Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в Apache Struts стала причиной утечки персональны..., opennews (??), 10-Сен-17, (0) [смотреть все] Индейцы отомстили, Аноним (-), 21:15 , 10-Сен-17, (1) +2 // Украсть Использовать , Fomalhaut (?), 21:19 , 10-Сен-17, (2) // У америкосов номер соцстраха это примерно как у нас номер паспорта - называешь в, Elhana (ok), 22:02 , 10-Сен-17, (6) +6 // Мне он читается как номер общественной безопасности от человека , а по сути -, Michael Shigorin (ok), 23:42 , 10-Сен-17, (11) –27 Social security - переводится социальное страхование , аналог нашего пенсионн, Аноним (-), 23:46 , 10-Сен-17, (13) +10 Короче, это SS , freehck (ok), 08:42 , 11-Сен-17, (25) –1 обычно сокращают как SSN social security number но проблема жесточайшая я бою, Sergey (??), 21:03 , 11-Сен-17, (130) Можно получить новый номер Проблема тогда обновить везде от телефонного контрак, Lolwat (?), 01:21 , 12-Сен-17, (153) +1 С очень даже существенными отличиями Это можно сказать основной идентификатор ч, qsdg (ok), 10:10 , 11-Сен-17, (44) Вау Несовместимые языки Что за зверь такой Чем определяется уровень совместим, Аноним (-), 15:25 , 11-Сен-17, (95) –2 Хмм скорее - ИНН , _ (??), 19:34 , 11-Сен-17, (113) Если отвечать в вашем стиле - а у россиян крпостных к столбу привязывают И еще , Аноним (-), 21:03 , 11-Сен-17, (131) +2 Какой к лешему стопор, если от телека входит в ступор и готово бомбить страны, к, Michael Shigorin (ok), 22:35 , 12-Сен-17, (197) –2 Ну вот такой EFF в штатах почему-то никто не гнобит, хоть они и позволяют себе , Аноним (-), 23:17 , 12-Сен-17, (198) Тебе виднее Конечно Конечно https duckduckgo com q blacks heroin criminaliz, Andrey Mitrofanov (?), 09:07 , 16-Сен-17, (213) Дайте ссылку, откуда скачать можно дамп, Аноним (-), 21:57 , 10-Сен-17, (5) +7 Как же так Оказывается, ни новомодные игрушки, ни даже cосвем-не-тормозящая-и-п, Аноним (-), 22:14 , 10-Сен-17, (7) +13 // Не стоит называть это рукожопием, и вот почему жаба программист не должен думат, pripolz (?), 23:03 , 10-Сен-17, (10) –9 // Это уже не руко-, это голово- А это так называемый hype Вы не сталкивались с чет, Michael Shigorin (ok), 23:44 , 10-Сен-17, (12) –4 // А как же разделение труда , Аноним (15), 00:05 , 11-Сен-17, (15) Какое разделение труда У него каждая кухарка может управлять государством , Аноним (-), 06:20 , 11-Сен-17, (19) –6 Каждая кухарка не может, миллион кухарок может в 100 раз эффективнее любого чину, Аноним (-), 11:35 , 11-Сен-17, (57) –1 А сколько обезьян надо, чтобы быть эффективнее 1 кухарки , Аноним (-), 19:20 , 11-Сен-17, (110) +1 У кого-то опять миллионная фиксация в вакуумной коробке, принимающей лозунги без, Michael Shigorin (ok), 12:06 , 12-Сен-17, (178) –2 Каждый должен заниматься чем он лучше всего умеет Умеешь делать UI и не умеешь , Аноним (-), 11:57 , 11-Сен-17, (61) Для этого нужна сущая мелочь - чтобы другие, от качества работы которых зависят , YetAnotherOnanym (ok), 17:01 , 11-Сен-17, (99) качественно не означает идеально , увы и много внеросии отсудили у тойеты за , пох (?), 19:54 , 11-Сен-17, (121) –2 Разве я утверждал, что уеб-кодер должен уметь быстренько на коленке написать аль, YetAnotherOnanym (ok), 11:09 , 12-Сен-17, (169) Проблемы от того что потребитель не умеет пользоваться