forum.opennet.ru

"Атака на Node.js через манипуляции с прототипами объектов JavaScript"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Отдельный RSS теперь доступен для каждого обсуждения в форуме и каждого минипортала.

. "Атака на Node.js через манипуляции с прототипами объектов Ja..."	+1 +/–
Сообщение от Аноним (25), 27-Июл-22, 17:05
Тут нет никакой дырени, если приложение разрешает менять свой код то это проблема конкретного приложения, просто ребята из Центра Гельмгольца набивают себе индекс цитирования для грантов или ещё для чего.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Атака на Node.js через манипуляции с прототипами объектов JavaScript, opennews, 27-Июл-22, 16:21 [смотреть все]

Это не тот который тут вчера панельку создал для kde на этом г Обезьянки такие о, истина в последней инстанции, 27-Июл-22, 16:21 (1) //
- У него на божественном typescript, а тут дырявый javascript, ананоша, 27-Июл-22, 16:25 (2) //
  - Аксиома Эскобара , Аноним, 27-Июл-22, 16:28 (4) //
    - ШОК Если атакующий может выполнить код, чтобы изменить прототип, то он может не, Аноним, 27-Июл-22, 18:53 (48)
      - Говорят, в архитектуре фон Неймана код ничем не отличается от данных передаваем, Аноним, 28-Июл-22, 11:01 (88)
        
        Говорят, лекции по CS прогуливать не надо хотя сельпошному кодеру и так сойде, Аноним, 28-Июл-22, 20:03 (106)
        
        Скрипт на ba sh, lua, js, sql, postscript, и т д , в том числе на Тьюринг-полно, Аноним, 28-Июл-22, 20:19 (109)
  - А на тайпскрипте что-то такое не прокатит , Аноним, 27-Июл-22, 16:34 (7)
  - Вот ещё почему typesciprt - зло Человек начинает думать, что его код безопасен,, th3m3, 27-Июл-22, 16:36 (9) //
    - Это не только в typescript, ещё и rust туда-же, истина в последней инстанции, 27-Июл-22, 18:27 (40)
      - Только бездарные дилетанты и дешевые бросуны сравнивают TS и Rust Если понимать , Аноним, 29-Июл-22, 11:22 (114)
      - А ещё в JavaScript и C , и вообще в любом ЯП И , burjui, 31-Июл-22, 14:07 (120)
    - А, может, это человек, который не читает документацию и безопасность спихивает н, burjui, 31-Июл-22, 14:06 (119)
  - Выше вы прочитали переписку людей без чувства юмора , Аноним, 27-Июл-22, 17:50 (35) //
    - Или пример закона По , Аноним, 27-Июл-22, 22:03 (65)
      - Это вряд ли, не тот сайт Ты тут напиши, что консоль DOS лучше консоли Linux пот, Аноним, 27-Июл-22, 22:52 (68)
        
        Всегда радует как люди без фантазии изящно называют свой неприкрытый дебилизм т, мевин, 28-Июл-22, 08:53 (78)
        
        Не, это не только отсутствие ч ю , но еще и чрезмерная серьезность Ядреная ком, Аноним, 28-Июл-22, 09:25 (84)
  - Знаменитая Фракталова дырень , Владимир, 27-Июл-22, 19:22 (52)
- То ли дело remote дырень в ядре линукса на православной сишечке Там вообще root, Аноним, 27-Июл-22, 16:54 (17) //
  - ну перепиши linux kernel на JS, посмотрим какие там будут уязвимости И переписа, Аноним, 27-Июл-22, 16:59 (20) //
    - Ну перепиши web приложение на C, посмотрим какие там будут уязвимости и сколько , Аноним, 27-Июл-22, 17:22 (27)
      - Как где У тебя, баклан Ты бы без сишечки сюда на опеннетик вообще пискнуть не , Аноним, 27-Июл-22, 17:28 (28)
        
        Я спросил где твой софт на нём То, что умные американские дяди написали и ядро, , Аноним, 27-Июл-22, 18:10 (36)
        
        Мой - у меня и организаций, в которых я работал Немножечко на гитхабе - то, что, YetAnotherOnanym, 27-Июл-22, 18:39 (46)
        Например в микроконтроллерах А если по мелочи то я патчей довольно много куда з, Аноним, 28-Июл-22, 19:57 (104)
      - Не поверишь Вагон И качество куда получше , истина в последней инстанции, 27-Июл-22, 18:30 (43)
      - они все в закрытой репе у Intel в виде патчей для yocto linux , Аноним, 27-Июл-22, 18:40 (47)
      - Норм такая подмена понятия Сначала вебприложения, потом просто приложения , мимо, 27-Июл-22, 19:03 (51)
      - буквально пару мес назад вебманки нахимичили в сайте ПР так, что мне показывалис, Без аргументов, 27-Июл-22, 19:23 (53)
        
        а когда глянул в json-чики, там и имейлы других пользователей спалили с другими , Без аргументов, 27-Июл-22, 19:24 (54)
        
        Где-то с год назад на довольно популярном в России сайте изучения английского яз, qwe, 27-Июл-22, 20:11 (57)
        А я вообще уронил вон тому вебмакакеру его чудо-код первым же реквестом Пора йо, Аноним, 28-Июл-22, 20:01 (105)
      - Накинулись на мальчонку лол Малыш, ты будешь немного удивлен, узнав чуть получше, мевин, 28-Июл-22, 08:58 (79)
    - Пофиксил , Аноним, 27-Июл-22, 18:59 (50)
  - А что за дырень Посвяти на нее, может ссылка есть , Аноним II Великолепный, 27-Июл-22, 17:03 (23)
  - Тут нет никакой дырени, если приложение разрешает менять свой код то это проблем , Аноним, 27-Июл-22, 17:05 (25)
  - Толи дело раст Ни одного проекта законченного так и не появилось Мертвячина , истина в последней инстанции, 27-Июл-22, 18:28 (41) //
    - Один аноним при упоминании Си не смог не стригерится и не написать про раст И у , Анонн, 27-Июл-22, 19:27 (55)
      - Другое дело растоман с враждённым растоманским ДЦП И без жопы перманентное нед, истина в последней инстанции, 27-Июл-22, 21:30 (61)
        
