Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в Apache Struts стала причиной утечки персональны..., opennews (??), 10-Сен-17, (0) [смотреть все] Индейцы отомстили, Аноним (-), 21:15 , 10-Сен-17, (1) +2 // Украсть Использовать , Fomalhaut (?), 21:19 , 10-Сен-17, (2) // У америкосов номер соцстраха это примерно как у нас номер паспорта - называешь в, Elhana (ok), 22:02 , 10-Сен-17, (6) +6 // Мне он читается как номер общественной безопасности от человека , а по сути -, Michael Shigorin (ok), 23:42 , 10-Сен-17, (11) –27 Social security - переводится социальное страхование , аналог нашего пенсионн, Аноним (-), 23:46 , 10-Сен-17, (13) +10 Короче, это SS , freehck (ok), 08:42 , 11-Сен-17, (25) –1 обычно сокращают как SSN social security number но проблема жесточайшая я бою, Sergey (??), 21:03 , 11-Сен-17, (130) Можно получить новый номер Проблема тогда обновить везде от телефонного контрак, Lolwat (?), 01:21 , 12-Сен-17, (153) +1 С очень даже существенными отличиями Это можно сказать основной идентификатор ч, qsdg (ok), 10:10 , 11-Сен-17, (44) Вау Несовместимые языки Что за зверь такой Чем определяется уровень совместим, Аноним (-), 15:25 , 11-Сен-17, (95) –2 Хмм скорее - ИНН , _ (??), 19:34 , 11-Сен-17, (113) Если отвечать в вашем стиле - а у россиян крпостных к столбу привязывают И еще , Аноним (-), 21:03 , 11-Сен-17, (131) +2 Какой к лешему стопор, если от телека входит в ступор и готово бомбить страны, к, Michael Shigorin (ok), 22:35 , 12-Сен-17, (197) –2 Ну вот такой EFF в штатах почему-то никто не гнобит, хоть они и позволяют себе , Аноним (-), 23:17 , 12-Сен-17, (198) Тебе виднее Конечно Конечно https duckduckgo com q blacks heroin criminaliz, Andrey Mitrofanov (?), 09:07 , 16-Сен-17, (213) Дайте ссылку, откуда скачать можно дамп, Аноним (-), 21:57 , 10-Сен-17, (5) +7 Как же так Оказывается, ни новомодные игрушки, ни даже cосвем-не-тормозящая-и-п, Аноним (-), 22:14 , 10-Сен-17, (7) +13 // Не стоит называть это рукожопием, и вот почему жаба программист не должен думат, pripolz (?), 23:03 , 10-Сен-17, (10) –9 // Это уже не руко-, это голово- А это так называемый hype Вы не сталкивались с чет, Michael Shigorin (ok), 23:44 , 10-Сен-17, (12) –4 // А как же разделение труда , Аноним (15), 00:05 , 11-Сен-17, (15) Какое разделение труда У него каждая кухарка может управлять государством , Аноним (-), 06:20 , 11-Сен-17, (19) –6 Каждая кухарка не может, миллион кухарок может в 100 раз эффективнее любого чину, Аноним (-), 11:35 , 11-Сен-17, (57) –1 А сколько обезьян надо, чтобы быть эффективнее 1 кухарки , Аноним (-), 19:20 , 11-Сен-17, (110) +1 У кого-то опять миллионная фиксация в вакуумной коробке, принимающей лозунги без, Michael Shigorin (ok), 12:06 , 12-Сен-17, (178) –2 Каждый должен заниматься чем он лучше всего умеет Умеешь делать UI и не умеешь , Аноним (-), 11:57 , 11-Сен-17, (61) Для этого нужна сущая мелочь - чтобы другие, от качества работы которых зависят , YetAnotherOnanym (ok), 17:01 , 11-Сен-17, (99) качественно не означает идеально , увы и много внеросии отсудили у тойеты за , пох (?), 19:54 , 11-Сен-17, (121) –2 Разве я утверждал, что уеб-кодер должен уметь быстренько на коленке написать аль, YetAnotherOnanym (ok), 11:09 , 12-Сен-17, (169) Проблемы от того что потребитель не умеет пользоваться ПО правильно - запускать , Аноним (-), 12:24 , 12-Сен-17, (180) Вместо умничания на форумах и бездумной копипасты можно было бы и прочитать ориг, Анонимный Аналитек (?), 19:52 , 11-Сен-17, (120) Можно ссылочку Если нет -- шмякните себя по лживой роже канделябром, что ли , Michael Shigorin (ok), 12:03 , 12-Сен-17, (177) –2 Ты, дружок, пока писал совй умный коммент с жабистами-ассемблерщиками, курящими , pripolz (?), 08:34 , 11-Сен-17, (24) –4 Ну офигеть То есть мы тут уже который