ПО правильно - запускать , Аноним (-), 12:24 , 12-Сен-17, (180) Вместо умничания на форумах и бездумной копипасты можно было бы и прочитать ориг, Анонимный Аналитек (?), 19:52 , 11-Сен-17, (120) Можно ссылочку Если нет -- шмякните себя по лживой роже канделябром, что ли , Michael Shigorin (ok), 12:03 , 12-Сен-17, (177) –2 Ты, дружок, пока писал совй умный коммент с жабистами-ассемблерщиками, курящими , pripolz (?), 08:34 , 11-Сен-17, (24) –4 Ну офигеть То есть мы тут уже который год совершенно напрасно критикуем явистов, freehck (ok), 08:53 , 11-Сен-17, (27) +4 // э зачем Их вот сейчас поимели прямо в рамках их же жабоприложения, без всяки, пох (?), 12:15 , 11-Сен-17, (65) Там апаче ясно дал понять, что архитектура должна предусматривать транспортные п, Аноним (-), 12:45 , 11-Сен-17, (73) +2 посмотрел багу, реально рукожопость Жабиный шеллкод-то выполнялся , pripolz (?), 13:22 , 11-Сен-17, (83) +2 желательно - закрытые Если транспортный протокол позволяет, как это у нас пиш, пох (?), 13:24 , 11-Сен-17, (84) –1 Ломали не транспортный протокол а ось, и через ось сливали данные БД, которая ви, Ан (??), 11:10 , 12-Сен-17, (170) Надеешься что реверсеры глупые и не разберутся Совершенно напрасная надежда Ес, Аноним (-), 21:23 , 12-Сен-17, (192) придется сперва дожидаться уязвимости во внешней обертке, потом - в узком промеж, пох (?), 22:43 , 13-Сен-17, (202) –1 DigiNotar у это расскажи Comodohacker не только вынес всю активную директорию, , Аноним (-), 02:21 , 14-Сен-17, (204) лол опять в убийстве нож виноват а потом удивляешься, что тебя дядьки посмекали, снилс (?), 18:04 , 11-Сен-17, (104) –1 В данном случае это больше похоже на бег с ножницами в руках по лестнице с завяз, Аноним (-), 21:38 , 11-Сен-17, (136) +1 случай данного взлома настолько банален, там просто можно захреначить жаба-код в, pripolz (?), 06:31 , 12-Сен-17, (157) –2 Я ничего не предполагал, жабисты все время сами настаивают что хотят только писа, Аноним (-), 21:27 , 12-Сен-17, (194) +1 Я тоже который год критикую явистов за то, что они дальше абстракции не видят И, pripolz (?), 13:10 , 11-Сен-17, (78) Уже развивал https www opennet ru openforum vsluhforumID3 111842 html n freehc, freehck (ok), 13:29 , 11-Сен-17, (86) а можно ещё дальше Подключил либу, ой, а в ней эксплойт , pripolz (?), 13:56 , 11-Сен-17, (92) –1 Вы не путайте знания реализации вышестоящей системы со знаниями её архитектуры , freehck (ok), 14:11 , 11-Сен-17, (94) +1 pripolz жаба программист не должен думатьВся суть поста Не благодари , _ (??), 19:38 , 11-Сен-17, (114) +2 томкет от рута запустить -- это настоящее рукожопие, да он по умолчанию так не , й (?), 01:12 , 11-Сен-17, (17) +4 // Не знал, как повесить его на 11443 и пробросить на 443 через iptables Да разве , freehck (ok), 08:56 , 11-Сен-17, (28) –1 // бывают-бывают лично я два года назад с руганью выпиливал такую же схему, достав, й (?), 13:01 , 11-Сен-17, (77) +1 Не очень то это удобно Я уже хз сколько времени на фронт вешаю nginx и кручу-ве, _ (??), 19:44 , 11-Сен-17, (118) для больших, типа екифака, это не то что неудобно, это скорее всего просто не ра, пох (?), 19:58 , 11-Сен-17, (122) +2 Кстати, мужики Мне тут рассказали про capabilities Оказывается, нынче не надо , freehck (ok), 21:19 , 11-Сен-17, (132) То ли еще будет, когда ты обнаружишь что в Linux есть namespaces и seccomp , Аноним (-), 21:40 , 11-Сен-17, (138) –1 а заодно, если поймаешь в нем remote exec - то же самое сможет делать и экзекнут, пох (?), 22:50 , 11-Сен-17, (145) +1 Понял Буду иметь в виду , freehck (ok), 01:05 , 12-Сен-17, (150) А чем вариант с setcap лучше хуже старого доброго authbind touch etc authbind , dwfe (ok), 05:20 , 12-Сен-17, (155) –1 X-Forwarded-For Нет, не слышал , YetAnotherOnanym (ok), 14:28 , 12-Сен-17, (181) слышал А в логах struts овой мега-системы - 127 0 0 1иди учись дальше, школьнич, пох (?), 16:06 , 12-Сен-17, (185) –1 То есть, струц не умеет скидывать в лог то, что нужно хозяину Богатая мегасисте, YetAnotherOnanym (ok), 09:26 , 13-Сен-17, (200) во-первых, struts - это фреймворк, в лог будет скидывать то, что на нем написано, пох (?), 22:55 , 13-Сен-17, (203) –1 То есть, в веб-фреймворке нет возможности писать в лог заданный в конфиге заголо, YetAnotherOnanym (ok), 11:20 , 14-Сен-17, (206) то есть ты так ни одного слова и не понял в веб-фреймворке я хз - может наверно, пох (?), 14:44 , 15-Сен-17, (207) –2 Вот сразу сишника видно Все думали он джаву пинает, а он прото тупит , Аноним (-), 02:17 , 16-Сен-17, (210) –1 Да не, дать бинарнику CAP_NET_BIND_SERVICE , Ан (??), 11:34 , 12-Сен-17, (173) Только что на джавистов гнал Неужели дошло Не верю , Аноним (-), 02:12 , 16-Сен-17, (209) –1 страшилка для маленьких мальчиков Сервер приложений все одно запускается с пра, КО (?), 09:16 , 11-Сен-17, (34) +2 // читайте новость rce возможно только, если слишком умный админ запустил сервер п, й (?), 12:57 , 11-Сен-17, (75) –3 Нет, и в новости все правильно написано, чего не скажешь о твоем выражении, iPony (?), 08:43 , 12-Сен-17, (159) –1 Это сколько надо боярышника, чтобы баг фреймворка валить на язык Следуя вашей ж, Аноним (-), 01:59 , 16-Сен-17, (208) –1 Ну конечно, а другие её не могли найти раньше, ага , Sluggard (ok), 22:18 , 10-Сен-17, (8) +2 // Могли и другую найти, поныне не закрытую , Аноним (-), 00:15 , 11-Сен-17, (16) // Более того, скорее всего, нашли Каков шанс, что хакер найдет дыру и раскажет о , Аноним (-), 11:38 , 11-Сен-17, (59) // Хрен бы его знает, но они делятся на white hats, gray hats и black hats В любом, Аноним (-), 21:44 , 11-Сен-17, (139) Вижу следующие проблемы - криворукость сетевого администратора в организации -, dwfe (?), 05:03 , 11-Сен-17, (18) –2 // Да что вы заладили root да root Прав непревелигерованного пользователя, под кот, slezhuk (?), 07:18 , 11-Сен-17, (20) +2   // Фронтенд инициирует создание сессии, получает некий токен, с ним ходит в СУБД Сл, лютый жабист__ (?), 07:23 , 11-Сен-17, (22)   // А зачем ты ею думаешь а не головой Сказано в течении 2 месяцев скачали данные 1, Анотоним (?), 08:52 , 11-Сен-17, (26) +1   Прослойка помешает Максимум вытянешь данные залогиненных пользователей и то если, Ку (?), 11:12 , 11-Сен-17, (54) +2   К тому же в памяти можно хранить сырые токены и только в момент передачи их в , Ку (?), 11:21 , 11-Сен-17, (55)   Отличный подход Понадеяться на прослойку БД и писать плохой код , Анотоним (?), 13:54 , 11-Сен-17, (90)   Как вам удалось сделал такой вывод из сказанного мной Пишите хороший Прослойку э, Ку (?), 17:06 , 11-Сен-17, (101)   Зачем нужна прослойка при хорошем коде , Анотоним (?), 10:07 , 12-Сен-17, (166)   Я человек простой - читаю текст новости и строго по нему спамлю в комментах Искл, dwfe (ok), 09:05 , 11-Сен-17, (30) +1   // Так в том то и дело, что в новости написано если web-приложение выполняется , slezhuk (?), 10:57 , 11-Сен-17, (51) +2   Блин, тут говорят что подстановка байт кода в запрос Теперь подумай достучаться, Ан (??), 11:41 , 12-Сен-17, (175)   Кстати, может хоть вы мне объясните, почему Java-программисты испытывают затрудн, freehck (ok), 09:01 , 11-Сен-17, (29) –1 // Все они могут В новости линк же есть https wiki apache org tomcat HowTo How_to, dwfe (ok), 09:08 , 11-Сен-17, (32) // этот линк как раз демонстрирует их полную беспомощность - от советов запускать ч, пох (?), 09:44 , 11-Сен-17, (38) +1 Наилучшим, по их мнению путем, является старт Tomcat в качестве нативной для lin, dwfe (ok), 09:59 , 11-Сен-17, (41) jsvc конечно же делает то, что надо, вот только подход с jsvc не всегда применим, freehck (ok), 10:50 , 11-Сен-17, (49) –1 Спасибо за разъяснение Честно говоря я не думал об этом И соглашусь с вами, что , dwfe (ok), 11:01 , 11-Сен-17, (53) +1 Наверное дело в том, что сброс привилегий производится по-разному на разных плат, freehck (ok), 11:22 , 11-Сен-17, (56) –1 Мне почему-то кажется, что обязательность кроссплатформенности не является основ, dwfe (ok), 11:38 , 11-Сен-17, (58) Да, это было бы здорово Если найдётся когда-нибудь такой способ, я бы протолкну, freehck (ok), 11:55 , 11-Сен-17, (60) –1 Здесь все рассылки разрабов OpenJDK читайте разарабов Java http mail openjdk , dwfe (ok), 12:02 , 11-Сен-17, (62) +1 ЕМНИП, в винде система прав сильно отличается от юниксовой Там просто нет таких, freehck (ok), 12:15 , 11-Сен-17, (64) В первом приближении я пока думаю, что они просто создают новый процесс https , dwfe (ok), 12:21 , 11-Сен-17, (66) Вот-вот, как раз шёл сюда отписать то же самое Тут ведь фокус в том, что в винда, freehck (ok), 12:34 , 11-Сен-17, (69) В венде сейчас есть такое решение https technet microsoft com en-us library cc, dwfe (ok), 12:44 , 11-Сен-17, (71) Ну, тут в общем-то обсуждается не фунцкия setuid, а скорее setuid bit runas п, freehck (ok), 13:00 , 11-Сен-17, (76) +1 Гуд, значит стопроцентов дело в ведре , dwfe (ok), 13:15 , 11-Сен-17, (82) Ваш пример не банальный, а глупый Сишников не учат, что свой API не системные п, Аноним (-), 14:42 , 18-Сен-17, (215) –1 jsvc-то делает, но как-то на удивление криво, нужна еще стройная система костыле, пох (?), 12:22 , 11-Сен-17, (67) +1 разъясните пожалуйста про костыли и подпорочки, мне для понимания надоспасет кор, dwfe (ok), 12:55 , 11-Сен-17, (74) Ну, чёткого определения костыля вообще нету, обычно эти слова произносятся в зав, freehck (ok), 13:11 , 11-Сен-17, (80) , dwfe (ok), 13:15 , 11-Сен-17, (81) А ведь вы правы Многих после такого http radikal ru fp rfy4trkjz5uoaначнет сл, dwfe (ok), 13:25 , 11-Сен-17, (85) Да ладно, это как раз-таки нормально Тут хотя бы есть стопудово рабочий способ , freehck (ok), 13:36 , 11-Сен-17, (88) вообще-то _правильно_ установленный компилятор разных версий умеет переключать, пох (?), 18:12 , 11-Сен-17, (105) +2 Приветствуем крионавта http gcc gnu org gcc-4 6 changes html, Аноним84701 (ok), 19:44 , 11-Сен-17, (117) +2 ну я же предупреждал, что не так прямо все легко До 4 7 2 код еще с нами, afair, пох (?), 20:07 , 11-Сен-17, (123) mkdir binexport PATH pwd bin PATH ln -s usr bin cool-c -compiler bin g , Ordu (ok), 19:02 , 11-Сен-17, (109) +1 Ну да Ведь сделать СXX g отдельной строчкой сложно, пускай лучше пользов, Аноним (-), 19:31 , 11-Сен-17, (112) –1 канешна - это ж надо сообразить, из какого места модной аутолибульной хрени оно , пох (?), 20:09 , 11-Сен-17, (124) Да не нужно гадать Т е делать так нужно как раз в аутолибульной хрени Или в г, Анонимный Аналитек (?), 20:47 , 11-Сен-17, (128) –1 Похоже на описание meson а, чтоли , Аноним (-), 22:31 , 11-Сен-17, (144) +1 О А вот это мне в голову не приходило Завтра попробую, спасибо , freehck (ok), 19:50 , 11-Сен-17, (119) Увы, это не помогло Помог вариант с user-config для bjam Но на будущее этот кос, freehck (ok), 19:25 , 22-Сен-17, (218) Хм Очевидно мало было только симлинк на другой компилятор подсунуть, надо был, Ordu (ok), 21:08 , 22-Сен-17, (219) +1 Хм Перенастраивать все симлинки system-wide - это может быть и неплохо для посл, freehck (ok), 13:26 , 23-Сен-17, (220) Это где это в boost такое Сколько раз собирал его кастомным компилятором, никак, Аноним (-), 20:10 , 11-Сен-17, (125) Это какая-то дремучая версия буста, на которую завязались ряд наших компонентов,, freehck (ok), 20:52 , 11-Сен-17, (129) Старше 15 лет, что ли или когда они bjam туда вкорячили Так и надо сразу уточ, Аноним (-), 21:20 , 11-Сен-17, (133) ну я рад услышать, что они хотя бы за пятнадцать лет догадались, но кому и пятна, пох (?), 00:21 , 12-Сен-17, (147) –1 Хм Мне думется, что ей лет 10-12, но bjam там кстати есть UPD нашёл версию в ф, freehck (ok), 01:07 , 12-Сен-17, (151) Раз так, то он должен собираться bjam ом, и компилятор можно задать через user-c, Аноним (-), 01:18 , 12-Сен-17, (152) +2 Спасибо, попробую , freehck (ok), 15:24 , 12-Сен-17, (183) Спасибо Собралось отлично с нужной версией компилятора , freehck (ok), 19:23 , 22-Сен-17, (217) не забудьте еще предусмотреть супервизор этого супервизора, а то оно умеет навер, пох (?), 18:13 , 11-Сен-17, (106) В нем все это сделано и даже достаточно прилично В Linux есть такая штука - wat, Аноним (-), 22:00 , 11-Сен-17, (141) –3 Вот же феерический бред Нет, ну надо же Аппаратный вачдог для мониторинга ра, freehck (ok), 10:24 , 16-Сен-17, (214) +1 Если я все правильно понимаю, то они это делают вот так https github com apach, dwfe (ok), 10:24 , 11-Сен-17, (45) gt оверквотинг удален Т е по вашему это джависты сервер приложений на проде з, Аноним (-), 02:28 , 16-Сен-17, (212) –1 Спасибо, поржал Особенно над suid-ником Не, всё правильно запускать-то из-под, freehck (ok), 09:59 , 11-Сен-17, (40) Да, нет же Работать оно будет под непривилегированным пользователем http joxi , dwfe (ok), 10:06 , 11-Сен-17, (43) Ваша ошибка в том, что я говорю о варианте с suid-ником, а Вы -- о варианте с js, freehck (ok), 10:29 , 11-Сен-17, (47) –1 Извините, я действительно не уточнил, что говорил про использование стартера jsv, dwfe (ok), 10:35 , 11-Сен-17, (48) Прокомментировал в 49 Он корректен не всегда, потому что форсирует демонизацию , freehck (ok), 10:58 , 11-Сен-17, (52) –1 Вот ссылка на исходник, где они устанавливают id https github com apache commo, dwfe (ok), 10:25 , 11-Сен-17, (46) Объясняю - никаких затруднений ибо java здесь абсолютно ну никаким боком Да не , Аноним (-), 02:26 , 16-Сен-17, (211) –1 Эм, а какое отношение сетевой администратор имеет к root на сервере , zanswer CCNA RS and S (?), 09:05 , 11-Сен-17, (31) +1 // Ну, хорошо, замените сетевой администратор любым другим устраивающим вас текст, dwfe (ok), 09:14 , 11-Сен-17, (33) Что-то в предыдущей теме могучие сишники так и не назвали правильный web2 0 MVCш, лютый жабист__ (?), 07:19 , 11-Сен-17, (21) –6 // Почему Потому что они распространены и не написаны на Яве И это портит твою ую, A.Stahl (ok), 08:04 , 11-Сен-17, (23) +6 // Патамучта решeто на порядок большее , лютый жабист__ (?), 09:23 , 11-Сен-17, (36) // Эврика Лютый жабист утверждает, что жаба -- решeто , freehck (ok), 12:45 , 11-Сен-17, (72) +2 На си же написано От яблони далеко не укатишься , лютый жабист__ (?), 16:40 , 11-Сен-17, (97) Далеко не укатишься, имхо, если считать что во всем виноват си, а думать за прог, Аноним (-), 22:27 , 11-Сен-17, (143) +1 жирнота asp net mvc жирнота , Аноним (-), 09:22 , 11-Сен-17, (35) +2 // Ты же худой как узник концлагеря Вот жирнота Ява Очень распространённый фреймв, A.Stahl (ok), 09:43 , 11-Сен-17, (37) +3 // погугли что такое фреймворк для веба Чтобы не пердеть в лужу , пох (?), 09:45 , 11-Сен-17, (39) +2 go gorilla, Аноним (-), 10:06 , 11-Сен-17, (42) +1 Treefrog, например , YetAnotherOnanym (ok), 17:04 , 11-Сен-17, (100) // Позырил, посмеялся Ты всерьёз это аналогом jsf или struts считаешь , лютый жабист__ (?), 18:43 , 11-Сен-17, (107) –2 // На здоровье Я тоже над Вашим комментарием посмеялся , YetAnotherOnanym (ok), 01:30 , 12-Сен-17, (154) чорт, плохая идея была искать одно это слово Как теперь развидеть все зеленое и, пох (?), 09:19 , 12-Сен-17, (161) на самом деле главная уязвимость была вовсе не в Struts, а вот здесь https pb, Аноним (-), 12:10 , 11-Сен-17, (63) +4 // расскажи, какого именно образования ты ждешь от человека, пришедшего в IT в 2002, пох (?), 12:29 , 11-Сен-17, (68) +1 // По идее эксперт безопасности должен бы донести до разработчиков и их руководства, Аноним (-), 21:52 , 11-Сен-17, (140) // какое отношение это имеет к скриншоту И что, собственно, было не так , кроме фа, пох (?), 00:29 , 12-Сен-17, (148) В 2002 году можно было бы хотя бы материалы дел Митника почитать , YetAnotherOnanym (ok), 11:19 , 12-Сен-17, (171) Лучше бы написали, что же они теперь то будут делать https www wired com story, yekm (ok), 12:36 , 11-Сен-17, (70) // в смысле Они ничего не будут делать, им-то зачем Жаль что эти ребята не наcр, пох (?), 13:33 , 11-Сен-17, (87) // Затем, что на них в суд классовый иск подан, а это им грозит в худшем случае вып, Ordu (ok), 18:57 , 11-Сен-17, (108) // ну что вы, право, это грозит выплатой юристу пары сотен Они у нас хорошо откорм, equifax (?), 20:11 , 11-Сен-17, (126) +1 При миллиардном иске Пара сотен Пара сотен тысяч, ты имеешь в виду , Ordu (ok), 20:41 , 11-Сен-17, (127) ну да, а чо такого-то лоер - он полезный, в отличие от каких-то там админов-шма, equifax (?), 21:34 , 11-Сен-17, (135) –1 Мне вот интересно, откуда вдруг взялась мода на слово лоер Это анонимы опенне, Ordu (ok), 22:13 , 11-Сен-17, (142) +1 адвокат просто выписывать дольше ну, тех-то еще по тридцати трем причинам корм, пох (?), 00:33 , 12-Сен-17, (149) Выдавать Либо новые СНИЛСы, либо кредиты Всем подряд , freehck (ok), 13:38 , 11-Сен-17, (89) // Чтобы получит новые СНИЛС им придется провести референдум по присоединению к РФ , Анотоним (?), 13:56 , 11-Сен-17, (91) +2 // Американский НГШ украдкой смотрит в словарь как пишется референдум , что это та, A.Stahl (ok), 14:08 , 11-Сен-17, (93) хрен там Нету возможности сменить ssn Говорят, если кто-то когда-то получит на, пох (?), 15:29 , 11-Сен-17, (96) Займутся тем, чем им давно бы пора - модернизацией процесса аутентификации и воп, KonstantinB (ok), 19:41 , 11-Сен-17, (115) // В этом смысле то, что утечка такая огромная - это даже плюс Утекло бы 10 тыщ - , KonstantinB (ok), 19:43 , 11-Сен-17, (116) Это 171 покруче 187 Ирмы будет , Андрей (??), 13:11 , 11-Сен-17, (79) раньше по этим данным можно было кредитку получить, возможно и сейчас это сущест, Sen (?), 16:52 , 11-Сен-17, (98) // Да чего там кредитку Самое интересное другое зная имя и SSN, можно заполнить ф, KonstantinB (ok), 19:25 , 11-Сен-17, (111) Какую-то ерунду написал ОпенСорс - это не общее понятие Это может быть и умира, iPony (?), 08:52 , 12-Сен-17, (160) –3 потому что это глупость Мода, к сожалению, не прошла, а наоборот, превысила уже, пох (?), 09:41 , 12-Сен-17, (162) –1 // А я то думал потому что так быстрее и дешевле Отсталое проприетарное нечто, с м, Аноним (-), 02:07 , 13-Сен-17, (199) // считал, или думал Обычно так нифига не дешевле - хотя да, быстрее , потому ч, пох (?), 12:39 , 13-Сен-17, (201) –1 Быстрее - значит дешевле Мало кто хочет бесплатно работать над чужими задачами , Аноним (-), 04:29 , 14-Сен-17, (205) что офисные комбайны всё меньше востребованы , Аноним (-), 10:20 , 12-Сен-17, (167) –1 Скорее она занимает свою историческую нишу Сдвинуть основы экономики опенсорс, ыы (?), 10:50 , 12-Сен-17, (168) –3 // Хозяйке на заметку сообщения 174, 172, 165, 164, 163, 156 пришли с одного адрес, Michael Shigorin (ok), 11:56 , 12-Сен-17, (176) // ну и где моя бонусная лицензия и путевка, блин только, чур не во Львов откат , пох (?), 14:54 , 12-Сен-17, (182) –1 Она, видать, тупая и просится в мусорку Потому что аналогичное же поведение бы, Michael Shigorin (ok), 15:29 , 12-Сен-17, (184) –3 ну так 2006й год, и, заметь, речь шла не о выброси свой линух, поставь что , пох (?), 16:18 , 12-Сен-17, (186) –1 Следующий ход очевиден -- проблемы нет, вы же легализовались, а перейти на лину, Michael Shigorin (ok), 16:24 , 12-Сен-17, (187) –4 хз - про следующий ход из этого источника мне ничего не приходило, наверное, не , пох (?), 17:17 , 12-Сен-17, (188) –1 К слову об утечках персданных ---Сегодня, 26 сентября, оператор мобильной связи , Michael Shigorin (ok), 18:47 , 26-Сен-17, (221) –1 // Мы узнаем о вступлении яровой на опенет -- по твоей отставке из Кенарем будешь, Andrey Mitrofanov (?), 18:59 , 26-Сен-17, (222) 1,5,7,8,18,21,63,70,79,98,221

Сообщения

[Сортировка по времени | RSS]

	20. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+2 +/–
	Сообщение от slezhuk (?), 11-Сен-17, 07:18
	Да что вы заладили root да root? Прав непревелигерованного пользователя, под которым запущен томкат вполне хватит, что бы получить доступ к данным, к которым есть доступ у веб сервера. В данном случае- доступ в бд на чтение.
	Ответить | Правка | Наверх | Cообщить модератору

	22. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от лютый жабист__ (?), 11-Сен-17, 07:23
	>бы получить доступ к данным, к которым есть доступ у веб сервера Фронтенд инициирует создание сессии, получает некий токен, с ним ходит в СУБД. Сломав фронтенд можно максимум получить информацию из других АКТИВНЫХ сессий. Это если думать не попой.
	Ответить | Правка | Наверх | Cообщить модератору

	26. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от Анотоним (?), 11-Сен-17, 08:52
	>Это если думать не попой. А зачем ты ею думаешь а не головой? Сказано "в течении 2 месяцев скачали данные 143 миллионов американцев".  Ты полагаешь за эти два месяца эти сто сорок три миллиона американцев ходили на сайт этого бюро? Явно же медленно незаметно сдампили БД. Для этого не нужен root, и этому не помешает дополнительная "прослойка" между frontend и BD.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+2 +/–
	Сообщение от Ку (?), 11-Сен-17, 11:12
	Прослойка помешает. Максимум вытянешь данные залогиненных пользователей и то если получишь токены из памяти. Другое дело, что в сабже этого не было сделано и все(или почти) данные слили. Это архитектурная недоработка в безопасности ифраструктуры.
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Ку (?), 11-Сен-17, 11:21
	К тому же в памяти можно хранить "сырые" токены и только в момент передачи их в БД сервис, дешифровывать по определенному алгоритму. В этом случае даже получение такого токена из памяти ничего не даст, пока ты не разберешся как его дешифровать, ибо БД сервис не будет его принимать.
	Ответить | Правка | Наверх | Cообщить модератору

	90. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Анотоним (?), 11-Сен-17, 13:54
	Отличный подход: Понадеяться на прослойку/БД и писать плохой код!
	Ответить | Правка | Наверх | Cообщить модератору

	101. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Ку (?), 11-Сен-17, 17:06
	Как вам удалось сделал такой вывод из сказанного мной? Пишите хороший. Прослойку это не отменяет.
	Ответить | Правка | Наверх | Cообщить модератору

	166. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Анотоним (?), 12-Сен-17, 10:07
	Зачем нужна прослойка при хорошем коде?
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от dwfe (ok), 11-Сен-17, 09:05
	> Да что вы заладили root да root? Я человек простой - читаю текст новости и строго по нему спамлю в комментах. Исключительно по тексту новости: "Обе проблемы позволяют выполнить свой код на сервере, при этом если web-приложение выполняется в контейнере Apache Tomcat, запускаемом с правами root, в результате удалённой атаки может быть получен доступ с правами root." Они первые начали :)
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	51. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+2 +/–
	Сообщение от slezhuk (?), 11-Сен-17, 10:57
	Так в том то и дело, что в новости написано: "если web-приложение выполняется ... с правами root", но при этом нигде не написано, что у Эквифакса оно работает от рута. А все почему то прочитали это как: "Эквифакс не умеет в томкат и запускает его от рута". На мой взгляд вина Эквифакса варьируется между "не умеют выбирать стек приложений" (apache struts известен большим количеством критических уязвимостей), если их поимели через CVE-2017-9805 и "не умеют патчится", если их поимели через CVE-2017-5638. К первому особо не докопаешься, потому что 0-day и такое может случиться с любым стеком технологий. Если второе, то тут конечно серьезнее. 2 месяца не патчить RCE - за такое надо наказывать -рублём- долларом.
	Ответить | Правка | Наверх | Cообщить модератору

	175. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Ан (??), 12-Сен-17, 11:41
	> Да что вы заладили root да root? Прав непревелигерованного пользователя, под которым > запущен томкат вполне хватит, что бы получить доступ к данным, к > которым есть доступ у веб сервера. В данном случае- доступ в > бд на чтение. Блин, тут говорят что подстановка байт кода в запрос. Теперь подумай достучаться до оси, инструментарий которой тебе известен, или подставить код, который вставит твой функционал в приложение, т.е. обратится к БД и сольёт тебе данные. Второе вообще не так тривиально и у хацкеров вызывает сегфолты и эксепшены, а не хеппи сливы.
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема