klienta.

[Rid]

Spojrzał Pan, na tą aplikację chociaż,jest tam możliwość połączenia z dowolnym zdalnym hostem.
Ps .żaden ze mnie haker,testowałem tylko czy to działa,jeśli będzie działać zaaplikuję tą architekturę u siebie gdyż serwer będę miał postawiony na windowsie.

[mls]

Po pierwsze, pisanie do wszystkich per "Pan", jak i sam sposób pisania, wiele mówi o Twoim wieku.
Po drugie - to, że aplikacja pozwala na podanie dowolnego adresu zdalnego hosta nie wyklucza, że umożliwia ona podłączenie jedynie do systemów obsługujących WMI - czyli tylko do systemu Windows.
Po trzecie - architektura serwera nie ma nic do rzeczy jeśli chodzi o maszyny klientów.

Ten post edytował mls 31.08.2011, 21:07:50

[Rid]

Po pierwsze, pisanie do wszystkich per "Pan", jak i sam sposób pisania, wiele mówi o Twoim wieku.
Po drugie - to, że aplikacja pozwala na podanie dowolnego adresu zdalnego hosta nie wyklucza, że umożliwia ona podłączenie jedynie do systemów obsługujących WMI - czyli tylko do systemu Windows.
Po trzecie - architektura serwera nie ma nic do rzeczy jeśli chodzi o maszyny klientów.

1.Nie wiem czy nie jestem czasami starszy
2.Jesteś w omyłce(jeśli nie mam mówić Pan-bo traktuje to jak zwrot grzecznościowy)-proszę dokładnie przanalizować,jest możliwość łączenia się z innymi OS.
3.Tylko tego nie jestem pewny,ale dzisiaj albo jutro to sprawdzę.

Ten post edytował Rid 31.08.2011, 21:15:13

[mls]

Poziom wiedzy, poziom wypowiedzi i cała reszta świadczą jednoznacznie, że raczej "nie jesteś czasem starszy".
Co do WMI, wystarczy spojrzeć na samo rozwinięcie skrótu - Windows Management Instrumentation. Dalsza dyskusja jest moim zdaniem bezcelowa, bo nic nie trafia.

[Rid]

A jednak ,ktoś już tego dokonał.
Fetching WMI data from Linux

Tak sie pan zna na tej architekturze ,jak i ja ,dlatego spływają po mnie Pańskie krytyki.

[darko]

Hmm przecież po to udostępnia się panel logowania, dowolną aplikację czy cokolwiek innego jeszcze, żeby właśnie można było zalogować się z każdego komputera o każdej porze dnia i nocy. To co, chcesz uzyskać równie dobrze mogłoby sprowadzać się do zainstalowania napisanej przez Ciebie (ale nie w php, raczej c++/c#) aplikacji desktopowej, która to aplikacja łączyłaby się z serwerem i byłaby zainstalowana na tylko jednej, konkretnej maszynie klienckiej. Tu chodzi raczej o odpowiedni dobór technologii, bo efekt można uzyskać na wiele sposobów, ale akurat wybierając język php do tego celu, to trochę strzał w stopę.

[mls]

A jednak ,ktoś już tego dokonał.
Fetching WMI data from Linux

Tak sie pan zna na tej architekturze ,jak i ja ,dlatego spływają po mnie Pańskie krytyki.

Nie ma to jak podać link do czegoś, czego się nawet nie przeczytało ze zrozumieniem... Ech...
No ale cóż dodać w takiej sytuacji... Powodzenia po prostu