        Всем бы дцпшникам такого дцп Всяко лучше жсной микроцефалии , НяшМяш, 29-Июл-22, 13:37 (116)
      - Параноики, что сказать , Аноним, 28-Июл-22, 10:40 (86)
    - Казалось бы какое дело до rust, анонимным opennet экспертам, они ни на Раст не п, Аноним, 28-Июл-22, 17:44 (102)
- Что ещё ждать от так называемых программистов Сколько бы на опеннетные эксперты , Аноним, 28-Июл-22, 10:49 (87)
Прекратите кибербулить мой любым JavaScript b , Аноним, 27-Июл-22, 16:28 (3) //
- дни жабыскрипта сочтены, такой удар еще не переживал ни один язык погроммирован, Аноникалипсатор7, 27-Июл-22, 16:39 (12)
- Пиши сразу на webassembly Или не асилил , Аноним, 27-Июл-22, 19:28 (56) //
  - Его и не надо осиливать, если надо выдавать результат относительно быстро при , Аноним, 28-Июл-22, 08:23 (76) //
    - Ты предложил язык от мелко мягких и фрейм от мразософт А ты хитрый Мелкосовт п, мевин, 28-Июл-22, 09:01 (80)
      - я же сразу предложил в ассортименте опережая твою следующую ремарку - не г вна , Аноним, 28-Июл-22, 09:56 (85)
ужас, как все запущено, надо срочно переписывать ноду на раст, Аноникалипсатор5, 27-Июл-22, 16:31 (5) //
- Так уже Называется deno , Quarck, 27-Июл-22, 16:39 (10) //
  - Это какое-то DeNo Надо было и интерпретировать синтакс хруста Кстати до чег, Аноним, 27-Июл-22, 17:30 (29)
- уже давно переписали https deno land , Ф1, 27-Июл-22, 16:40 (13) //
  - тогда надо переписать еще раз, дважды, Аноникалипсатор7, 27-Июл-22, 16:43 (14) //
    - Так уже https bun sh, Bun.sh, 27-Июл-22, 21:10 (60)
  - Там ещё V8 на мерзких крестах, его теперь надо переписать s, НяшМяш, 27-Июл-22, 16:50 (15) //
    - Так уже https bun sh , Аноним, 28-Июл-22, 09:15 (83)
      - Эмм JavaScriptCore на чем написан, Карл , Вы забыли заполнить поле Name, 28-Июл-22, 11:32 (89)
Говорят за этим языком все операционные системы будущего Ах да, забыл уже 9, Анна Нист, 27-Июл-22, 16:34 (6) //
- Все операционные системы ботнетов будущего 8 , Аноним, 27-Июл-22, 16:35 (8) //
  - если всё будет ботнет, то смысл тогда в ботнете как таковом , pork chop suey, 27-Июл-22, 16:39 (11) //
    - После узнаете , Ботнет, 27-Июл-22, 17:30 (30)
    - Майнить крипту на каждом утюге планеты Больше узлов - больше сатошиков , Аноним, 28-Июл-22, 08:27 (77)
- Анна Нист забыл или забыла , Аноним, 27-Июл-22, 17:33 (33) //
  - какая разница и те и те дрочат , Sw00p aka Jerom, 27-Июл-22, 21:39 (64)
- Врут безбожно, мевин, 28-Июл-22, 09:02 (81) //
  - Оскорбление чувств верующих в отсутствие единственного бога , Аноним, 28-Июл-22, 20:33 (111)
это ведь нельзя выполнить с клиента, правильно в частности require bytes , olegz, 27-Июл-22, 16:53 (16) //
- Выполнить то много что можно но суть в выполнении именно на стороне сервака, Бывалый смузихлёб, 27-Июл-22, 18:20 (38) //
  - если только на сервере, то не вижу большой проблемы Просто надо следить за зави, olegz, 28-Июл-22, 16:17 (99) //
    - Ты же сейчас пошутил В среднем проекте от 1000 - 4000 зависимостей Ты или созда, Аноним, 31-Июл-22, 03:34 (118)
Да ладно, говно можно сотворить на любом языке В сях есть define true false, в, Аноним, 27-Июл-22, 16:55 (18) //
- Ух, да, только ты в рантайм define true false не передашь при всем желании, ибо, Аноним, 27-Июл-22, 17:34 (34) //
  - А теперь шаг 2 вообще-то с него и стоило начать - попробуй добиться исполнен, Бывалый смузихлёб, 27-Июл-22, 18:25 (39) //
    - Речь как я понял речь тут о том, что при определенной комбинации кода пакетов , qwe, 27-Июл-22, 20:43 (58)
      - Ровно точно так же, как в комплируемых языках, если код одного из модулей может , Аноним, 28-Июл-22, 05:07 (71)
        
        Что, вот прям так, через манипуляцию свойством объекта можно изменить код всего , qwe, 28-Июл-22, 13:37 (92)
        
        Блин, там весь мой чудо-код сломался Сорри , qwe, 28-Июл-22, 13:39 (93)
        
        Точно так же, как можно в любом одном месте сделатьint offset get_offset_from_, Аноним, 28-Июл-22, 14:49 (97)
    - Оно как бы да, но вон там все же забавный фокус придумали Сколько еще таких неж, Аноним, 28-Июл-22, 20:11 (107)
  - Так не ходи во враждебную вебню Ходи в гофер , Аноним, 27-Июл-22, 18:30 (42) //
    - А я им даже пользуюсь Поприятене вебни так то - делает то что заявлено, без пот, Аноним, 28-Июл-22, 20:16 (108)
  - Неверно понимаешь Матрикс блочит, мевин, 28-Июл-22, 09:06 (82)
Браузерное поделие пустили в сервера, что теперь делать как жить как спать ка, Аноним II Великолепный, 27-Июл-22, 16:59 (19)
Очередной цирк безопасности , Аноним, 27-Июл-22, 17:01 (21)
Prototype-based programming, кушайте 3, Аноним, 27-Июл-22, 17:03 (24) //
- Вообще не в тему , Аноним, 27-Июл-22, 17:07 (26)
Они последние 10 лет под камнем пролежали Атака на прототип это ж классика 8230, Аноним, 27-Июл-22, 17:32 (31) //
- https cve mitre org cgi-bin cvekey cgi keyword prototype pollution, Аноним, 27-Июл-22, 17:33 (32)
- Гранты сами себя не выдадут, надо статьи клепать и постить на arxiv org, Аноним, 27-Июл-22, 18:11 (37) //
  - А чего сам не написал статью Получил бы грант, пожил бы с размахом , Аноним, 27-Июл-22, 18:31 (44)
Эммм Доброе утро , Аноним, 27-Июл-22, 18:35 (45)
Уж сколько раз твердили миру new Map , Аноним, 27-Июл-22, 18:56 (49) //
- поправил, не благодари , истина в последней инстанции, 27-Июл-22, 21:32 (62) //
  - Зачем тебе new с std map Он сам внутри память выделяет, а его обычно выделяют , Вы забыли заполнить поле Name, 28-Июл-22, 14:09 (94)
- Object create null хватит всем , Аноним, 28-Июл-22, 07:12 (73) //
  - Только json parse возвращает объекты с __proto__, Аноним, 28-Июл-22, 15:56 (98)
- Просто JSON parse возвращает объект, а не Map Плюс вложенные ключи не сохранить, Вы забыли заполнить поле Name, 28-Июл-22, 14:12 (95)
Победили Flash, Аноним, 27-Июл-22, 21:39 (63)
Придется __proto__ фильтровать во всем что пришло от пользователя Уязвимость уро, Аноним, 28-Июл-22, 00:00 (70)
Желтый заголовок какой-то Причем тут сам Node js То есть есть модули, которые , Вы забыли заполнить поле Name, 28-Июл-22, 11:35 (90) //
- Проблема не в отсутствии проверки данных от пользователя Не должен разраб знать, Аноним, 28-Июл-22, 14:26 (96)
Насколько я помню свойство __proto__ вообще deprecated было https developer mo, Вы забыли заполнить поле Name, 28-Июл-22, 12:06 (91) //
- Чего ж ты не влез в комитет и не показал всем, как надо , Аноним, 28-Июл-22, 16:32 (101) //
  - Мне не интересен js А надо ввести версионирование js по аналогии со стандартами, Вы забыли заполнить поле Name, 29-Июл-22, 09:33 (112) //
    - Так хотели сделать в ECMAScript 4 ещё сто лет назад - но хомяки пролоббировали о, НяшМяш, 29-Июл-22, 13:33 (115)
С каких это пор блоки кода стали называться гаджетами Хоть бы дали точное оп, Аноним, 28-Июл-22, 16:27 (100) //
- Примерно вечность Просто этот сленг практикуется в немного другой тусовочке неж, Аноним, 28-Июл-22, 20:19 (110)
- Это такие блоки кода, которые можно использовать в своих целях как отдельный эле, Аноним, 29-Июл-22, 20:55 (117)
Прототипное наследование хорошо говорили они Только забыли что все объекты насл, fuggy, 28-Июл-22, 17:53 (103) //
- Прототипное наследование тут не при чем В питоне точно также можно этого добить, Вы забыли заполнить поле Name, 29-Июл-22, 10:57 (113) //
  - Сперва добейся, Че769, 01-Авг-22, 09:06 (121) //
    - class A x 1 class B A pass class C A def __init__ sel, Вы забыли заполнить поле Name, 01-Авг-22, 17:13 (122)
- лол, то, что ты можешь сделать теж же сях на уровне доступа к памяти ни в какое , Аноним, 03-Авг-22, 02:06 (127)
https github com nodejs node issues 31951, мяя, 02-Авг-22, 23:49 (124)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру