הי,
לא ניתן לשחזר את הבעיה, מכיוון שחסמנו את הרכיב.
ניתן לראות ב מייל הקודם של מאיר דוגמאות לפניות שבוצעו (נשמרו בפרוקסי של גוגל)
מבנה הפניה לדוגמא הוא:
כאשר שם הקובץ הוא
Base64, ובתרגום:
\yahahak-docs\hitgonenut_ezrahit\7396.pdf
האתר לא מבצע בדיקות על הנתיב שמועבר ע"י המשתמש ולכן ניתן "לטייל" בתוך התיקיות של השרת.
\..\..\web.config
השינויים שנדרש לבצע:
·
לא לקבל מהמשתמש את נתיב הקובץ, אלא לבצע המרה ל
GUID ולנהל את מיקום הקבצים בשרת עצמו.
·
לבצע סניטציה של הקלט שמתקבל מהמשתמש.
·
להעביר את הבקשות ב
POST, כך שהתוכן של הבקשה יוסתר ולא ישמר ברכיבי
PROXY.
בברכה,
דני
From: Meir Azran
Sent: Sunday, November 30, 2014 8:08 AM
To: Danny Yoffe
Cc: rafisalamhe@gmail.com; elazar.stern@mail.gov.il; Shaul Rothstein; Noc; Avraham Zaruk
Subject: RE:
העבר:
בעיות אבט"ח באתר
פרקליטות צבאית-חשוב!
היי דני
האם אתה יכול להעביר מידע נוסף ללקוח ביחס לתקלה?
מאיר
From: Shaul Rothstein [mailto:shaulro@matrix.co.il]
Sent: Thursday, November 27, 2014 7:14 PM
To: Meir Azran; Noc
Cc: rafisalamhe@gmail.com;
elazar.stern@mail.gov.il; Shaul Rothstein
Subject: RE: העבר:
בעיות אבט"ח באתר
פרקליטות צבאית-חשוב!
הי מאיר
לגבי פרקלייות צבאית, היתה תקלה בשנה שעברה שעבורה ביצענו תיקון קוד ולכן כנראה מדובר בתקלה אחרת.
אבקש שתשלחו לנו פירוט טכני נוסף לבעיה.
האם ניתן לשחזר אותה?
מה זיהיתם בדיוק?
תודה
שאולי
From: Meir Azran
Sent: Tuesday, November 25, 2014 1:04 PM
To: 'Elazar.stern'; Noc
Cc: rafisalamhe@gmail.com
Subject: RE: בעיות אבט"ח באתר צה"ל
היי אלעזר
הרץ בגוגל את החיפוש המצ"ב:
site:Law.idf.il inurl:getfile
הוא ייתן לך את רשימת הקבצים שכעת נחסמת באתר של פרקליטות צבאית
מצ"ב קישור לתוצאות החיפוש:
בברכה,
מאיר
From: Elazar.stern [mailto:Elazar.stern@mail.gov.il]
Sent: Tuesday, November 25, 2014 12:37 PM
To: Noc
Cc: rafisalamhe@gmail.com; Meir Azran
Subject: RE:
בעיות אבט"ח באתר צה"ל
נא שלחו את הדרך להגיע לדף זה .
לפני שמורידים צריכים להתריע... מה תוכן הדף? איך מגיעים אליו?
רפי עדכונך
בברכה
אלעזר
מ:
Noc [noc@gov.il]
נשלח: יום שלישי 25 נובמבר 2014 12:03
אל: Elazar.stern
נושא: בעיות אבט"ח באתר צה"ל
מצוות אבטחת מידע של ממשל זמין הועבר כי הדף הזה:
Law.idf.il/templates/getfile/getfile.aspx
חורג ממדיניות אבטחת המידע של ממשל זמין והורד.
פרטים נוספים יתקבלו מול מאיר אזרן.
בברכה,
שגיב
|
|
|
|
תוכן הודעת דואל זו שייך בלעדית לממשל זמין ומיועד אך ורק למכותבי ההודעה אם אינך אחד מהמכותבים, כל פעולות חשיפה, העתקה או הפצה של ההודעה הינן אסורות
תוכן הודעת דואל זו שייך בלעדית לממשל זמין ומיועד אך ורק למכותבי ההודעה אם אינך אחד מהמכותבים, כל פעולות חשיפה, העתקה או הפצה של ההודעה הינן אסורות
This mail was received and tested using PineApp HZ
תוכן הודעת דואל זו שייך בלעדית לממשל זמין ומיועד אך ורק למכותבי ההודעה אם אינך אחד מהמכותבים, כל פעולות חשיפה, העתקה או הפצה של ההודעה הינן אסורות