Eu, não faço ideia quem fez isto, só sei que o cliente final é o estado e talvez devesse ter mais em atenção o que produz ou o que compra.

Eu não sou uma pessoa “tão qualificada” como diz, todos temos as nossas falhas, mas há falhas que não são perdoáveis.

Quem lhe diz que não são programadores duma empresa avençada? Isto se souber o que são avenças…

O senhor nem sonha com os disparates que algumas empresas de informática avençadas fazem, sobretudo aquelas ligadas ao plano tecnológico da educação! Aquilo é desde redes wireless sem chaves, até routers de trazer por casa a servirem escolas enquanto têm Ciscos a um canto, até servidores que só são usados para partilhar programas!

Nunca percebo porque é que as pessoas tão qualificadas como o senhor não vêm para o Estado valorizá-lo.

A estratégia é negar sempre. A questão é que as vulnerabilidades descobertas permitiram o acesso à BD, logo a questão não é se o site foi ou não atacado (foi) mas sim se foram ou não roubados dados da BD do site.

Outro aspecto mirabolante é pretender que o subdomínio onde o SQL injection ocorreu é um site autónomo.
.-= Jorge´s last blog ..Mais vale rir – 35 =-.

Depende do endereço introduzido e do dano que pode causar. É muito relativo. Imaginemos um endereço manipulado com “SQL Injection” para inserir conteúdos ou mesmo comprometer o servidor…

Conheço um caso prático de um romeno intitulado de “unu” que por diversas vezes publicou num dos seus blogues as vulnerabilidades que encontrava (Yahoo, Orange, etc) e, num dos casos em que demonstra a fragilidade de más configurações de um SGBD, foi processado judicialmente e viu o seu blogue encerrado.

É um tema que dá muito pano para mangas.

Abraço

Obrigado.

PS: se quiser, já agora considere esta situação: um funcionário da NATO perde um documento secreto. Eu, que não tenho credenciais para o ver, encontro-o na rua e olho para ele. Leio a primeira página. Estou a cometer um crime?
.-= Jorge´s last blog ..Site Novas Oportunidades aloja o Fliscorno =-.

E dada a minha experiência no campo há muitos anos digo que sim, o facto de ser open-source e uma webapp com vários fãs torna-a numa solução a adoptar.
O código fechado é fechado e acabou-se, ninguém, nem eu próprio, o posso alterar por forma a melhorar, só quem o criou (e fechou).
Sou totalmente open-mind ao ponto de não ignorar os factos subjacentes ao open-source.

Mas para concluir, eu acho que me deste razão ao comparar Apache e IIS!

Além disso mal postei aqui o tópico enviei dois e-mails para que pudessem ser corrigidos e que penso terão sido lido perto das 16h56.

Legislação Informática Portuguesa (penso que não está aqui tudo…): http://tek.sapo.pt/Arquivo/legislacao_informatica_110460.html

Vou colocar screenshots que tirei enquanto estavam as falhas activas.

Infelizmente a qualidade ainda é muito baixa…