forum.opennet.ru - "Зафиксирована массовая атака на сайты с необновлённым движко..." (61)

"Зафиксирована массовая атака на сайты с необновлённым движко..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Зафиксирована массовая атака на сайты с необновлённым движко..."	+/–
Сообщение от opennews (??), 22-Сен-18, 12:01
В сети выявлена (https://blog.malwarebytes.com/threat-analysis/2018/09/mass-w... автоматизированная массовая атака, поражающая сайты на базе системы управления контентом WordPress, которая используется (https://www.opennet.ru/opennews/art.shtml?num=48207) примерно на 30% из десяти миллионов крупнейших сайтов. В ходе атаки поражаются сайты с необновлённым движком, при этом в ходе вредоносной активности эксплуатируются различные ранее исправленные уязвимости, как в самом движке WordPress, так и в плагинах к нему. В ходе атаки в JavaScript-файлы c разрешением .js, в php-файлы с темами и плагинами WordPress, а также в записи из таблицы wp_posts в БД WordPress осуществляется (https://stackoverflow.com/questions/52282559/how-to-delete-s... подстановка (http://labs.sucuri.net/?note=2018-09-18) вредоносной вставки. Код подставляется как в открытом виде, так и форме вызова "eval(String.fromCharCode(....))" с хаотичным набором цифр. При выполнении данного блока на выходе выдаётся код загрузки скрипта (ad.js, main.js, stat.js или mp3.js) с сайтов ads.voipnewswire.net, examhome.net, cdn.allyouwant.online, uustoughtonma.org, ejyoklygase.tk или mp3menu.org. Всем пользователям WordPress рекомендуется убедиться, что движок сайта и установленные плагины обновлены до самой свежей версии. Зафиксировано несколько проявлений вредоносной активности, наиболее заметными из которых является перенаправление пришедшего на сайт пользователя на сторонние мошеннические ресурсы, например, на страницы фиктивных сообщений о выявлении вируса от технической поддержки, пытающиеся вынудить пользователя установить троянскую программу, позвонить по телефону или указать параметры своей учётной записи. В том числе на мошеннических страницах используются манипуляции (https://bugs.chromium.org/p/chromium/issues/detail?id=880863) к кусором, мешающие закрыть вкладку. Подобная техника применяется для симуляции блокировки. URL: https://blog.malwarebytes.com/threat-analysis/2018/09/mass-w.../ Новость: https://www.opennet.ru/opennews/art.shtml?num=49318
Ответить \| Правка \| Cообщить модератору

Оглавление

приехали, Аноним (1), 12:01 , 22-Сен-18, (1)

А что - приехали Извечная гонка пушек и брони , iCat (ok), 12:17 , 22-Сен-18, (2)
Вордпресс всегда был дырявым гoвном Почти как адобе флеш , Аноним (-), 12:39 , 22-Сен-18, (10) +14

Хоть и дырявый,но один из лучших cms систем Joomla так ещё более дырявая и неуд, правдоруб (?), 13:41 , 22-Сен-18, (20) –4

Капельку ты не щупал, я так понимаю , Аноним (42), 18:29 , 22-Сен-18, (42) –2

Про Drupalgeddon напомнить Тысячи сайтов были взломаны Wordpress хоть ещё авто, th3m3 (ok), 13:39 , 23-Сен-18, (64) +1

Дрюпал тоже донный, страшная весчь , Аноним (-), 13:47 , 23-Сен-18, (67) +1

Орнул с тебя Архитектура wordpress, прям самая лучшая, ага Это тот случай, ког, th3m3 (ok), 13:41 , 23-Сен-18, (65) –3

Лучше бы они деньги не в пиар вложили, а в своё чудо г0внокодинга , th3m3 (ok), 13:36 , 23-Сен-18, (62) –1

Действительно, приехали Реклама malwarebytes на opennetе , Аноним (70), 14:21 , 23-Сен-18, (70)

Это происходит регулярно и на новость не катит С тем же успехом можно сообщать , A.Stahl (ok), 12:19 , 22-Сен-18, (3) +22
Доооо Сайт, сделанный на коленке студентом за еду N лет назад, бухша исправно, Аноним (4), 12:22 , 22-Сен-18, (4) +1

Пусть хостинг обновляет За что ему бухгалтер 100р платит , Аноним (9), 12:37 , 22-Сен-18, (9) –1
Ты и такой сайт не сделаешь, пойдешь на юкозе регаться , Аноним (-), 12:44 , 22-Сен-18, (12) +5

я пытался там зарегаться, но не смог отгадать капчу пришлось наляпать на вротпре, Аноним (48), 19:31 , 22-Сен-18, (48) +4

Разве хостинг на должен следить чтобы у пользователей была версия wordpress без , Аноним (-), 12:27 , 22-Сен-18, (6) –6

А также править код всех кастомизаций и плагинов, ну и кофе варить тоже хостинг , Аноним (8), 12:31 , 22-Сен-18, (8) +11

Не зря я пилил свой движок для блогов Теперь и продаю почти готовое, только для, Tank (??), 12:29 , 22-Сен-18, (7) +21

Ну это эффект Неуловимого Джо, сам понимаешь Хотя с другой стороны, если у тебя, Онвоним (?), 13:05 , 22-Сен-18, (15) +8
1у самих корп сайт на собственном двигле Лично просил подчинённых не использо, robot228 (?), 13:08 , 22-Сен-18, (17) +1
- А я сделал свой автомобиль - Круто У него как на феррари сиденья - Нет У , ыы (?), 14:00 , 22-Сен-18, (23) –5

Кто-то умеет делать автомобили, кто-то нет , Annoynymous (ok), 23:47 , 22-Сен-18, (52)

Пилить свой движок это компромис От мамкиных хакиров, которые только в готовый , pull request (?), 16:11 , 22-Сен-18, (38)

А если не найдут , Аноним (74), 06:24 , 24-Сен-18, (74)

А сколько монсеньор заплатит за найденную дыру , dr.rulez (ok), 07:26 , 24-Сен-18, (75)

Это называется security through obscurity Типа, изобрету свой собственный велос, dq0s4y71 (ok), 11:48 , 25-Сен-18, (79)

Все сайте на Ruby Python 0 уязвимостей, быстрый старт Накой эта дырявая пыха н, robot228 (?), 13:08 , 22-Сен-18, (16) –1

0 уязвимостей,т к не популярны А вообще какие есть cms на руби и питоне , правдоруб (?), 13:43 , 22-Сен-18, (21) –2

Руби хз, на бидоне - Зопа, Плон, ещё там какая-то синяя рыба, все на джанге Это, Аноним (44), 18:33 , 22-Сен-18, (44)

Хы, зопа Ballerus ballerus это и есть синий лещ blue bream Давно смотрел , Аноним (44), 18:44 , 22-Сен-18, (45)

На руби довольно интересно смотрится вражеский camaleon cms и наш, родной apiq i, SubGun (ok), 00:37 , 23-Сен-18, (54)

Cgi не безопасен по умолчанию о каком нуле вы говорите, Аноним (22), 13:46 , 22-Сен-18, (22)

Ну давай поведай что небезопасно Может пыха Мои сайты крутятся уже не один год,, robot228 (?), 14:32 , 22-Сен-18, (29) –1

Мой hello world на apsx что крутится в IIS тоже никто не взломал за 10 лет что к, Аноним (30), 14:35 , 22-Сен-18, (30) +2

Жизнь абсолютно не безопасна 100 из тех, кто жили, померли , dq0s4y71 (ok), 11:51 , 25-Сен-18, (80)

30 из десяти миллионов крупнейших сайтов с а что на вашем ненужном крутится , ыы (?), 14:02 , 22-Сен-18, (24)
Дело не в пыхе, пейтоне или руби Дело в том, кто и как их использует В пыхе ур, pull request (?), 17:16 , 22-Сен-18, (40)

Не совсем Там, где другой язык ругнётся и вылетит при сравнении тёплого с мягк, Аноним (44), 18:49 , 22-Сен-18, (46) +2

Какие кодеры, такой и результат , Аноним (47), 19:29 , 22-Сен-18, (47)
Раз ты такой умный, включи и заставь их исправить все display_errors Onerror_r, Аноним (53), 23:47 , 22-Сен-18, (53) +1
и в python и в php динамическая типизация допускающее сравнение теплого с мягким, Аноним (68), 13:51 , 23-Сен-18, (68) +1

Внимане, сюрприз CODE cat test c gcc -Wall -Wextra test c -o tst tst , Аноним84701 (ok), 17:22 , 23-Сен-18, (72) +1

Strongly typed and weakly typed are terms that have no widely agreed-upon te, dq0s4y71 (ok), 12:27 , 25-Сен-18, (81)

Формально - да, неформально оно давно используется Подразумевается при более-м, Аноним84701 (ok), 14:28 , 25-Сен-18, (82)

Ну, чел, который это пишет, тоже не хрeн с горы Вот его страничка на сайте учеб, dq0s4y71 (ok), 11:44 , 26-Сен-18, (85)

Во-первых, пиши хоть на БашеВо-вторых, быстрый старт обеспечивает не язык, а веб, Vitaliy Blats (?), 20:07 , 22-Сен-18, (49) +3
Это пыха дырявая А питон с руби что лучше А ничего, что у них всех одна огромн, SubGun (ok), 00:44 , 23-Сен-18, (55) –2

Даже ПыхаПе прогеры осознают что пыха дырявая P S ПыхаПе прогер со стажем 9 лет, Аноним (-), 13:45 , 23-Сен-18, (66)
nodejs дыра в php, python, ruby Вы видимо забыли принять выписанные психиатром , Аноним (68), 13:56 , 23-Сен-18, (69) +3

Хромопроблемы , Аноним (-), 13:18 , 22-Сен-18, (19)

Не только, в ФФ тоже есть Выключается так - dom pointer-lock enabled falsefull-s, Kuromi (ok), 01:56 , 23-Сен-18, (56)

Grav, php flat cms, медуза выкатывает и вовсе статику Дудось сколько хочешь , Аноним (25), 14:21 , 22-Сен-18, (25)

Щас же досят канал, а не логику сайта Совсем мамкины хацкеры разленились , Q2W (?), 14:27 , 22-Сен-18, (27)

Дудось КлоудФлар там много канала , Аноним (31), 14:59 , 22-Сен-18, (31)

КлоудФлейр злой, там непробиваемая капча , Аноним (33), 15:29 , 22-Сен-18, (33)

ВротПрессеров не жалко, да и вообще все CMS ников, сами выбрали бутылку, надо бы, Дмитрий (??), 15:08 , 22-Сен-18, (32) +1

Покажи как надо, подай пример всем , Аноним (34), 15:32 , 22-Сен-18, (34) +1

Если нормальная защита стоит и настроено все нормально, то все будет Ок Хотя об, prografika (?), 17:37 , 23-Сен-18, (73)
Никогда такого не было и вот опять с , ALex_hha (ok), 20:21 , 24-Сен-18, (76)
Можно и не обновляться если более жестко настроить права на файлы и папки, а за , Аноним (86), 01:50 , 27-Сен-18, (86)
А разве не непрерывно происходят массовые атаки на дырявые вродпрессы , Онаним (?), 02:13 , 30-Сен-18, (87)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 22-Сен-18, 12:01 +/–

приехали

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2, #10, #70

2. Сообщение от iCat (ok), 22-Сен-18, 12:17 +/–

А что - "приехали"?
Извечная гонка пушек и брони...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

3. Сообщение от A.Stahl (ok), 22-Сен-18, 12:19 +22 +/–

>WordPress
Это происходит регулярно и на новость не катит. С тем же успехом можно сообщать о наступлении очередного календарного месяца.

Ответить | Правка | Наверх | Cообщить модератору

4. Сообщение от Аноним (4), 22-Сен-18, 12:22 +1 +/–

> движок сайта и установленные плагины обновлены до самой свежей версии
Доооо... Сайт, сделанный на коленке студентом за еду N лет назад, бухша исправно оплачивает хостинг, продажник по отработанной схеме загружает свежий прайс - кому оно надо, что-то там обновлять?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #9, #12

6. Сообщение от Аноним (-), 22-Сен-18, 12:27 –6 +/–

Разве хостинг на должен следить чтобы у пользователей была версия wordpress без уязвимостей? И справлять все уязвимости

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #8

7. Сообщение от Tank (??), 22-Сен-18, 12:29 +21 +/–

Не зря я пилил свой движок для блогов. Теперь и продаю почти готовое, только для каждого клиента слегка переделываю, и мамкины кулхацкеры не страшны.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #15, #17, #23, #38, #79

8. Сообщение от Аноним (8), 22-Сен-18, 12:31 +11 +/–

А также править код всех кастомизаций и плагинов, ну и кофе варить тоже хостинг обязан :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

9. Сообщение от Аноним (9), 22-Сен-18, 12:37 –1 +/–

Пусть хостинг обновляет. За что ему бухгалтер 100р платит?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

10. Сообщение от Аноним (-), 22-Сен-18, 12:39 +14 +/–

Вордпресс всегда был дырявым гoвном. Почти как адобе флеш.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #20, #62

12. Сообщение от Аноним (-), 22-Сен-18, 12:44 +5 +/–

Ты и такой сайт не сделаешь, пойдешь на юкозе регаться.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #48

15. Сообщение от Онвоним (?), 22-Сен-18, 13:05 +8 +/–

Ну это эффект Неуловимого Джо, сам понимаешь. Хотя с другой стороны, если у тебя и кодовая база меньше - то и вероятность подобных дыр меньше.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

16. Сообщение от robot228 (?), 22-Сен-18, 13:08 –1 +/–

Все сайте на Ruby/Python: 0 уязвимостей, быстрый старт. Накой эта дырявая пыха нужна? Ещё и WP-помоечка.
Хр, тьфу.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #21, #22, #24, #40, #49, #55

17. Сообщение от robot228 (?), 22-Сен-18, 13:08 +1 +/–

+1
у самих корп. сайт на собственном двигле. Лично просил подчинённых не использовать всякое дерьмо и пилить с 0.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

19. Сообщение от Аноним (-), 22-Сен-18, 13:18 +/–

>В том числе на мошеннических страницах используются манипуляции к кусором, мешающие закрыть вкладку. Подобная техника применяется для симуляции блокировки.
Хромопроблемы.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #56

20. Сообщение от правдоруб (?), 22-Сен-18, 13:41 –4 +/–

Хоть и дырявый,но один из лучших cms систем. Joomla так ещё более дырявая и неудобная.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #42, #65

21. Сообщение от правдоруб (?), 22-Сен-18, 13:43 –2 +/–

0 уязвимостей,т.к. не популярны. А  вообще какие есть cms на руби и питоне?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #44, #54

22. Сообщение от Аноним (22), 22-Сен-18, 13:46 +/–

Cgi не безопасен по умолчанию . о каком нуле вы говорите

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #29, #80

23. Сообщение от ыы (?), 22-Сен-18, 14:00 –5 +/–

"
- А я сделал свой автомобиль!!!
- Круто! У него как на феррари сиденья?
- Нет. У меня был когда то велосипед от него кой-чего осталось...
- Ну,  у него как на Ламборгини аэродинамика?
- Нет. Лобового стекла вообще нет...
- Ну, у него там хромо-ванадиевый композит на ребрах жесткости?
- Неа, я там веревочкой подвязал и фанеркой щели заделал...
- Нахрен ты вообще это делал?
- Ну, у меня есть собственный автомобиль...
"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #52

24. Сообщение от ыы (?), 22-Сен-18, 14:02 +/–

"30% из десяти миллионов крупнейших сайтов" (с)
а что на вашем ненужном крутится в таких масштабах?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

25. Сообщение от Аноним (25), 22-Сен-18, 14:21 +/–

Grav, php flat cms, медуза выкатывает и вовсе статику. Дудось сколько хочешь.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #27

27. Сообщение от Q2W (?), 22-Сен-18, 14:27 +/–

Щас же досят канал, а не логику сайта.
Совсем мамкины хацкеры разленились.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #31

29. Сообщение от robot228 (?), 22-Сен-18, 14:32 –1 +/–

Ну давай поведай что небезопасно? Может пыха?
Мои сайты крутятся уже не один год, не один раз попадали под ддос, но взлому никогда не подвергались.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #30

30. Сообщение от Аноним (30), 22-Сен-18, 14:35 +2 +/–

Мой hello world на apsx что крутится в IIS тоже никто не взломал за 10 лет что крутится у меня на локалхосте. привет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

31. Сообщение от Аноним (31), 22-Сен-18, 14:59 +/–

Дудось КлоудФлар там много канала.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #33

32. Сообщение от Дмитрий (??), 22-Сен-18, 15:08 +1 +/–

ВротПрессеров не жалко, да и вообще все CMS'ников, сами выбрали бутылку, надо было заказывать индивидуальный проект, или следить за актуальным и регулярно обновлять.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #34

33. Сообщение от Аноним (33), 22-Сен-18, 15:29 +/–

КлоудФлейр злой, там непробиваемая капча.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

34. Сообщение от Аноним (34), 22-Сен-18, 15:32 +1 +/–

Покажи как надо, подай пример всем!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32

38. Сообщение от pull request (?), 22-Сен-18, 16:11 +/–

Пилить свой движок это компромис. От мамкиных хакиров, которые только в готовый сплоит тыкать могут- защитит лучше. Но если вдруг кто то задастся целью взломать именно твой сайт- имхо, найдут и посерьезнее дыры, чем в wp.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #74

40. Сообщение от pull request (?), 22-Сен-18, 17:16 +/–

Дело не в пыхе, пейтоне или руби. Дело в том, кто и как их использует. В пыхе уровень вхождения ниже, язык популярнее, г**но-кодеров больше. Из за этого создается впечатление, что виноват ЯП, но это не так.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #46

42. Сообщение от Аноним (42), 22-Сен-18, 18:29 –2 +/–

Капельку ты не щупал, я так понимаю...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #64

44. Сообщение от Аноним (44), 22-Сен-18, 18:33 +/–

Руби хз, на бидоне - Зопа, Плон, ещё там какая-то синяя рыба, все на джанге. Это если чесно-спортивно, без гугленья.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #45

45. Сообщение от Аноним (44), 22-Сен-18, 18:44 +/–

Хы, зопа (Ballerus ballerus) это и есть синий лещ (blue bream). Давно смотрел...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

46. Сообщение от Аноним (44), 22-Сен-18, 18:49 +2 +/–

Не совсем. Там, где другой язык ругнётся и вылетит (при сравнении тёплого с мягким), пых несмотря ни на что выдаст какой-то результат.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40 Ответы: #47, #53, #68

47. Сообщение от Аноним (47), 22-Сен-18, 19:29 +/–

Какие кодеры, такой и результат.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46

48. Сообщение от Аноним (48), 22-Сен-18, 19:31 +4 +/–

я пытался там зарегаться, но не смог отгадать капчу.
пришлось наляпать на вротпрессе. Извините, как умел.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

49. Сообщение от Vitaliy Blats (?), 22-Сен-18, 20:07 +3 +/–

> Все сайте на Ruby/Python: 0 уязвимостей, быстрый старт. Накой эта дырявая пыха нужна? Ещё и WP-помоечка.
> Хр, тьфу.
Во-первых, пиши хоть на Баше
Во-вторых, быстрый старт обеспечивает не язык, а веб-сервер и реализация запуска языка
В-третьих, на данный момент существуют десятки тысяч плагинов на любой вкус. Статистика, видеоплееры, интернет-коммерция, да все короче. Такое разнообразие существует потому что пых легкий, а ЦМС простая и с более-менее вменяемым API. Когда у твоего Руби\Питона будет столько же пользователей, инстансов и плагинов - он будет таким же дырявым как и пыха\WP ;)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

52. Сообщение от Annoynymous (ok), 22-Сен-18, 23:47 +/–

Кто-то умеет делать автомобили, кто-то нет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

53. Сообщение от Аноним (53), 22-Сен-18, 23:47 +1 +/–

Раз ты такой умный, включи и заставь их исправить все.
display_errors = On
error_reporting = E_ALL | E_STRICT
display_startup_errors = On
track_errors = On

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46

54. Сообщение от SubGun (ok), 23-Сен-18, 00:37 +/–

На руби довольно интересно смотрится вражеский camaleon cms и наш, родной apiq.io. А так же есть очень много проектов, которые делали, но бросали. Вообще тема cms на руби непопулярна. Считается, что разработчик сам себе напишет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

55. Сообщение от SubGun (ok), 23-Сен-18, 00:44 –2 +/–

Это пыха дырявая? А питон с руби что лучше? А ничего, что у них всех одна огромная дыра - гребаный nodejs.
Все обленились. Сейчас какой веб проект, на каком языке не скачай, хоть на go, там будет этот сраный nodejs. Что там внутри, какое качество кода? Все плевать. Зато удобно, само понакачает 100500 зависимостей, на пару Гб, и сайт сразу станет красивым.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #66, #69

56. Сообщение от Kuromi (ok), 23-Сен-18, 01:56 +/–

Не только, в ФФ тоже есть.
Выключается так - dom.pointer-lock.enabled;false
full-screen-api.pointer-lock.enabled;false (на всякий случай).
Вообще контроль над курсором в Вэбе...кто до этого мог додуматься? А потом зато разработчики обсуждают не опасно ли реализовывать WebMIDI, дескать там хз какие команды можно передать, это угроза, а манипуляции курсосром - неет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

62. Сообщение от th3m3 (ok), 23-Сен-18, 13:36 –1 +/–

Лучше бы они деньги не в пиар вложили, а в своё чудо г0внокодинга.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

64. Сообщение от th3m3 (ok), 23-Сен-18, 13:39 +1 +/–

Про Drupalgeddon напомнить? Тысячи сайтов были взломаны. Wordpress хоть ещё автоматически обновляться умеет, ну или частично вручную - в админке на кнопку нажать. А Друпал? Это тот ещё гемор, да и не факт, что после обновления чего не отвалится. Всегда была интрига.
Жить стало лучше и веселее, когда ушли с этих чудес говнокодинга на php и вообще c php.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #67

65. Сообщение от th3m3 (ok), 23-Сен-18, 13:41 –3 +/–

Орнул с тебя. Архитектура wordpress, прям самая лучшая, ага) Это тот случай, когда можно любое говно вывести в топы, если есть деньги на маркетинг. Пипл схавает, потом будет больно, но это уже их проблемы)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

66. Сообщение от Аноним (-), 23-Сен-18, 13:45 +/–

Даже ПыхаПе прогеры осознают что пыха дырявая.
P.S. ПыхаПе прогер со стажем 9 лет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

67. Сообщение от Аноним (-), 23-Сен-18, 13:47 +1 +/–

Дрюпал тоже донный, страшная весчь...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64

68. Сообщение от Аноним (68), 23-Сен-18, 13:51 +1 +/–

>при сравнении тёплого с мягким
и в python и в php динамическая типизация допускающее сравнение теплого с мягким.
в php хотя бы есть статическая типизация для параметров функций, методов и их результата.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #72

69. Сообщение от Аноним (68), 23-Сен-18, 13:56 +3 +/–

"nodejs дыра в php, python, ruby"
Вы видимо забыли принять выписанные психиатром таблетки.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

70. Сообщение от Аноним (70), 23-Сен-18, 14:21 +/–

Действительно, приехали. Реклама malwarebytes на opennetе.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

72. Сообщение от Аноним84701 (ok), 23-Сен-18, 17:22 +1 +/–

>>при сравнении тёплого с мягким
> и в python и в php динамическая типизация допускающее сравнение теплого с мягким.
Внимане, сюрприз:

cat test.c && gcc -Wall -Wextra test.c -o tst && ./tst
#include <stdio.h>
#include <stdbool.h>
int main(void) {
   printf("Hello, World!" + 'a' - 97 + true);
   return 0;
}
ello, World!
% python -c "print('Hello, World!' + 'a' - 97 + true)"
Traceback (most recent call last):
  File "<string>", line 1, in <module>
TypeError: unsupported operand type(s) for -: 'str' and 'int'
% python -c "print('97' + True)"
Traceback (most recent call last):
  File "<string>", line 1, in <module>
TypeError: cannot concatenate 'str' and 'bool' objects

Слабая типизация != динамическая типизация
Сильная типизация != статическая типизация
Ваш КО

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68 Ответы: #81

73. Сообщение от prografika (?), 23-Сен-18, 17:37 +/–

Если нормальная защита стоит и настроено все нормально, то все будет Ок. Хотя обращаться по чистке уже начали, волна идет.

Ответить | Правка | Наверх | Cообщить модератору

74. Сообщение от Аноним (74), 24-Сен-18, 06:24 +/–

А если не найдут?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #75

75. Сообщение от dr.rulez (ok), 24-Сен-18, 07:26 +/–

А сколько монсеньор заплатит за найденную дыру?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #74

76. Сообщение от ALex_hha (ok), 24-Сен-18, 20:21 +/–

Никогда такого не было и вот опять ( с )

Ответить | Правка | Наверх | Cообщить модератору

79. Сообщение от dq0s4y71 (ok), 25-Сен-18, 11:48 +/–

Это называется security through obscurity. Типа, изобрету свой собственный велосипед и никто его устройство не угадает. Но практика показывает, что в конечном счёте это плохая стратегия. Угадывают. Был бы спрос.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

80. Сообщение от dq0s4y71 (ok), 25-Сен-18, 11:51 +/–

Жизнь абсолютно не безопасна. 100% из тех, кто жили, померли!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

81. Сообщение от dq0s4y71 (ok), 25-Сен-18, 12:27 +/–

"Strongly typed" and "weakly typed" are terms that have no widely agreed-upon technical meaning. Terms that do have a well-defined meaning are
    Dynamically typed means that types are attached to values at run time, and an attempt to mix values of different types may cause a "run-time type error". For example, if in Scheme you attempt to add one to true by writing (+ 1 #t) this will cause an error. You encounter the error only if you attempt to execute the offending code.
    Statically typed means that types are checked at compile time, and a program that does not have a static type is rejected by the compiler. For example, if in ML you attempt to add one to true by writing 1 + true, the program will be rejected with a (probably cryptic) error message. You always get the error even if the code might never be executed.
Different people prefer different systems according in part to how much they value flexibility and how much they worry about run-time errors.
Sometimes "strongly typed" is used loosely to mean "statically typed", and "weakly typed" is used incorrectly to mean "dynamically typed". A better use for the term "strongly typed" is that "you cannot work around or subvert the type system", whereas "weakly typed" means "there are loopholes in the type system". Perversely, most languages with static type systems have loopholes, while many languages with dynamic type systems have no loopholes.
None of these terms are connected in any way with the number of implicit conversions available in a language.
If you want to talk precisely about programming languages, it is best to avoid the terms "strongly typed" and "weakly typed". I would say that C is a language that is statically typed but that has a lot of loopholes. One loophole is that you can freely cast any pointer type to any other pointer type. You can also create a loophole between any two types of your choice by declaring a C union that has two members, one for each of the types in question.
https://stackoverflow.com/a/430414/8238971

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #72 Ответы: #82

82. Сообщение от Аноним84701 (ok), 25-Сен-18, 14:28 +/–

> "Strongly typed" and "weakly typed" are terms that have no widely agreed-upon
Формально - да, неформально оно давно используется.
Подразумевается (при более-менее грамотном употреблении) под этим что-то типа "strong type checking" и соотв. "weak type checking". Естественно, детали спорны (но это много где так - та же "классика" типа "0 ∈ ℕ или все же 0 ∉ ℕ?").
Возможно, лучше было переводить как "(не)строгая проверка типа", а не банальной калькой.
> https://stackoverflow.com/a/430414/8238971
Предпочтитаю таки учебные заведения в качестве источников ;)
https://cseweb.ucsd.edu/~wgg/CSE131B/oberon2.htm
> static typing with strong type checking
http://www.ocp.inf.ethz.ch/wiki/Documentation/Oberon ()
> Active Oberon Language
> strong-typed
https://www.cs.colorado.edu/~bec/courses/csci3155-s12/readin...

Definition: Strong type checking prevents all type errors from happening. The
checking may happen at compile time or at run time or partly at compile time and
partly at run time.
Definition: A strongly-typed language is one that uses strong type checking.
Definition: Weak type checking does not prevent type errors from happening.
Definition: A weakly-typed language is one that uses weak type checking.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #81 Ответы: #85

85. Сообщение от dq0s4y71 (ok), 26-Сен-18, 11:44 +/–

> Предпочтитаю таки учебные заведения в качестве источников ;)
Ну, чел, который это пишет, тоже не хрeн с горы. Вот его страничка на сайте учебного заведения, если вам так предпочтительно :) https://www.cs.tufts.edu/~nr/

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #82

86. Сообщение от Аноним (86), 27-Сен-18, 01:50 +/–

Можно и не обновляться если более жестко настроить права на файлы и папки, а за одно бэкапиться через сервис https://go.backupland.com там делается проверка на вирусы и на почту мне приходят очеты какие файлы изменились, какие удалились, какие новые появились в итоге если и хакнут, я вовремя об этом узнаю, а во вторых могу из бэкапа восстановить все файлы.
Но по умному надо обновляться и всё равно делать бэкапы:)

Ответить | Правка | Наверх | Cообщить модератору

87. Сообщение от Онаним (?), 30-Сен-18, 02:13 +/–

А разве не непрерывно происходят массовые атаки на дырявые вродпрессы?

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 22-Сен-18, 12:01	+/–
приехали
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #2, #10, #70

2. Сообщение от iCat (ok), 22-Сен-18, 12:17	+/–
А что - "приехали"? Извечная гонка пушек и брони...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

3. Сообщение от A.Stahl (ok), 22-Сен-18, 12:19	+22 +/–
>WordPress Это происходит регулярно и на новость не катит. С тем же успехом можно сообщать о наступлении очередного календарного месяца.
Ответить \| Правка \| Наверх \| Cообщить модератору

4. Сообщение от Аноним (4), 22-Сен-18, 12:22	+1 +/–
> движок сайта и установленные плагины обновлены до самой свежей версии Доооо... Сайт, сделанный на коленке студентом за еду N лет назад, бухша исправно оплачивает хостинг, продажник по отработанной схеме загружает свежий прайс - кому оно надо, что-то там обновлять?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #9, #12

6. Сообщение от Аноним (-), 22-Сен-18, 12:27	–6 +/–
Разве хостинг на должен следить чтобы у пользователей была версия wordpress без уязвимостей? И справлять все уязвимости
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #8

7. Сообщение от Tank (??), 22-Сен-18, 12:29	+21 +/–
Не зря я пилил свой движок для блогов. Теперь и продаю почти готовое, только для каждого клиента слегка переделываю, и мамкины кулхацкеры не страшны.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #15, #17, #23, #38, #79

8. Сообщение от Аноним (8), 22-Сен-18, 12:31	+11 +/–
А также править код всех кастомизаций и плагинов, ну и кофе варить тоже хостинг обязан :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6

9. Сообщение от Аноним (9), 22-Сен-18, 12:37	–1 +/–
Пусть хостинг обновляет. За что ему бухгалтер 100р платит?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

10. Сообщение от Аноним (-), 22-Сен-18, 12:39	+14 +/–
Вордпресс всегда был дырявым гoвном. Почти как адобе флеш.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #20, #62

12. Сообщение от Аноним (-), 22-Сен-18, 12:44	+5 +/–
Ты и такой сайт не сделаешь, пойдешь на юкозе регаться.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #48

15. Сообщение от Онвоним (?), 22-Сен-18, 13:05	+8 +/–
Ну это эффект Неуловимого Джо, сам понимаешь. Хотя с другой стороны, если у тебя и кодовая база меньше - то и вероятность подобных дыр меньше.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7

16. Сообщение от robot228 (?), 22-Сен-18, 13:08	–1 +/–
Все сайте на Ruby/Python: 0 уязвимостей, быстрый старт. Накой эта дырявая пыха нужна? Ещё и WP-помоечка. Хр, тьфу.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #21, #22, #24, #40, #49, #55

17. Сообщение от robot228 (?), 22-Сен-18, 13:08	+1 +/–
+1 у самих корп. сайт на собственном двигле. Лично просил подчинённых не использовать всякое дерьмо и пилить с 0.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7

19. Сообщение от Аноним (-), 22-Сен-18, 13:18	+/–
>В том числе на мошеннических страницах используются манипуляции к кусором, мешающие закрыть вкладку. Подобная техника применяется для симуляции блокировки. Хромопроблемы.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #56

20. Сообщение от правдоруб (?), 22-Сен-18, 13:41	–4 +/–
Хоть и дырявый,но один из лучших cms систем. Joomla так ещё более дырявая и неудобная.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10 Ответы: #42, #65

21. Сообщение от правдоруб (?), 22-Сен-18, 13:43	–2 +/–
0 уязвимостей,т.к. не популярны. А вообще какие есть cms на руби и питоне?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16 Ответы: #44, #54

22. Сообщение от Аноним (22), 22-Сен-18, 13:46	+/–
Cgi не безопасен по умолчанию . о каком нуле вы говорите
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16 Ответы: #29, #80

23. Сообщение от ыы (?), 22-Сен-18, 14:00	–5 +/–
" - А я сделал свой автомобиль!!! - Круто! У него как на феррари сиденья? - Нет. У меня был когда то велосипед от него кой-чего осталось... - Ну, у него как на Ламборгини аэродинамика? - Нет. Лобового стекла вообще нет... - Ну, у него там хромо-ванадиевый композит на ребрах жесткости? - Неа, я там веревочкой подвязал и фанеркой щели заделал... - Нахрен ты вообще это делал? - Ну, у меня есть собственный автомобиль... "
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #52

24. Сообщение от ыы (?), 22-Сен-18, 14:02	+/–
"30% из десяти миллионов крупнейших сайтов" (с) а что на вашем ненужном крутится в таких масштабах?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16

25. Сообщение от Аноним (25), 22-Сен-18, 14:21	+/–
Grav, php flat cms, медуза выкатывает и вовсе статику. Дудось сколько хочешь.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #27

27. Сообщение от Q2W (?), 22-Сен-18, 14:27	+/–
Щас же досят канал, а не логику сайта. Совсем мамкины хацкеры разленились.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #25 Ответы: #31

29. Сообщение от robot228 (?), 22-Сен-18, 14:32	–1 +/–
Ну давай поведай что небезопасно? Может пыха? Мои сайты крутятся уже не один год, не один раз попадали под ддос, но взлому никогда не подвергались.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22 Ответы: #30

30. Сообщение от Аноним (30), 22-Сен-18, 14:35	+2 +/–
Мой hello world на apsx что крутится в IIS тоже никто не взломал за 10 лет что крутится у меня на локалхосте. привет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #29

31. Сообщение от Аноним (31), 22-Сен-18, 14:59	+/–
Дудось КлоудФлар там много канала.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #27 Ответы: #33

32. Сообщение от Дмитрий (??), 22-Сен-18, 15:08	+1 +/–
ВротПрессеров не жалко, да и вообще все CMS'ников, сами выбрали бутылку, надо было заказывать индивидуальный проект, или следить за актуальным и регулярно обновлять.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #34

33. Сообщение от Аноним (33), 22-Сен-18, 15:29	+/–
КлоудФлейр злой, там непробиваемая капча.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #31

34. Сообщение от Аноним (34), 22-Сен-18, 15:32	+1 +/–
Покажи как надо, подай пример всем!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #32

38. Сообщение от pull request (?), 22-Сен-18, 16:11	+/–
Пилить свой движок это компромис. От мамкиных хакиров, которые только в готовый сплоит тыкать могут- защитит лучше. Но если вдруг кто то задастся целью взломать именно твой сайт- имхо, найдут и посерьезнее дыры, чем в wp.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #74

40. Сообщение от pull request (?), 22-Сен-18, 17:16	+/–
Дело не в пыхе, пейтоне или руби. Дело в том, кто и как их использует. В пыхе уровень вхождения ниже, язык популярнее, г**но-кодеров больше. Из за этого создается впечатление, что виноват ЯП, но это не так.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16 Ответы: #46

42. Сообщение от Аноним (42), 22-Сен-18, 18:29	–2 +/–
Капельку ты не щупал, я так понимаю...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #20 Ответы: #64