год совершенно напрасно критикуем явистов, freehck (ok), 08:53 , 11-Сен-17, (27) +4   // э зачем Их вот сейчас поимели прямо в рамках их же жабоприложения, без всяки, пох (?), 12:15 , 11-Сен-17, (65)   Там апаче ясно дал понять, что архитектура должна предусматривать транспортные п, Аноним (-), 12:45 , 11-Сен-17, (73) +2   посмотрел багу, реально рукожопость Жабиный шеллкод-то выполнялся , pripolz (?), 13:22 , 11-Сен-17, (83) +2   желательно - закрытые Если транспортный протокол позволяет, как это у нас пиш, пох (?), 13:24 , 11-Сен-17, (84) –1   Ломали не транспортный протокол а ось, и через ось сливали данные БД, которая ви, Ан (??), 11:10 , 12-Сен-17, (170)   Надеешься что реверсеры глупые и не разберутся Совершенно напрасная надежда Ес, Аноним (-), 21:23 , 12-Сен-17, (192)   придется сперва дожидаться уязвимости во внешней обертке, потом - в узком промеж, пох (?), 22:43 , 13-Сен-17, (202) –1   DigiNotar у это расскажи Comodohacker не только вынес всю активную директорию, , Аноним (-), 02:21 , 14-Сен-17, (204)   лол опять в убийстве нож виноват а потом удивляешься, что тебя дядьки посмекали, снилс (?), 18:04 , 11-Сен-17, (104) –1   В данном случае это больше похоже на бег с ножницами в руках по лестнице с завяз, Аноним (-), 21:38 , 11-Сен-17, (136) +1   случай данного взлома настолько банален, там просто можно захреначить жаба-код в, pripolz (?), 06:31 , 12-Сен-17, (157) –2   Я ничего не предполагал, жабисты все время сами настаивают что хотят только писа, Аноним (-), 21:27 , 12-Сен-17, (194) +1   Я тоже который год критикую явистов за то, что они дальше абстракции не видят И, pripolz (?), 13:10 , 11-Сен-17, (78)   Уже развивал https www opennet ru openforum vsluhforumID3 111842 html n freehc, freehck (ok), 13:29 , 11-Сен-17, (86)   а можно ещё дальше Подключил либу, ой, а в ней эксплойт , pripolz (?), 13:56 , 11-Сен-17, (92) –1   Вы не путайте знания реализации вышестоящей системы со знаниями её архитектуры , freehck (ok), 14:11 , 11-Сен-17, (94) +1   pripolz жаба программист не должен думатьВся суть поста Не благодари , _ (??), 19:38 , 11-Сен-17, (114) +2 томкет от рута запустить -- это настоящее рукожопие, да он по умолчанию так не , й (?), 01:12 , 11-Сен-17, (17) +4 // Не знал, как повесить его на 11443 и пробросить на 443 через iptables Да разве , freehck (ok), 08:56 , 11-Сен-17, (28) –1 // бывают-бывают лично я два года назад с руганью выпиливал такую же схему, достав, й (?), 13:01 , 11-Сен-17, (77) +1 Не очень то это удобно Я уже хз сколько времени на фронт вешаю nginx и кручу-ве, _ (??), 19:44 , 11-Сен-17, (118) для больших, типа екифака, это не то что неудобно, это скорее всего просто не ра, пох (?), 19:58 , 11-Сен-17, (122) +2 Кстати, мужики Мне тут рассказали про capabilities Оказывается, нынче не надо , freehck (ok), 21:19 , 11-Сен-17, (132) То ли еще будет, когда ты обнаружишь что в Linux есть namespaces и seccomp , Аноним (-), 21:40 , 11-Сен-17, (138) –1 а заодно, если поймаешь в нем remote exec - то же самое сможет делать и экзекнут, пох (?), 22:50 , 11-Сен-17, (145) +1 Понял Буду иметь в виду , freehck (ok), 01:05 , 12-Сен-17, (150) А чем вариант с setcap лучше хуже старого доброго authbind touch etc authbind , dwfe (ok), 05:20 , 12-Сен-17, (155) –1 X-Forwarded-For Нет, не слышал , YetAnotherOnanym (ok), 14:28 , 12-Сен-17, (181) слышал А в логах struts овой мега-системы - 127 0 0 1иди учись дальше, школьнич, пох (?), 16:06 , 12-Сен-17, (185) –1 То есть, струц не умеет скидывать в лог то, что нужно хозяину Богатая мегасисте, YetAnotherOnanym (ok), 09:26 , 13-Сен-17, (200) во-первых, struts - это фреймворк, в лог будет скидывать то, что на нем написано, пох (?), 22:55 , 13-Сен-17, (203) –1 То есть, в веб-фреймворке нет возможности писать в лог заданный в конфиге заголо, YetAnotherOnanym (ok), 11:20 , 14-Сен-17, (206) то есть ты так ни одного слова и не понял в веб-фреймворке я хз - может наверно, пох (?), 14:44 , 15-Сен-17, (207) –2 Вот сразу сишника видно Все думали он джаву пинает, а он прото тупит , Аноним (-), 02:17 , 16-Сен-17, (210) –1 Да не, дать бинарнику CAP_NET_BIND_SERVICE , Ан (??), 11:34 , 12-Сен-17, (173) Только что на джавистов гнал Неужели дошло Не верю , Аноним (-), 02:12 , 16-Сен-17, (209) –1 страшилка для маленьких мальчиков Сервер приложений все одно запускается с пра, КО (?), 09:16 , 11-Сен-17, (34) +2 // читайте новость rce возможно только, если слишком умный админ запустил сервер п, й (?), 12:57 , 11-Сен-17, (75) –3 Нет, и в новости все правильно написано, чего не скажешь о твоем выражении, iPony (?), 08:43 , 12-Сен-17, (159) –1 Это сколько надо боярышника, чтобы баг фреймворка валить на язык Следуя вашей ж, Аноним (-), 01:59 , 16-Сен-17, (208) –1 Ну конечно, а другие её не могли найти раньше, ага , Sluggard (ok), 22:18 , 10-Сен-17, (8) +2 // Могли и другую найти, поныне не закрытую , Аноним (-), 00:15 , 11-Сен-17, (16) // Более того, скорее всего, нашли Каков шанс, что хакер найдет дыру и раскажет о , Аноним (-), 11:38 , 11-Сен-17, (59) // Хрен бы его знает, но они делятся на white hats, gray hats и black hats В любом, Аноним (-), 21:44 , 11-Сен-17, (139) Вижу следующие проблемы - криворукость сетевого администратора в организации -, dwfe (?), 05:03 , 11-Сен-17, (18) –2 // Да что вы заладили root да root Прав непревелигерованного пользователя, под кот, slezhuk (?), 07:18 , 11-Сен-17, (20) +2 // Фронтенд инициирует создание сессии, получает некий токен, с ним ходит в СУБД Сл, лютый жабист__ (?), 07:23 , 11-Сен-17, (22) // А зачем ты ею думаешь а не головой Сказано в течении 2 месяцев скачали данные 1, Анотоним (?), 08:52 , 11-Сен-17, (26) +1 Прослойка помешает Максимум вытянешь данные залогиненных пользователей и то если, Ку (?), 11:12 , 11-Сен-17, (54) +2 К тому же в памяти можно хранить сырые токены и только в момент передачи их в , Ку (?), 11:21 , 11-Сен-17, (55) Отличный подход Понадеяться на прослойку БД и писать плохой код , Анотоним (?), 13:54 , 11-Сен-17, (90) Как вам удалось сделал такой вывод из сказанного мной Пишите хороший Прослойку э, Ку (?), 17:06 , 11-Сен-17, (101) Зачем нужна прослойка при хорошем коде , Анотоним (?), 10:07 , 12-Сен-17, (166) Я человек простой - читаю текст новости и строго по нему спамлю в комментах Искл, dwfe (ok), 09:05 , 11-Сен-17, (30) +1 // Так в том то и дело, что в новости написано если web-приложение выполняется , slezhuk (?), 10:57 , 11-Сен-17, (51) +2 Блин, тут говорят что подстановка байт кода в запрос Теперь подумай достучаться, Ан (??), 11:41 , 12-Сен-17, (175) Кстати, может хоть вы мне объясните, почему Java-программисты испытывают затрудн, freehck (ok), 09:01 , 11-Сен-17, (29) –1 // Все они могут В новости линк же есть https wiki apache org tomcat HowTo How_to, dwfe (ok), 09:08 , 11-Сен-17, (32) // этот линк как раз демонстрирует их полную беспомощность - от советов запускать ч, пох (?), 09:44 , 11-Сен-17, (38) +1 Наилучшим, по их мнению путем, является старт Tomcat в качестве нативной для lin, dwfe (ok), 09:59 , 11-Сен-17, (41) jsvc конечно же делает то, что надо, вот только подход с jsvc не всегда применим, freehck (ok), 10:50 , 11-Сен-17, (49) –1 Спасибо за разъяснение Честно говоря я не думал об этом И соглашусь с вами, что , dwfe (ok), 11:01 , 11-Сен-17, (53) +1 Наверное дело в том, что сброс привилегий производится по-разному на разных плат, freehck (ok), 11:22 , 11-Сен-17, (56) –1 Мне почему-то кажется, что обязательность кроссплатформенности не является основ, dwfe (ok), 11:38 , 11-Сен-17, (58) Да, это было бы здорово Если найдётся когда-нибудь такой способ, я бы протолкну, freehck (ok), 11:55 , 11-Сен-17, (60) –1 Здесь все рассылки разрабов OpenJDK читайте разарабов Java http mail openjdk , dwfe (ok), 12:02 , 11-Сен-17, (62) +1 ЕМНИП, в винде система прав сильно отличается от юниксовой Там просто нет таких, freehck (ok), 12:15 , 11-Сен-17, (64) В первом приближении я пока думаю, что они просто создают новый процесс https , dwfe (ok), 12:21 , 11-Сен-17, (66) Вот-вот, как раз шёл сюда отписать то же самое Тут ведь фокус в том, что в винда, freehck (ok), 12:34 , 11-Сен-17, (69) В венде сейчас есть такое решение https technet microsoft com en-us library cc, dwfe (ok), 12:44 , 11-Сен-17, (71) Ну, тут в общем-то обсуждается не фунцкия setuid, а скорее setuid bit runas п, freehck (ok), 13:00 , 11-Сен-17, (76) +1 Гуд, значит стопроцентов дело в ведре , dwfe (ok), 13:15 , 11-Сен-17, (82) Ваш пример не банальный, а глупый Сишников не учат, что свой API не системные п, Аноним (-), 14:42 , 18-Сен-17, (215) –1 jsvc-то делает, но как-то на удивление криво, нужна еще стройная система костыле, пох (?), 12:22 , 11-Сен-17, (67) +1 разъясните пожалуйста про костыли и подпорочки, мне для понимания надоспасет кор, dwfe (ok), 12:55 , 11-Сен-17, (74) Ну, чёткого определения костыля вообще нету, обычно эти слова произносятся в зав, freehck (ok), 13:11 , 11-Сен-17, (80) , dwfe (ok), 13:15 , 11-Сен-17, (81) А ведь вы правы Многих после такого http radikal ru fp rfy4trkjz5uoaначнет сл, dwfe (ok), 13:25 , 11-Сен-17, (85) Да ладно, это как раз-таки нормально Тут хотя бы есть стопудово рабочий способ , freehck (ok), 13:36 , 11-Сен-17, (88) вообще-то _правильно_ установленный компилятор разных версий умеет переключать, пох (?), 18:12 , 11-Сен-17, (105) +2 Приветствуем крионавта http gcc gnu org gcc-4 6 changes html, Аноним84701 (ok), 19:44 , 11-Сен-17, (117) +2 ну я же предупреждал, что не так прямо все легко До 4 7 2 код еще с нами, afair, пох (?), 20:07 , 11-Сен-17, (123) mkdir binexport PATH pwd bin PATH ln -s usr bin cool-c -compiler bin g , Ordu (ok), 19:02 , 11-Сен-17, (109) +1 Ну да Ведь сделать СXX g отдельной строчкой сложно, пускай лучше пользов, Аноним (-), 19:31 , 11-Сен-17, (112) –1 канешна - это ж надо сообразить, из какого места модной аутолибульной хрени оно , пох (?), 20:09 , 11-Сен-17, (124) Да не нужно гадать Т е делать так нужно как раз в аутолибульной хрени Или в г, Анонимный Аналитек (?), 20:47 , 11-Сен-17, (128) –1 Похоже на описание meson а, чтоли , Аноним (-), 22:31 , 11-Сен-17, (144) +1 О А вот это мне в голову не приходило Завтра попробую, спасибо , freehck (ok), 19:50 , 11-Сен-17, (119) Увы, это не помогло Помог вариант с user-config для bjam Но на будущее этот кос, freehck (ok), 19:25 , 22-Сен-17, (218) Хм Очевидно мало было только симлинк на другой компилятор подсунуть, надо был, Ordu (ok), 21:08 , 22-Сен-17, (219) +1 Хм Перенастраивать все симлинки system-wide - это может быть и неплохо для посл, freehck (ok), 13:26 , 23-Сен-17, (220) Это где это в boost такое Сколько раз собирал его кастомным компилятором, никак, Аноним (-), 20:10 , 11-Сен-17, (125) Это какая-то дремучая версия буста, на которую завязались ряд наших компонентов,, freehck (ok), 20:52 , 11-Сен-17, (129) Старше 15 лет, что ли или когда они bjam туда вкорячили Так и надо сразу уточ, Аноним (-), 21:20 , 11-Сен-17, (133) ну я рад услышать, что они хотя бы за пятнадцать лет догадались, но кому и пятна, пох (?), 00:21 , 12-Сен-17, (147) –1 Хм Мне думется, что ей лет 10-12, но bjam там кстати есть UPD нашёл версию в ф, freehck (ok), 01:07 , 12-Сен-17, (151) Раз так, то он должен собираться bjam ом, и компилятор можно задать через user-c, Аноним (-), 01:18 , 12-Сен-17, (152) +2 Спасибо, попробую , freehck (ok), 15:24 , 12-Сен-17, (183) Спасибо Собралось отлично с нужной версией компилятора , freehck (ok), 19:23 , 22-Сен-17, (217) не забудьте еще предусмотреть супервизор этого супервизора, а то оно умеет навер, пох (?), 18:13 , 11-Сен-17, (106) В нем все это сделано и даже достаточно прилично В Linux есть такая штука - wat, Аноним (-), 22:00 , 11-Сен-17, (141) –3 Вот же феерический бред Нет, ну надо же Аппаратный вачдог для мониторинга ра, freehck (ok), 10:24 , 16-Сен-17, (214) +1 Если я все правильно понимаю, то они это делают вот так https github com apach, dwfe (ok), 10:24 , 11-Сен-17, (45) gt оверквотинг удален Т е по вашему это джависты сервер приложений на проде з, Аноним (-), 02:28 , 16-Сен-17, (212) –1 Спасибо, поржал Особенно над suid-ником Не, всё правильно запускать-то из-под, freehck (ok), 09:59 , 11-Сен-17, (40) Да, нет же Работать оно будет под непривилегированным пользователем http joxi , dwfe (ok), 10:06 , 11-Сен-17, (43) Ваша ошибка в том, что я говорю о варианте с suid-ником, а Вы -- о варианте с js, freehck (ok), 10:29 , 11-Сен-17, (47) –1 Извините, я действительно не уточнил, что говорил про использование стартера jsv, dwfe (ok), 10:35 , 11-Сен-17, (48) Прокомментировал в 49 Он корректен не всегда, потому что форсирует демонизацию , freehck (ok), 10:58 , 11-Сен-17, (52) –1 Вот ссылка на исходник, где они устанавливают id https github com apache commo, dwfe (ok), 10:25 , 11-Сен-17, (46) Объясняю - никаких затруднений ибо java здесь абсолютно ну никаким боком Да не , Аноним (-), 02:26 , 16-Сен-17, (211) –1 Эм, а какое отношение сетевой администратор имеет к root на сервере , zanswer CCNA RS and S (?), 09:05 , 11-Сен-17, (31) +1 // Ну, хорошо, замените сетевой администратор любым другим устраивающим вас текст, dwfe (ok), 09:14 , 11-Сен-17, (33) Что-то в предыдущей теме могучие сишники так и не назвали правильный web2 0 MVCш, лютый жабист__ (?), 07:19 , 11-Сен-17, (21) –6 // Почему Потому что они распространены и не написаны на Яве И это портит твою ую, A.Stahl (ok), 08:04 , 11-Сен-17, (23) +6 // Патамучта решeто на порядок большее , лютый жабист__ (?), 09:23 , 11-Сен-17, (36) // Эврика Лютый жабист утверждает, что жаба -- решeто , freehck (ok), 12:45 , 11-Сен-17, (72) +2 На си же написано От яблони далеко не укатишься , лютый жабист__ (?), 16:40 , 11-Сен-17, (97) Далеко не укатишься, имхо, если считать что во всем виноват си, а думать за прог, Аноним (-), 22:27 , 11-Сен-17, (143) +1 жирнота asp net mvc жирнота , Аноним (-), 09:22 , 11-Сен-17, (35) +2 // Ты же худой как узник концлагеря Вот жирнота Ява Очень распространённый фреймв, A.Stahl (ok), 09:43 , 11-Сен-17, (37) +3 // погугли что такое фреймворк для веба Чтобы не пердеть в лужу , пох (?), 09:45 , 11-Сен-17, (39) +2 go gorilla, Аноним (-), 10:06 , 11-Сен-17, (42) +1 Treefrog, например , YetAnotherOnanym (ok), 17:04 , 11-Сен-17, (100) // Позырил, посмеялся Ты всерьёз это аналогом jsf или struts считаешь , лютый жабист__ (?), 18:43 , 11-Сен-17, (107) –2 // На здоровье Я тоже над Вашим комментарием посмеялся , YetAnotherOnanym (ok), 01:30 , 12-Сен-17, (154) чорт, плохая идея была искать одно это слово Как теперь развидеть все зеленое и, пох (?), 09:19 , 12-Сен-17, (161) на самом деле главная уязвимость была вовсе не в Struts, а вот здесь https pb, Аноним (-), 12:10 , 11-Сен-17, (63) +4 // расскажи, какого именно образования ты ждешь от человека, пришедшего в IT в 2002, пох (?), 12:29 , 11-Сен-17, (68) +1 // По идее эксперт безопасности должен бы донести до разработчиков и их руководства, Аноним (-), 21:52 , 11-Сен-17, (140) // какое отношение это имеет к скриншоту И что, собственно, было не так , кроме фа, пох (?), 00:29 , 12-Сен-17, (148) В 2002 году можно было бы хотя бы материалы дел Митника почитать , YetAnotherOnanym (ok), 11:19 , 12-Сен-17, (171) Лучше бы написали, что же они теперь то будут делать https www wired com story, yekm (ok), 12:36 , 11-Сен-17, (70) // в смысле Они ничего не будут делать, им-то зачем Жаль что эти ребята не наcр, пох (?), 13:33 , 11-Сен-17, (87) // Затем, что на них в суд классовый иск подан, а это им грозит в худшем случае вып, Ordu (ok), 18:57 , 11-Сен-17, (108) // ну что вы, право, это грозит выплатой юристу пары сотен Они у нас хорошо откорм, equifax (?), 20:11 , 11-Сен-17, (126) +1 При миллиардном иске Пара сотен Пара сотен тысяч, ты имеешь в виду , Ordu (ok), 20:41 , 11-Сен-17, (127) ну да, а чо такого-то лоер - он полезный, в отличие от каких-то там админов-шма, equifax (?), 21:34 , 11-Сен-17, (135) –1 Мне вот интересно, откуда вдруг взялась мода на слово лоер Это анонимы опенне, Ordu (ok), 22:13 , 11-Сен-17, (142) +1 адвокат просто выписывать дольше ну, тех-то еще по тридцати трем причинам корм, пох (?), 00:33 , 12-Сен-17, (149) Выдавать Либо новые СНИЛСы, либо кредиты Всем подряд , freehck (ok), 13:38 , 11-Сен-17, (89) // Чтобы получит новые СНИЛС им придется провести референдум по присоединению к РФ , Анотоним (?), 13:56 , 11-Сен-17, (91) +2 // Американский НГШ украдкой смотрит в словарь как пишется референдум , что это та, A.Stahl (ok), 14:08 , 11-Сен-17, (93) хрен там Нету возможности сменить ssn Говорят, если кто-то когда-то получит на, пох (?), 15:29 , 11-Сен-17, (96) Займутся тем, чем им давно бы пора - модернизацией процесса аутентификации и воп, KonstantinB (ok), 19:41 , 11-Сен-17, (115) // В этом смысле то, что утечка такая огромная - это даже плюс Утекло бы 10 тыщ - , KonstantinB (ok), 19:43 , 11-Сен-17, (116) Это 171 покруче 187 Ирмы будет , Андрей (??), 13:11 , 11-Сен-17, (79) раньше по этим данным можно было кредитку получить, возможно и сейчас это сущест, Sen (?), 16:52 , 11-Сен-17, (98) // Да чего там кредитку Самое интересное другое зная имя и SSN, можно заполнить ф, KonstantinB (ok), 19:25 , 11-Сен-17, (111) Какую-то ерунду написал ОпенСорс - это не общее понятие Это может быть и умира, iPony (?), 08:52 , 12-Сен-17, (160) –3 потому что это глупость Мода, к сожалению, не прошла, а наоборот, превысила уже, пох (?), 09:41 , 12-Сен-17, (162) –1 // А я то думал потому что так быстрее и дешевле Отсталое проприетарное нечто, с м, Аноним (-), 02:07 , 13-Сен-17, (199) // считал, или думал Обычно так нифига не дешевле - хотя да, быстрее , потому ч, пох (?), 12:39 , 13-Сен-17, (201) –1 Быстрее - значит дешевле Мало кто хочет бесплатно работать над чужими задачами , Аноним (-), 04:29 , 14-Сен-17, (205) что офисные комбайны всё меньше востребованы , Аноним (-), 10:20 , 12-Сен-17, (167) –1 Скорее она занимает свою историческую нишу Сдвинуть основы экономики опенсорс, ыы (?), 10:50 , 12-Сен-17, (168) –3 // Хозяйке на заметку сообщения 174, 172, 165, 164, 163, 156 пришли с одного адрес, Michael Shigorin (ok), 11:56 , 12-Сен-17, (176) // ну и где моя бонусная лицензия и путевка, блин только, чур не во Львов откат , пох (?), 14:54 , 12-Сен-17, (182) –1 Она, видать, тупая и просится в мусорку Потому что аналогичное же поведение бы, Michael Shigorin (ok), 15:29 , 12-Сен-17, (184) –3 ну так 2006й год, и, заметь, речь шла не о выброси свой линух, поставь что , пох (?), 16:18 , 12-Сен-17, (186) –1 Следующий ход очевиден -- проблемы нет, вы же легализовались, а перейти на лину, Michael Shigorin (ok), 16:24 , 12-Сен-17, (187) –4 хз - про следующий ход из этого источника мне ничего не приходило, наверное, не , пох (?), 17:17 , 12-Сен-17, (188) –1 К слову об утечках персданных ---Сегодня, 26 сентября, оператор мобильной связи , Michael Shigorin (ok), 18:47 , 26-Сен-17, (221) –1 // Мы узнаем о вступлении яровой на опенет -- по твоей отставке из Кенарем будешь, Andrey Mitrofanov (?), 18:59 , 26-Сен-17, (222) 1,5,7,8,18,21,63,70,79,98,221

Сообщения

[Сортировка по времени | RSS]

	27. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+4 +/–
	Сообщение от freehck (ok), 11-Сен-17, 08:53
	> Выполнение машинного кода процессом jvm строго говоря находится за > пределами его (жаба программиста) компетенции, в этом весь смысл > высокоуровневости и безопасности платформы. Ну офигеть. То есть мы тут уже который год совершенно напрасно критикуем явистов за то, что они дальше своей JVM ничего не знают и не видят. Ну совсем-совсем зря мы это делаем, потому что, ВНЕЗАПНО, ТАК И ЗАДУМАНО. :) Да идите вы все нафиг. Программист ОБЯЗАН знать, как устроена вышестоящая система. Виртуалки нынче используются много где: Racket, OCaml, LLVM, но только в JVM программисты почему-то считают, что на ней мир и заканчивается. То, что Вы говорите, это какой-то мерзкий хайп, вброс, который оправдывает рукожопость. Тфу гадость.
	Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

	65. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от пох (?), 11-Сен-17, 12:15
	> Да идите вы все нафиг. Программист ОБЯЗАН знать, как устроена вышестоящая система. э... зачем? Их вот сейчас поимели прямо в рамках их же жабоприложения, без всяких вышестоящих систем (и рут унаследовали от жабаприложения же, а не из вышестоящей системы добыли [что иногда случается с сишными демонами, не до конца сбрасывающими привиллегии])
	Ответить | Правка | Наверх | Cообщить модератору

	73. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+2 +/–
	Сообщение от Аноним (-), 11-Сен-17, 12:45
	Там апаче ясно дал понять, что архитектура должна предусматривать транспортные протоколы, дабы если один из приложений-клиентов будет скомпрометирован - не было возможности слить всю БД. И тут как раз рукожопость архитекторов, а не Java программистов. Или я что то не так понимаю?
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+2 +/–
	Сообщение от pripolz (?), 11-Сен-17, 13:22
	посмотрел багу, реально рукожопость. Жабиный шеллкод-то выполнялся.
	Ответить | Правка | Наверх | Cообщить модератору

	84. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от пох (?), 11-Сен-17, 13:24
	> Там апаче ясно дал понять, что архитектура должна предусматривать транспортные протоколы, желательно - закрытые. Если "транспортный протокол" позволяет, как это у нас пишут в бумажке-отписке ПНД "хранить, изменять, удалять" ваши данные - то все, приехали, это может сделать любой, кто перехватил управление. А если не позволяет - нахрена он такой нужен и что тогда делает ваша программа?
	Ответить | Правка | К родителю #73 | Наверх | Cообщить модератору

	170. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Ан (??), 12-Сен-17, 11:10
	>> Там апаче ясно дал понять, что архитектура должна предусматривать транспортные протоколы, > желательно - закрытые. > Если "транспортный протокол" позволяет, как это у нас пишут в бумажке-отписке ПНД > "хранить, изменять, удалять" ваши данные - то все, приехали, это может > сделать любой, кто перехватил управление. > А если не позволяет - нахрена он такой нужен и что тогда > делает ваша программа? Ломали не транспортный протокол а ось, и через ось сливали данные БД, которая видимо там же и располагалась. Разделение фронтендов и бэкендов позволяет этого избежать. Сам транспортный протокол может и не такой ломучий.
	Ответить | Правка | Наверх | Cообщить модератору

	192. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Аноним (-), 12-Сен-17, 21:23
	> желательно - закрытые. Надеешься что реверсеры глупые и не разберутся? Совершенно напрасная надежда. Если будет что брать - разберутся как делать нефиг.
	Ответить | Правка | К родителю #84 | Наверх | Cообщить модератору

	202. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от пох (?), 13-Сен-17, 22:43
	> Надеешься что реверсеры глупые и не разберутся? придется сперва дожидаться уязвимости во внешней обертке, потом - в узком промежутке между ней и исправлением - добираться до протокола и пытаться его отреверсить. Что дает нехилый такой шанс успеть заткнуть дырку раньше.
	Ответить | Правка | Наверх | Cообщить модератору

	204. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Аноним (-), 14-Сен-17, 02:21
	> Что дает нехилый такой шанс успеть заткнуть дырку раньше. DigiNotar'у это расскажи. Comodohacker не только вынес всю активную директорию, перехватив админские права, но и распетрушил какую-то проприетарную систему которая отвечала за подписывание сертификатов, убедив эту штуку подписать массу интересных сертификатов. Несмотря на их особый уличный ЯП и что там еще. А так то diginitar запатчился. Насовсем.
	Ответить | Правка | Наверх | Cообщить модератору

	104. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от снилс (?), 11-Сен-17, 18:04
	лол опять в убийстве нож виноват. а потом удивляешься, что тебя дядьки посмекалистей пялят в одно-ж-место
	Ответить | Правка | К родителю #65 | Наверх | Cообщить модератору

	136. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от Аноним (-), 11-Сен-17, 21:38
	> лол опять в убийстве нож виноват. а потом удивляешься, что тебя дядьки > посмекалистей пялят в одно-ж-место В данном случае это больше похоже на бег с ножницами в руках по лестнице с завязанными глазами, без попыток задуматься о возможном развитии этой ситуации.
	Ответить | Правка | Наверх | Cообщить модератору

	157. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–2 +/–
	Сообщение от pripolz (?), 12-Сен-17, 06:31
	случай данного взлома настолько банален, там просто можно захреначить жаба-код в хттп-запрос, и либа после непойманного эксепшена его выполнит. Да, ок, это - реальная ошибка программиста, и результат полного долбо-ящеро-ибизма, как и отсутствия адекватного тестирования в системе, которая требует подробного тестирования. Тем не менее, я констатировал факт. В более классическом случае, когда выполняется бинарный код, и не в результате того, что программа сама его взяла из сетевого пакета, ни жабист, ни сишарпщик, к примеру, не имеют АБСОЛЮТНО НИКАКОЙ возможности это предупредить, и думать об этом. Они ПОЛНОСТЬЮ БЕСПОМОЩНЫ перед бинарными эксплойтами, ввиду того, что не могут знать, как внутри устроена каждая деталь интерпретатора. Это не значит, что нативный код лучше или хуже, это только лишь производная от того факта, что не все абстракции доступны для анализа. И чем больше абстракций - тем больше дыр. Вы же, увидели в этом страшнейшую религиозную угрозу, будто КТО-ТО ПРЕДЛОЖИЛ НЕ ДУМАТЬ, и начали старательно бороться за свои мирки "нерукожопия", повторяя молитвы о том, что код нужно "писать нормально".
	Ответить | Правка | Наверх | Cообщить модератору

	194. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от Аноним (-), 12-Сен-17, 21:27
	Я ничего не предполагал, жабисты все время сами настаивают что хотят только писать свою программу и вообще совсем ничего не знать о внешнем мире, рантайме и прочих неидеальностях. А вот это гнилой подход, гарантирующий массу неприятных сюрпризов. Наверное советы быть не рукожопым в таком контексте уместны? У жабистов это очень распостраненная проблема.
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от pripolz (?), 11-Сен-17, 13:10
	> То есть мы тут уже который год совершенно напрасно критикуем явистов за то, что они дальше своей JVM ничего не знают и не видят. Я тоже который год критикую явистов за то, что они дальше абстракции не видят. И не только их, но и всех остальных. Давно надоело. Это философская проблема. > Ну совсем-совсем зря мы это делаем, потому что, ВНЕЗАПНО, ТАК И ЗАДУМАНО Добро пожаловать. Что, оно не так задумано? > Программист ОБЯЗАН знать, как устроена вышестоящая система Развивайте мысль дальше. > Виртуалки нынче используются много где: Racket, OCaml, LLVM, но только в JVM программисты почему-то считают, что на ней мир и заканчивается. Ничего они не считают. Оно так и есть в любых интерпретаторах. Давай обязуем при написании баш-скрипта знать на зубок код баша. А потом выяснится, что версии принципиально отличаются архитектурно.
	Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

	86. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 11-Сен-17, 13:29
	>> Программист ОБЯЗАН знать, как устроена вышестоящая система > Развивайте мысль дальше. Уже развивал: https://www.opennet.ru/openforum/vsluhforumID3/111842.html?n... > Давай обязуем при написании баш-скрипта знать на зубок код баша. Ну зачем же назубок. Я говорю о том, что надо хотя бы иметь представление о том, как оно изнутри работает.
	Ответить | Правка | Наверх | Cообщить модератору

	92. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от pripolz (?), 11-Сен-17, 13:56
	а можно ещё дальше. Подключил либу, ой, а в ней эксплойт.
	Ответить | Правка | Наверх | Cообщить модератору

	94. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от freehck (ok), 11-Сен-17, 14:11
	> а можно ещё дальше. Подключил либу, ой, а в ней эксплойт. Вы не путайте знания реализации вышестоящей системы со знаниями её архитектуры. Реализации меняются, архитектура поддерживается.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема