Sei in grado di bypassare questa logica? Cybersecurity 06 - strncmp

Guarda su YouTube → 27:01 3 agosto 2026

Cybersecurity

Descrizione

L'autenticazione è un processo molto importante nel contesto della sicurezza informatica. In questa challenge vediamo una famosa vulnerabilità che porta ad un bypass autenticativo. Il progetto Esadecimale nasce per offrire il migliore spazio di didattica informatica presente in tutto il territorio Italiano. Per provare con mano le challenges mostrate potete iscrivervi in piattaforma: - https://esadecimale.it - https://learn.esadecimale.it - https://cyber.esadecimale.it

Commenti 15

I commenti vengono da YouTube e sono aggiornati periodicamente.

@giorgioruggerozanolini2363 4 agosto 2026

Spieghi in modo molto chiaro bro complimenti se la metà dei prof spiegassero come te avremmo molte più persone appassionate alla materia!
@esadecimale Autore 22 agosto 2026

Un collega informatico molto gentile (grazie Alessio) mi ha giustamente fatto notare che quando faccio analizzare il codice a Claude ho già fixato la vulnerabilità principale, calcolando la response_length rispetto al valore hard-coded nel server, e non rispetto allo user input. Per questa ragione claude non identifica correttamente la CVE. Ringrazio la segnalazione da parte di Alessio!
@antoniopennino7696 4 agosto 2026

Sono a meta' del video, non sto barando. Da vecchi ricordi la fgets non da sufficienti garanzie ma comunque se uno mette una password di 256 (o piu') frega il codice perché non sei piu' certo di trovare uno zero subito dopo. Io farei così: uno struct contenente un buffer della dimensione voluta e un char in coda e prima di passare a fgets azzererei preventivamente la struct (memset o similari insomma). Ricordi da vecchio (in tutti i sensi) programmatore che ad un certo punto e' passato a fare il sistemista ed adesso fa il pensionato ed e' un po' arrugginito. Sara' per questo che quando parli di "challenge" non capisco che intendi esattamente, grazie se qualcuno me lo spiega.
@samuelepadoan4993 3 agosto 2026

Come hai rediretto stdin e stdout del programma C al socket ?
1 risposta
1. @esadecimale Autore 3 agosto 2026 1
  
  con socat, poi faccio un video in cui spiego come farlo :)
@andrearosanova6550 3 agosto 2026 1

comunque, io non conosco a fondo il c, ma essendo uno che utilizza java e l'autenticazione via spring security avevo già capito dove si sarebbe andato a parare, mi sono rivisto le definizioni di strlen e strncmp in rete e ci sono arrivato, queste robe sono sempre dietro l'angolo con le applicazioni web e se non ti basi su autenticazioni preconfigurate come oauth2 e vuoi farti una autenticazione da solo devi conoscere almeno i buchi e le eventuali problematiche del tipo di autenticazione che vuoi implementare, quindi penso che questi corsi e queste challenge debbano essere viste da molte più persone, sorpattutto tra web developer o full stack developer
1 risposta
1. @esadecimale Autore 3 agosto 2026
  
  Ottimo lavoro :) Si, sono d'accordo, qui l'importante non è tanto la tecnologia specifica quanto la metodologia e il mindset, che poi può essere utilizzato anche con un LLM per rendere il tutto ancora più veloce nei casi in cui la velocità conta.
@gab-o5y2h 3 agosto 2026

Ho provato ieri e ho notato che usando nmap con il relativo numero di porta e le flag sC e sV vengono mostrati una serie di output tra cui il welcome administrator con la flag.
1 risposta
1. @esadecimale Autore 3 agosto 2026 1
  
  Sicuramente nmap invia come probe anche il byte nullo, che va a triggerare la vulnerabilità
@DellEcAve19 3 agosto 2026

ciao esa,sono indeciso tra ingegneria informatica ed informatica.Mi è sempre piaciuta di più la parte software ma alle superiori comunque non mi sono dispiaciute materie come sistemi e telecomunicazioni.Cosa mi consigli considerando anche il futuro con l’ai?
5 risposte
1. @esadecimale Autore 4 agosto 2026
  
  Informatica ha un approccio più da matematica pura, nel senso di teorica. Ci si concentra sui fondamenti computazionali dell'informatica, teoria degli algoritmi e programmazione / scrittura di software. Ciò che invece caratterizza bene ing informatica è l'aspetto hardware. Quindi l'interazione con il mondo fisico. Io ti dico ho fatto principalmente informatica ma alla fine della magistrale ho fatto dei corsi in ing. Informatica e mi sono trovato molto bene. Come al solito dipende da organizzazione corso nell'uni, qualità dei prof etc. In Italia poi molti laureati fanno lavori abbastanza equiparabili, perché poi la scrittura del software è quel ramo comune che hai in entrambe. Personalmente però adoro la teoria della computazione, le macchine di Turing, la teoria degli algoritmi e via dicendo. Quindi ho scelto informatica. Attualmente però vedo anche il bello di ing informatica. L'argomento è stratificafo, ci dovrei fare un video dettagliato che effettivamente ancora non ci sta sul canale 😅
2. @DellEcAve19 4 agosto 2026
  
  @e@esadecimalesi infatti credo che siano entrambi molto belli ma ingegneria informatica la vedo molto più lontana dal software puro e più un insieme di tutto
3. @gab-o5y2h 4 agosto 2026
  
  Se ti viene l orticaria al solo pensiero di fare (nei primi due anni) esami del tipo fisica 1 e 2, analisi 1 e 2, chimica, fisica tecnica, elettrotecnica etc. fai informatica
4. @esadecimale Autore 5 agosto 2026
  
  @gab-o5y2hanalisi 1 e fisica 1 stanno anche in informatica. Alcune hanno anche analisi 2. Raramente si fa fisica 2 ad informatica. Il resto ad ing inf, si. Ma a livello di difficoltà cambia veramente tanto l'università e i professori. Fare un corso di algoritmica serio è tosto, stessa cosa per un corso sui fondamenti computazionali dell'informatica. In entrambi i casi sono cose molto specifiche che possono piacere o meno.
5. @gab-o5y2h 5 agosto 2026
  
  @esadecimale la mia non era una considerazione sul fatto che fosse piu difficile o meno. Lungi da me fare questo tipo di considerazioni. Volevo solo dire che, togliendo alcuni degli esami base erroneamente da me citati, ho consociuti molto colleghi di ingegneria informatica frustrati dal fatto che facessero molti esami tecnici (addirittura alcuni facevano anche meccanica applicata alle macchine, fondamenti di automatica, meccanica dei solidi etc.) e poca teoria pura di informatica e pratica di programmazione. Per esempio a ing informatica, molti degli esami che sono obbligatori a informatica, sono invece facoltativi (compilatori, sistemi operativi etc.)