OpenNews: Уязвимость в Apache Struts стала причиной утечки персональных данных 143 млн американцев

10.09.2017 20:02 Уязвимость в Apache Struts стала причиной утечки персональных данных 143 млн американцев

Бюро кредитных историй Equifax обнародовало информацию о взломе, в результате которого в руки атакующих попали персональные данные 143 млн жителей США (44% населения США). Информация включает в себя имена, номера социального страхования, даты рождения, адреса и номера водительский удостоверений. Примерно для 209 тысяч человек дополнительно были получены номера кредитных карт, а для 182 тысяч - документы, связанные с урегулированием кредитных споров. Данные о кредитной истории, финансовых операциях и платежах не пострадали, так как хранились в не затронутой в результате атаки БД.

В отчёте компании William Baird & Co. утверждается, что взлом был совершён через уязвимость в web-фреймворке Apache Struts, который применяется на портале оказания online-услуг потребителям. Утечка была обнаружена 29 июля, но непосредственно взлом мог произойти в середине мая и около 2.5 месяцев злоумышленники имели неавторизированный доступ к системе. Не уточняется была эксплуатирована раскрытая несколько дней назад критическая уязвимость (CVE-2017-9805) или уязвимость, выявленная в марте (CVE-2017-5638). Обе проблемы позволяют выполнить свой код на сервере, при этом если web-приложение выполняется в контейнере Apache Tomcat, запускаемом с правами root, в результате удалённой атаки может быть получен доступ с правами root.

Фонд Apache опубликовал заявление, в котором пояснил свою позицию по поводу взлома. Так как атака произошла с мая по июль, для проникновения наиболее вероятно использовалась мартовская уязвимость, в этом случае серверы Equifax несколько месяцев заведомо продолжали использовать уязвимую версию Apache Struts, несмотря на начавшуюся волну атак и предупреждения о необходимости оперативного обновления. Если атака была совершена при помощи сентябрьской уязвимости, то об этой уязвимости в мае-июле ещё не было известно и атакующие должны были сами её обнаружить или воспользоваться неизвестным 0-day эксплоитом.

Манипуляции информацией о том, что сентябрьская уязвимость вызвана ошибкой, которая находится в коде уже 9 лет, неуместны, так как есть большая разница между выявлением ранее неизвестной ошибки и знанием о наличии неисправленной ошибки. В случае Apache Struts проблема была устранена сразу после появления сведений об её наличии (о проблеме в приватном характере было сообщено 17 июля, обновление с исправлением вышло 5 сентября, в тот же день выявившие проблему исследователи публично обнародовали данные об уязвимости).

В качестве рекомендаций по обеспечению безопасности своей инфраструктуры Фонд Apache указал на необходимость соблюдения следующих правил:

Отслеживание сведений об уязвимостях и новых версиях применяемых фреймворков и библиотек.
Налаживание процесса оперативной установки обновлений с устранением уязвимостей - уязвимости должны устраняться за часы или считанные дни, но не спустя недели и месяцы.
Готовность к тому, что любые сложные программные системы потенциально могут содержать уязвимости. Инфраструктура изначально не должна полагаться на то, что применяемое ПО безопасно.
Применение нескольких уровней защиты для публично доступных сервисов и отделение таких сервисов от внутренних систем и БД транзитными прослойками. Уязвимости во внешнем интерфейсе не должны приводить к компрометации бэкенда.
Внедрение систем мониторинга и выявления аномалий для определения необычной активности при доступе к web-ресурсам.

Также можно отметить, что для проверки утечки данных пользователей в результате инцидента от имени Equifax был создан сайт equifaxsecurity2017.com, который предлагал ввести фамилию и 6 из 9 знаков номера социального страхования для определения степени утечки сведений о конкретном человеке. Сайт вызвал подозрения в проведении фишинга и даже был заблокирован службой OpenDNS. Субъективно о фишинге свидетельствовало использование типового движка WordPress, запрос персональных данных, регистрация доменного имени на стороннее лицо и использование TLS-сертификата бесплатного HTTPS-сервиса Cloudflare.

исправить +14 +/–

Лицензия: CC-BY

Тип: Проблемы безопасности

Ключевые слова: struts

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение

Ajax/Линейный | Раскрыть все сообщения | RSS

1.1, Аноним (-), 21:15, 10/09/2017 [ответить] [показать ветку] [···] [к модератору]	+2 +/–
Индейцы отомстили

2.2, Fomalhaut (?), 21:19, 10/09/2017 [^] [ответить] [к модератору]	+/–
Украсть != Использовать.

3.6, Elhana (ok), 22:02, 10/09/2017 [^] [ответить] [к модератору]	+6 +/–
У америкосов номер соцстраха это примерно как у нас номер паспорта - называешь вместе с фио любому банку и он уже верит, что это ты.

4.11, Michael Shigorin (ok), 23:42, 10/09/2017 [^] [ответить] [к модератору]	–27 +/–
> номер соцстраха Мне он читается как "номер общественной безопасности" [от человека], а по сути -- уникальный идентификатор. При чём тут страхование, кроме разве по 1984 -- понятия не имею.

5.13, Аноним (-), 23:46, 10/09/2017 [^] [ответить] [к модератору]	+10 +/–
"Social security" - переводится "социальное страхование", аналог нашего пенсионного (с некоторыми несущественными отличиями). Не переводите дословно, языки не совместимы.

6.25, freehck (ok), 08:42, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
Короче, это SS. :)

7.130, Sergey (??), 21:03, 11/09/2017 [^] [ответить] [к модератору]	+/–
обычно сокращают как SSN (social security number). но проблема жесточайшая. я боюсь что больше чем 140 млн человек могли пострадать и я среди них.

8.153, Lolwat (?), 01:21, 12/09/2017 [^] [ответить] [к модератору]	+1 +/–
Можно получить новый номер Проблема тогда обновить везде от телефонного контрак... весь текст скрыт [показать]

6.44, qsdg (ok), 10:10, 11/09/2017 [^] [ответить] [к модератору]	+/–
С очень даже существенными отличиями Это можно сказать основной идентификатор ч... весь текст скрыт [показать]

6.95, Аноним (-), 15:25, 11/09/2017 [^] [ответить] [к модератору]	–2 +/–
Вау. Несовместимые языки! Что за зверь такой? Чем определяется уровень совместимости, какие вы можете привести примеры совместимых языков?

6.113, _ (??), 19:34, 11/09/2017 [^] [ответить] [к модератору]	+/–
>"Social security" - переводится "социальное страхование", аналог нашего пенсионного (с некоторыми несущественными отличиями). Хмм ... скорее - ИНН

5.131, Аноним (-), 21:03, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
Если отвечать в вашем стиле - а у россиян крпостных к столбу привязывают И еще ... весь текст скрыт [показать]

6.197, Michael Shigorin (ok), 22:35, 12/09/2017 [^] [ответить] [к модератору]	–2 +/–
Какой к лешему стопор, если от телека входит в ступор и готово бомбить страны, к... весь текст скрыт [показать]

7.198, Аноним (-), 23:17, 12/09/2017 [^] [ответить] [к модератору]	+/–
Ну вот такой EFF в штатах почему-то никто не гнобит, хоть они и позволяют себе ... весь текст скрыт [показать]

8.213, Andrey Mitrofanov (?), 09:07, 16/09/2017 [^] [ответить] [к модератору]

+/–

> Ну вот такой. EFF в штатах почему-то никто

Тебе виднее. Конечно. Конечно.

https://duckduckgo.com/?q=blacks+heroin+criminalizing+disrupt+communities+arre

1.5, Аноним (-), 21:57, 10/09/2017 [ответить] [показать ветку] [···] [к модератору]	+7 +/–
Дайте ссылку, откуда скачать можно дамп

1.7, Аноним (-), 22:14, 10/09/2017 [ответить] [показать ветку] [···] [к модератору]	+13 +/–
> Бюро кредитных историй Equifax обнародовало (http://www.prnewswire.com/news-releases/equifax-announces-cybersecurity-incid) > информацию о взломе, в результате которого в руки атакующих попали персональные > данные 143 млн жителей США (44% населения США). > при этом если web-приложение выполняется в контейнере Apache Tomcat, запускаемом (https://wiki.apache.org/tomcat/HowTo#How_to_run_Tomcat_witho...) с правами root, в результате удалённой атаки может быть получен доступ с правами root. Как же так? Оказывается, ни новомодные игрушки, ни даже cосвем-не-тормозящая-и-почти-обогнавшая-сишку-!-!-1 жабка, ни огуречно-свекольное смузи не спасают от рукожопия?

2.10, pripolz (?), 23:03, 10/09/2017 [^] [ответить] [к модератору]	–9 +/–
Не стоит называть это рукожопием, и вот почему жаба программист не должен думат... весь текст скрыт [показать]

3.12, Michael Shigorin (ok), 23:44, 10/09/2017 [^] [ответить] [к модератору]	–4 +/–
Это уже не руко-, это голово- А это так называемый hype Вы не сталкивались с ч... весь текст скрыт [показать]

4.15, Аноним (15), 00:05, 11/09/2017 [^] [ответить] [к модератору]	+/–
А как же разделение труда?

5.19, Аноним (-), 06:20, 11/09/2017 [^] [ответить] [к модератору]	–6 +/–
Какое разделение труда? У него каждая кухарка может управлять государством.

6.57, Аноним (-), 11:35, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
Каждая кухарка не может, миллион кухарок может в 100 раз эффективнее любого чинуши.

7.110, Аноним (-), 19:20, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
А сколько обезьян надо, чтобы быть эффективнее 1 кухарки?

7.178, Michael Shigorin (ok), 12:06, 12/09/2017 [^] [ответить] [к модератору]	–2 +/–
У кого-то опять миллионная фиксация в вакуумной коробке, принимающей лозунги без... весь текст скрыт [показать]

6.61, Аноним (-), 11:57, 11/09/2017 [^] [ответить] [к модератору]	+/–
Каждый должен заниматься чем он лучше всего умеет Умеешь делать UI и не умеешь ... весь текст скрыт [показать]

7.99, YetAnotherOnanym (ok), 17:01, 11/09/2017 [^] [ответить] [к модератору]	+/–
Для этого нужна сущая мелочь - чтобы другие, от качества работы которых зависят ... весь текст скрыт [показать]

8.121, пох (?), 19:54, 11/09/2017 [^] [ответить] [к модератору]	–2 +/–
качественно не означает идеально , увы и много внеросии отсудили у тойеты за... весь текст скрыт [показать]

9.169, YetAnotherOnanym (ok), 11:09, 12/09/2017 [^] [ответить] [к модератору]	+/–
Разве я утверждал, что уеб-кодер должен уметь быстренько на коленке написать альтернативную реализацию фреймворка? А Ваш пример именно об этом.

8.180, Аноним (-), 12:24, 12/09/2017 [^] [ответить] [к модератору]	+/–
Проблемы от того что потребитель не умеет пользоваться ПО правильно - запускать ... весь текст скрыт [показать]

6.120, Анонимный Аналитек (?), 19:52, 11/09/2017 [^] [ответить] [к модератору]	+/–
Вместо умничания на форумах и бездумной копипасты можно было бы и прочитать ориг... весь текст скрыт [показать]

6.177, Michael Shigorin (ok), 12:03, 12/09/2017 [^] [ответить] [к модератору]	–2 +/–
> Какое разделение труда? У него каждая кухарка может управлять государством. Можно ссылочку? Если нет -- шмякните себя по лживой роже канделябром, что ли.

4.24, pripolz (?), 08:34, 11/09/2017 [^] [ответить] [к модератору]	–4 +/–
Ты, дружок, пока писал совй умный коммент с жабистами-ассемблерщиками, курящими ... весь текст скрыт [показать]

3.27, freehck (ok), 08:53, 11/09/2017 [^] [ответить] [к модератору]	+4 +/–
Ну офигеть То есть мы тут уже который год совершенно напрасно критикуем явистов... весь текст скрыт [показать]

4.65, пох (?), 12:15, 11/09/2017 [^] [ответить] [к модератору]	+/–
э зачем Их вот сейчас поимели прямо в рамках их же жабоприложения, без всяки... весь текст скрыт [показать]

5.73, Аноним (-), 12:45, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
Там апаче ясно дал понять, что архитектура должна предусматривать транспортные п... весь текст скрыт [показать]

6.83, pripolz (?), 13:22, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
посмотрел багу, реально рукожопость. Жабиный шеллкод-то выполнялся.

6.84, пох (?), 13:24, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
желательно - закрытые Если транспортный протокол позволяет, как это у нас пи... весь текст скрыт [показать]

7.170, Ан (??), 11:10, 12/09/2017 [^] [ответить] [к модератору]	+/–
Ломали не транспортный протокол а ось, и через ось сливали данные БД, которая ви... весь текст скрыт [показать]

7.192, Аноним (-), 21:23, 12/09/2017 [^] [ответить] [к модератору]	+/–
> желательно - закрытые. Надеешься что реверсеры глупые и не разберутся? Совершенно напрасная надежда. Если будет что брать - разберутся как делать нефиг.

8.202, пох (?), 22:43, 13/09/2017 [^] [ответить] [к модератору]	–1 +/–
придется сперва дожидаться уязвимости во внешней обертке, потом - в узком промеж... весь текст скрыт [показать]

9.204, Аноним (-), 02:21, 14/09/2017 [^] [ответить] [к модератору]	+/–
DigiNotar у это расскажи Comodohacker не только вынес всю активную директорию, ... весь текст скрыт [показать]

5.104, снилс (?), 18:04, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
лол опять в убийстве нож виноват. а потом удивляешься, что тебя дядьки посмекалистей пялят в одно-ж-место

6.136, Аноним (-), 21:38, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
В данном случае это больше похоже на бег с ножницами в руках по лестнице с завяз... весь текст скрыт [показать]

7.157, pripolz (?), 06:31, 12/09/2017 [^] [ответить] [к модератору]	–2 +/–
случай данного взлома настолько банален, там просто можно захреначить жаба-код в... весь текст скрыт [показать]

8.194, Аноним (-), 21:27, 12/09/2017 [^] [ответить] [к модератору]	+1 +/–
Я ничего не предполагал, жабисты все время сами настаивают что хотят только писа... весь текст скрыт [показать]

4.78, pripolz (?), 13:10, 11/09/2017 [^] [ответить] [к модератору]	+/–
Я тоже который год критикую явистов за то, что они дальше абстракции не видят И... весь текст скрыт [показать]

5.86, freehck (ok), 13:29, 11/09/2017 [^] [ответить] [к модератору]	+/–
Уже развивал https www opennet ru openforum vsluhforumID3 111842 html n freeh... весь текст скрыт [показать]

6.92, pripolz (?), 13:56, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
а можно ещё дальше. Подключил либу, ой, а в ней эксплойт.

7.94, freehck (ok), 14:11, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
> а можно ещё дальше. Подключил либу, ой, а в ней эксплойт. Вы не путайте знания реализации вышестоящей системы со знаниями её архитектуры. Реализации меняются, архитектура поддерживается.

3.114, _ (??), 19:38, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
pripolz> жаба программист не должен думать Вся суть поста :) Не благодари ...

2.17, й (?), 01:12, 11/09/2017 [^] [ответить] [к модератору]	+4 +/–
томкет от рута запустить -- это настоящее рукожопие, да. он по умолчанию так не делает. просто кто-то очень сильно хотел его повесить на 80/443 порты и не знал, как.

3.28, freehck (ok), 08:56, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
Не знал, как повесить его на 11443 и пробросить на 443 через iptables Да разве ... весь текст скрыт [показать]

4.77, й (?), 13:01, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
бывают-бывают лично я два года назад с руганью выпиливал такую же схему, достав... весь текст скрыт [показать]

4.118, _ (??), 19:44, 11/09/2017 [^] [ответить] [к модератору]	+/–
Не очень то это удобно Я уже хз сколько времени на фронт вешаю nginx и кручу-в... весь текст скрыт [показать]

5.122, пох (?), 19:58, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
для больших, типа екифака, это не то что неудобно, это скорее всего просто не ра... весь текст скрыт [показать]

6.132, freehck (ok), 21:19, 11/09/2017 [^] [ответить] [к модератору]	+/–
Кстати, мужики Мне тут рассказали про capabilities Оказывается, нынче не надо ... весь текст скрыт [показать]

7.138, Аноним (-), 21:40, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
То ли еще будет, когда ты обнаружишь что в Linux есть namespaces и seccomp...

7.145, пох (?), 22:50, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
а заодно, если поймаешь в нем remote exec - то же самое сможет делать и экзекнут... весь текст скрыт [показать]

8.150, freehck (ok), 01:05, 12/09/2017 [^] [ответить] [к модератору]	+/–
Понял Буду иметь в виду ... весь текст скрыт [показать]

7.155, dwfe (ok), 05:20, 12/09/2017 [^] [ответить] [к модератору]	–1 +/–
А чем вариант с setcap лучше хуже старого доброго authbind touch etc authbind... весь текст скрыт [показать]

6.181, YetAnotherOnanym (ok), 14:28, 12/09/2017 [^] [ответить] [к модератору]	+/–
> все ip адреса - 127.0.0.1 X-Forwarded-For? Нет, не слышал...

7.185, пох (?), 16:06, 12/09/2017 [^] [ответить] [к модератору]	–1 +/–
слышал А в логах struts овой мега-системы - 127 0 0 1 иди учись дальше, школьни... весь текст скрыт [показать]

8.200, YetAnotherOnanym (ok), 09:26, 13/09/2017 [^] [ответить] [к модератору]	+/–
То есть, струц не умеет скидывать в лог то, что нужно хозяину? Богатая мегасистема. Куда уж всякаим поднелкам до её убер-фич.

9.203, пох (?), 22:55, 13/09/2017 [^] [ответить] [к модератору]	–1 +/–
во-первых, struts - это фреймворк, в лог будет скидывать то, что на нем написано... весь текст скрыт [показать]

10.206, YetAnotherOnanym (ok), 11:20, 14/09/2017 [^] [ответить] [к модератору]	+/–
То есть, в веб-фреймворке нет возможности писать в лог заданный в конфиге заголо... весь текст скрыт [показать]

11.207, пох (?), 14:44, 15/09/2017 [^] [ответить] [к модератору]	–2 +/–
то есть ты так ни одного слова и не понял в веб-фреймворке я хз - может наверн... весь текст скрыт [показать]

11.210, Аноним (-), 02:17, 16/09/2017 [^] [ответить] [к модератору]	–1 +/–
Вот сразу сишника видно. Все думали он джаву пинает, а он прото тупит.

4.173, Ан (??), 11:34, 12/09/2017 [^] [ответить] [к модератору]	+/–
Да не, дать бинарнику CAP_NET_BIND_SERVICE ... весь текст скрыт [показать]

4.209, Аноним (-), 02:12, 16/09/2017 [^] [ответить] [к модератору]	–1 +/–
Только что на джавистов гнал. Неужели дошло. Не верю.

3.34, КО (?), 09:16, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
страшилка для маленьких мальчиков Сервер приложений все одно запускается с пра... весь текст скрыт [показать]

4.75, й (?), 12:57, 11/09/2017 [^] [ответить] [к модератору]	–3 +/–
читайте новость. rce возможно только, если слишком умный админ запустил сервер приложений от рута.

5.159, iPony (?), 08:43, 12/09/2017 [^] [ответить] [к модератору]	–1 +/–
Нет, и в новости все правильно написано, чего не скажешь о твоем выражении ... весь текст скрыт [показать]

2.208, Аноним (-), 01:59, 16/09/2017 [^] [ответить] [к модератору]	–1 +/–
Это сколько надо боярышника, чтобы баг фреймворка валить на язык? Следуя вашей же логике - это си облажался, веть жаба на нем написана.

....нить скрыта, показать (56)

1.8, Sluggard (ok), 22:18, 10/09/2017 [ответить] [показать ветку] [···] [к модератору]	+2 +/–
> Манипуляции информацией о том, что сентябрьская уязвимость вызвана ошибкой, которая находится в коде уже 9 лет, неуместны, так как есть большая разница между выявлением ранее неизвестной ошибки и знанием о наличии неисправленной ошибки. Ну конечно, а другие её не могли найти раньше, ага.

2.16, Аноним (-), 00:15, 11/09/2017 [^] [ответить] [к модератору]	+/–
Могли и другую найти, поныне не закрытую.

3.59, Аноним (-), 11:38, 11/09/2017 [^] [ответить] [к модератору]	+/–
> Могли и другую найти, поныне не закрытую. Более того, скорее всего, нашли. Каков шанс, что хакер найдет дыру и раскажет о ней? А какой процент хакеров среди честных людей?

4.139, Аноним (-), 21:44, 11/09/2017 [^] [ответить] [к модератору]	+/–
Хрен бы его знает, но они делятся на white hats, gray hats и black hats В любом... весь текст скрыт [показать]

1.18, dwfe (?), 05:03, 11/09/2017 [ответить] [показать ветку] [···] [к модератору]

–2 +/–

Вижу следующие проблемы:
- криворукость сетевого администратора в организации
- отсутствие сетевого администратора в организации
- целенаправленная халатность

Если сказать Tomcat запускаться на 80 порту, то он стартанет, но 80 порт слушать не сможет по причине:
Failed to initialize component [Connector[HTTP/2-80]]
org.apache.catalina.LifecycleException: Protocol handler initialization failed
Caused by: java.net.SocketException: Permission denied

Вина java здесь в том, что она просто-напросто не может творить чудеса - слушать привелигированный порт в рамках пользователя операционной системы, которому такие действия запрещены.

2.20, slezhuk (?), 07:18, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
Да что вы заладили root да root Прав непревелигерованного пользователя, под кот... весь текст скрыт [показать]

3.22, лютый жабист__ (?), 07:23, 11/09/2017 [^] [ответить] [к модератору]	+/–
Фронтенд инициирует создание сессии, получает некий токен, с ним ходит в СУБД С... весь текст скрыт [показать]

4.26, Анотоним (?), 08:52, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
А зачем ты ею думаешь а не головой Сказано в течении 2 месяцев скачали данные ... весь текст скрыт [показать]

5.54, Ку (?), 11:12, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
Прослойка помешает Максимум вытянешь данные залогиненных пользователей и то есл... весь текст скрыт [показать]

6.55, Ку (?), 11:21, 11/09/2017 [^] [ответить] [к модератору]	+/–
К тому же в памяти можно хранить сырые токены и только в момент передачи их в ... весь текст скрыт [показать]

7.90, Анотоним (?), 13:54, 11/09/2017 [^] [ответить] [к модератору]	+/–
Отличный подход: Понадеяться на прослойку/БД и писать плохой код!

8.101, Ку (?), 17:06, 11/09/2017 [^] [ответить] [к модератору]	+/–
Как вам удалось сделал такой вывод из сказанного мной? Пишите хороший. Прослойку это не отменяет.

9.166, Анотоним (?), 10:07, 12/09/2017 [^] [ответить] [к модератору]	+/–
Зачем нужна прослойка при хорошем коде?

3.30, dwfe (ok), 09:05, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
Я человек простой - читаю текст новости и строго по нему спамлю в комментах Иск... весь текст скрыт [показать]

4.51, slezhuk (?), 10:57, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
Так в том то и дело, что в новости написано если web-приложение выполняется ... весь текст скрыт [показать]

3.175, Ан (??), 11:41, 12/09/2017 [^] [ответить] [к модератору]	+/–
Блин, тут говорят что подстановка байт кода в запрос Теперь подумай достучаться... весь текст скрыт [показать]

2.29, freehck (ok), 09:01, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
Кстати, может хоть вы мне объясните, почему Java-программисты испытывают затрудн... весь текст скрыт [показать]

3.32, dwfe (ok), 09:08, 11/09/2017 [^] [ответить] [к модератору]	+/–
Все они могут. В новости линк же есть: https://wiki.apache.org/tomcat/HowTo#How_to_run_Tomcat_without_root_privileges

4.38, пох (?), 09:44, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
этот линк как раз демонстрирует их полную беспомощность - от советов запускать ч... весь текст скрыт [показать]

5.41, dwfe (ok), 09:59, 11/09/2017 [^] [ответить] [к модератору]	+/–
Наилучшим, по их мнению путем, является старт Tomcat в качестве нативной для lin... весь текст скрыт [показать]

6.49, freehck (ok), 10:50, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
jsvc конечно же делает то, что надо, вот только подход с jsvc не всегда применим... весь текст скрыт [показать]

7.53, dwfe (ok), 11:01, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
Спасибо за разъяснение Честно говоря я не думал об этом И соглашусь с вами, чт... весь текст скрыт [показать]

8.56, freehck (ok), 11:22, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
Наверное дело в том, что сброс привилегий производится по-разному на разных плат... весь текст скрыт [показать]

9.58, dwfe (ok), 11:38, 11/09/2017 [^] [ответить] [к модератору]	+/–
Мне почему-то кажется, что обязательность кроссплатформенности не является основ... весь текст скрыт [показать]

10.60, freehck (ok), 11:55, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
Да, это было бы здорово Если найдётся когда-нибудь такой способ, я бы протолкну... весь текст скрыт [показать]

11.62, dwfe (ok), 12:02, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
Здесь все рассылки разрабов OpenJDK читайте разарабов Java http mail openjdk... весь текст скрыт [показать]

12.64, freehck (ok), 12:15, 11/09/2017 [^] [ответить] [к модератору]	+/–
ЕМНИП, в винде система прав сильно отличается от юниксовой Там просто нет таких... весь текст скрыт [показать]

13.66, dwfe (ok), 12:21, 11/09/2017 [^] [ответить] [к модератору]	+/–
В первом приближении я пока думаю, что они просто создают новый процесс https... весь текст скрыт [показать]

14.69, freehck (ok), 12:34, 11/09/2017 [^] [ответить] [к модератору]	+/–
Вот-вот, как раз шёл сюда отписать то же самое Тут ведь фокус в том, что в винд... весь текст скрыт [показать]

15.71, dwfe (ok), 12:44, 11/09/2017 [^] [ответить] [к модератору]	+/–
В венде сейчас есть такое решение https technet microsoft com en-us library c... весь текст скрыт [показать]

16.76, freehck (ok), 13:00, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
Ну, тут в общем-то обсуждается не фунцкия setuid, а скорее setuid bit runas ... весь текст скрыт [показать]

17.82, dwfe (ok), 13:15, 11/09/2017 [^] [ответить] [к модератору]	+/–
Гуд, значит стопроцентов дело в ведре.

7.215, Аноним (-), 14:42, 18/09/2017 [^] [ответить] [к модератору]	–1 +/–
Ваш пример не банальный, а глупый. Сишников не учат, что свой API не системные порты нельзя вешать? Может образование подтянуть, тогда и позориться не придется

6.67, пох (?), 12:22, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
jsvc-то делает, но как-то на удивление криво, нужна еще стройная система костыле... весь текст скрыт [показать]

7.74, dwfe (ok), 12:55, 11/09/2017 [^] [ответить] [к модератору]	+/–
разъясните пожалуйста про костыли и подпорочки, мне для понимания надо спасет ко... весь текст скрыт [показать]

8.80, freehck (ok), 13:11, 11/09/2017 [^] [ответить] [к модератору]	+/–
Ну, чёткого определения костыля вообще нету, обычно эти слова произносятся в зав... весь текст скрыт [показать]

9.81, dwfe (ok), 13:15, 11/09/2017 [^] [ответить] [к модератору]	+/–
)))))

9.85, dwfe (ok), 13:25, 11/09/2017 [^] [ответить] [к модератору]	+/–
А ведь вы правы. Многих после такого: http://radikal.ru/fp/rfy4trkjz5uoa начнет слегка потряхивать))))

10.88, freehck (ok), 13:36, 11/09/2017 [^] [ответить] [к модератору]	+/–
Да ладно, это как раз-таки нормально Тут хотя бы есть стопудово рабочий способ ... весь текст скрыт [показать]

11.105, пох (?), 18:12, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
вообще-то _правильно_ установленный компилятор разных версий умеет переключать... весь текст скрыт [показать]

12.117, Аноним84701 (ok), 19:44, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
Приветствуем крионавта http gcc gnu org gcc-4 6 changes html ... весь текст скрыт [показать]

13.123, пох (?), 20:07, 11/09/2017 [^] [ответить] [к модератору]	+/–
ну я же предупреждал, что не так прямо все легко До 4 7 2 код еще с нами, afair... весь текст скрыт [показать]

11.109, Ordu (ok), 19:02, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
> Вот за такое хочется руки оторвать, когда у тебя в системе стоят несколько компиляторов разных версий. mkdir bin export PATH="'pwd'/bin;$PATH" ln -s /usr/bin/cool-c++-compiler ./bin/g++

12.112, Аноним (-), 19:31, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
Ну да Ведь сделать СXX g отдельной строчкой сложно, пускай лучше пользов... весь текст скрыт [показать]

13.124, пох (?), 20:09, 11/09/2017 [^] [ответить] [к модератору]	+/–
канешна - это ж надо сообразить, из какого места модной аутолибульной хрени оно ... весь текст скрыт [показать]

14.128, Анонимный Аналитек (?), 20:47, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
Да не нужно гадать Т е делать так нужно как раз в аутолибульной хрени Или в ... весь текст скрыт [показать]

14.144, Аноним (-), 22:31, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
Похоже на описание meson а, чтоли ... весь текст скрыт [показать]

12.119, freehck (ok), 19:50, 11/09/2017 [^] [ответить] [к модератору]	+/–
О А вот это мне в голову не приходило Завтра попробую, спасибо ... весь текст скрыт [показать]

12.218, freehck (ok), 19:25, 22/09/2017 [^] [ответить] [к модератору]	+/–
Увы, это не помогло Помог вариант с user-config для bjam Но на будущее этот ко... весь текст скрыт [показать]

13.219, Ordu (ok), 21:08, 22/09/2017 [^] [ответить] [к модератору]	+1 +/–
Хм Очевидно мало было только симлинк на другой компилятор подсунуть, надо был... весь текст скрыт [показать]

14.220, freehck (ok), 13:26, 23/09/2017 [^] [ответить] [к модератору]	+/–
Хм Перенастраивать все симлинки system-wide - это может быть и неплохо для посл... весь текст скрыт [показать]

11.125, Аноним (-), 20:10, 11/09/2017 [^] [ответить] [к модератору]	+/–
> Boost > строчки вида Это где это в boost такое? Сколько раз собирал его кастомным компилятором, никаких проблем.

12.129, freehck (ok), 20:52, 11/09/2017 [^] [ответить] [к модератору]	+/–
Это какая-то дремучая версия буста, на которую завязались ряд наших компонентов,... весь текст скрыт [показать]

13.133, Аноним (-), 21:20, 11/09/2017 [^] [ответить] [к модератору]	+/–
Старше 15 лет, что ли или когда они bjam туда вкорячили Так и надо сразу уточ... весь текст скрыт [показать]

14.147, пох (?), 00:21, 12/09/2017 [^] [ответить] [к модератору]	–1 +/–
ну я рад услышать, что они хотя бы за пятнадцать лет догадались, но кому и пятна... весь текст скрыт [показать]

14.151, freehck (ok), 01:07, 12/09/2017 [^] [ответить] [к модератору]	+/–
Хм Мне думется, что ей лет 10-12, но bjam там кстати есть UPD нашёл версию в ... весь текст скрыт [показать]

15.152, Аноним (-), 01:18, 12/09/2017 [^] [ответить] [к модератору]	+2 +/–
Раз так, то он должен собираться bjam'ом, и компилятор можно задать через user-config: http://www.boost.org/build/doc/html/bbv2/overview/configuration.html

16.183, freehck (ok), 15:24, 12/09/2017 [^] [ответить] [к модератору]	+/–
> Раз так, то он должен собираться bjam'ом, и компилятор можно задать через > user-config: http://www.boost.org/build/doc/html/bbv2/overview/configuration.html Спасибо, попробую.

16.217, freehck (ok), 19:23, 22/09/2017 [^] [ответить] [к модератору]	+/–
> Раз так, то он должен собираться bjam'ом, и компилятор можно задать через user-config Спасибо! Собралось отлично с нужной версией компилятора! :)

9.106, пох (?), 18:13, 11/09/2017 [^] [ответить] [к модератору]	+/–
не забудьте еще предусмотреть супервизор этого супервизора, а то оно умеет навер... весь текст скрыт [показать]

10.141, Аноним (-), 22:00, 11/09/2017 [^] [ответить] [к модератору]	–3 +/–
В нем все это сделано и даже достаточно прилично В Linux есть такая штука - wat... весь текст скрыт [показать]

11.214, freehck (ok), 10:24, 16/09/2017 [^] [ответить] [к модератору]	+1 +/–
Вот же феерический бред Нет, ну надо же Аппаратный вачдог для мониторинга ра... весь текст скрыт [показать]

5.45, dwfe (ok), 10:24, 11/09/2017 [^] [ответить] [к модератору]	+/–
Если я все правильно понимаю, то они это делают вот так: https://github.com/apache/commons-daemon/blob/6702852984689bc6507690113949b478

5.212, Аноним (-), 02:28, 16/09/2017 [^] [ответить] [к модератору]	–1 +/–
gt оверквотинг удален Т е по вашему это джависты сервер приложений на проде з... весь текст скрыт [показать]

4.40, freehck (ok), 09:59, 11/09/2017 [^] [ответить] [к модератору]	+/–
Спасибо, поржал Особенно над suid-ником Не, всё правильно запускать-то из-под... весь текст скрыт [показать]

5.43, dwfe (ok), 10:06, 11/09/2017 [^] [ответить] [к модератору]	+/–
Да, нет же. Работать оно будет под непривилегированным пользователем: http://joxi.ru/12M1MRlH41bZ82 Скажите где у меня ошибка в рассуждениях.

6.47, freehck (ok), 10:29, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
Ваша ошибка в том, что я говорю о варианте с suid-ником, а Вы -- о варианте с jsvc.

7.48, dwfe (ok), 10:35, 11/09/2017 [^] [ответить] [к модератору]	+/–
Извините, я действительно не уточнил, что говорил про использование стартера jsv... весь текст скрыт [показать]

8.52, freehck (ok), 10:58, 11/09/2017 [^] [ответить] [к модератору]	–1 +/–
Прокомментировал в 49 Он корректен не всегда, потому что форсирует демонизацию... весь текст скрыт [показать]

5.46, dwfe (ok), 10:25, 11/09/2017 [^] [ответить] [к модератору]	+/–
Вот ссылка на исходник, где они устанавливают id https github com apache comm... весь текст скрыт [показать]

3.211, Аноним (-), 02:26, 16/09/2017 [^] [ответить] [к модератору]	–1 +/–
Объясняю - никаких затруднений ибо java здесь абсолютно ну никаким боком Да не ... весь текст скрыт [показать]

2.31, zanswer CCNA RS and S (?), 09:05, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
Эм, а какое отношение сетевой администратор имеет к root на сервере?

3.33, dwfe (ok), 09:14, 11/09/2017 [^] [ответить] [к модератору]	+/–
Ну, хорошо, замените сетевой администратор любым другим устраивающим вас текст... весь текст скрыт [показать]

....нить скрыта, показать (68)

1.21, лютый жабист__ (?), 07:19, 11/09/2017 [ответить] [показать ветку] [···] [к модератору]	–6 +/–
Что-то в предыдущей теме могучие сишники так и не назвали правильный web2.0 MVCшный фреймворк, написанный не на противной жабе. Только не надо про пых, джанго и РоР...

2.23, A.Stahl (ok), 08:04, 11/09/2017 [^] [ответить] [к модератору]	+6 +/–
>Только не надо про пых, джанго и РоР... Почему? Потому что они распространены и не написаны на Яве? И это портит твою уютную Ява-фантазию?

3.36, лютый жабист__ (?), 09:23, 11/09/2017 [^] [ответить] [к модератору]	+/–
Патамучта решeто на порядок большее.

4.72, freehck (ok), 12:45, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
> Патамучта решeто на порядок большее. Эврика. Лютый жабист утверждает, что жаба -- решeто. :)

5.97, лютый жабист__ (?), 16:40, 11/09/2017 [^] [ответить] [к модератору]	+/–
На си же написано. От яблони далеко не укатишься.

6.143, Аноним (-), 22:27, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
Далеко не укатишься, имхо, если считать что во всем виноват си, а думать за прог... весь текст скрыт [показать]

2.35, Аноним (-), 09:22, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
<жирнота>asp.net mvc</жирнота>

3.37, A.Stahl (ok), 09:43, 11/09/2017 [^] [ответить] [к модератору]	+3 +/–
Ты же худой как узник концлагеря. Вот жирнота: Ява. Очень распространённый фреймворк для веба, написанный не на Яве.

4.39, пох (?), 09:45, 11/09/2017 [^] [ответить] [к модератору]

+2 +/–

> Ты же худой как узник концлагеря. Вот жирнота:
> Ява. Очень распространённый фреймворк для веба, написанный не на Яве.

погугли что такое "фреймворк для веба". Чтобы не пердеть в лужу.

2.42, Аноним (-), 10:06, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
go + gorilla

2.100, YetAnotherOnanym (ok), 17:04, 11/09/2017 [^] [ответить] [к модератору]	+/–
Treefrog, например ... весь текст скрыт [показать]

3.107, лютый жабист__ (?), 18:43, 11/09/2017 [^] [ответить] [к модератору]	–2 +/–
> Treefrog, например. Позырил, посмеялся. Ты всерьёз это аналогом jsf или struts считаешь?

4.154, YetAnotherOnanym (ok), 01:30, 12/09/2017 [^] [ответить] [к модератору]	+/–
На здоровье. Я тоже над Вашим комментарием посмеялся.

4.161, пох (?), 09:19, 12/09/2017 [^] [ответить] [к модератору]	+/–
чорт, плохая идея была искать одно это слово Как теперь развидеть все зеленое и... весь текст скрыт [показать]

1.63, Аноним (-), 12:10, 11/09/2017 [ответить] [показать ветку] [···] [к модератору]	+4 +/–
на самом деле главная уязвимость была вовсе не в Struts, а вот здесь: https://pbs.twimg.com/media/DJMm2IbXgAAbSvh.jpg и что-то мне подсказывает, что она не устранена

2.68, пох (?), 12:29, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
расскажи, какого именно образования ты ждешь от человека, пришедшего в IT в 2002... весь текст скрыт [показать]

3.140, Аноним (-), 21:52, 11/09/2017 [^] [ответить] [к модератору]	+/–
По идее эксперт безопасности должен бы донести до разработчиков и их руководства... весь текст скрыт [показать]

4.148, пох (?), 00:29, 12/09/2017 [^] [ответить] [к модератору]	+/–
какое отношение это имеет к скриншоту И что, собственно, было не так , кроме ф... весь текст скрыт [показать]

3.171, YetAnotherOnanym (ok), 11:19, 12/09/2017 [^] [ответить] [к модератору]	+/–
В 2002 году можно было бы хотя бы материалы дел Митника почитать.

1.70, yekm (ok), 12:36, 11/09/2017 [ответить] [показать ветку] [···] [к модератору]	+/–
Лучше бы написали, что же они теперь то будут делать? https://www.wired.com/story/the-equifax-breach-exposes-americas-identity-crisi

2.87, пох (?), 13:33, 11/09/2017 [^] [ответить] [к модератору]	+/–
в смысле Они ничего не будут делать, им-то зачем Жаль что эти ребята не наcр... весь текст скрыт [показать]

3.108, Ordu (ok), 18:57, 11/09/2017 [^] [ответить] [к модератору]	+/–
Затем, что на них в суд классовый иск подан, а это им грозит в худшем случае вып... весь текст скрыт [показать]

4.126, equifax (?), 20:11, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
ну что вы, право, это грозит выплатой юристу пары сотен Они у нас хорошо откорм... весь текст скрыт [показать]

5.127, Ordu (ok), 20:41, 11/09/2017 [^] [ответить] [к модератору]	+/–
При миллиардном иске Пара сотен Пара сотен тысяч, ты имеешь в виду ... весь текст скрыт [показать]

6.135, equifax (?), 21:34, 11/09/2017 [^] [ответить] [к модератору]

–1 +/–

> Пара сотен тысяч, ты имеешь в виду?

ну да, а чо такого-то? лоер - он полезный, в отличие от каких-то там админов-шмадминов, компания наскребет.

7.142, Ordu (ok), 22:13, 11/09/2017 [^] [ответить] [к модератору]	+1 +/–
Мне вот интересно, откуда вдруг взялась мода на слово лоер Это анонимы опенне... весь текст скрыт [показать]

8.149, пох (?), 00:33, 12/09/2017 [^] [ответить] [к модератору]	+/–
адвокат просто выписывать дольше ну, тех-то еще по тридцати трем причинам кор... весь текст скрыт [показать]

2.89, freehck (ok), 13:38, 11/09/2017 [^] [ответить] [к модератору]	+/–
> Лучше бы написали, что же они теперь то будут делать? Выдавать. Либо новые СНИЛСы, либо кредиты. Всем подряд. :)

3.91, Анотоним (?), 13:56, 11/09/2017 [^] [ответить] [к модератору]	+2 +/–
Чтобы получит новые СНИЛС им придется провести референдум по присоединению к РФ ... весь текст скрыт [показать]

4.93, A.Stahl (ok), 14:08, 11/09/2017 [^] [ответить] [к модератору]	+/–
Американский НГШ украдкой смотрит в словарь как пишется "референдум", что это такое и почему раньше обходились без него :)

3.96, пох (?), 15:29, 11/09/2017 [^] [ответить] [к модератору]	+/–
хрен там Нету возможности сменить ssn Говорят, если кто-то когда-то получит на... весь текст скрыт [показать]

2.115, KonstantinB (ok), 19:41, 11/09/2017 [^] [ответить] [к модератору]	+/–
Займутся тем, чем им давно бы пора - модернизацией процесса аутентификации и воп... весь текст скрыт [показать]

3.116, KonstantinB (ok), 19:43, 11/09/2017 [^] [ответить] [к модератору]	+/–
В этом смысле то, что утечка такая огромная - это даже плюс. Утекло бы 10 тыщ - поохали бы и положили болт. А так получился очень хороший пинок под зад.

....нить скрыта, показать (13)

1.79, Андрей (??), 13:11, 11/09/2017 [ответить] [показать ветку] [···] [к модератору]	+/–
Это «покруче» Ирмы будет...

1.98, Sen (?), 16:52, 11/09/2017 [ответить] [показать ветку] [···] [к модератору]	+/–
раньше по этим данным можно было кредитку получить, возможно и сейчас это существует:)

2.111, KonstantinB (ok), 19:25, 11/09/2017 [^] [ответить] [к модератору]	+/–
Да чего там кредитку Самое интересное другое зная имя и SSN, можно заполнить ф... весь текст скрыт [показать]

2.160, iPony (?), 08:52, 12/09/2017 [^] [ответить] [к модератору]	–3 +/–
Какую-то ерунду написал ОпенСорс - это не общее понятие Это может быть и уми... весь текст скрыт [показать]

2.162, пох (?), 09:41, 12/09/2017 [^] [ответить] [к модератору]	–1 +/–
потому что это глупость Мода, к сожалению, не прошла, а наоборот, превысила уже... весь текст скрыт [показать]

3.199, Аноним (-), 02:07, 13/09/2017 [^] [ответить] [к модератору]	+/–
А я то думал потому что так быстрее и дешевле Отсталое проприетарное нечто, с м... весь текст скрыт [показать]

4.201, пох (?), 12:39, 13/09/2017 [^] [ответить] [к модератору]	–1 +/–
считал, или думал Обычно так нифига не дешевле - хотя да, быстрее , потому ч... весь текст скрыт [показать]

5.205, Аноним (-), 04:29, 14/09/2017 [^] [ответить] [к модератору]	+/–
Быстрее - значит дешевле Мало кто хочет бесплатно работать над чужими задачами ... весь текст скрыт [показать]

2.167, Аноним (-), 10:20, 12/09/2017 [^] [ответить] [к модератору]	–1 +/–
> По LO прекрасно видно что офисные комбайны всё меньше востребованы.

2.168, ыы (?), 10:50, 12/09/2017 [^] [ответить] [к модератору]	–3 +/–
Скорее она занимает свою историческую нишу... Сдвинуть основы экономики опенсорсу не удалось, количество пока не перешло в качество в этом смысле.

3.176, Michael Shigorin (ok), 11:56, 12/09/2017 [^] [ответить] [к модератору]	+/–
Хозяйке на заметку сообщения 174, 172, 165, 164, 163, 156 пришли с одного адрес... весь текст скрыт [показать]

4.182, пох (?), 14:54, 12/09/2017 [^] [ответить] [к модератору]	–1 +/–
ну и где моя бонусная лицензия и путевка, блин только, чур не во Львов откат... весь текст скрыт [показать]

5.184, Michael Shigorin (ok), 15:29, 12/09/2017 [^] [ответить] [к модератору]	–3 +/–
Она, видать, тупая и просится в мусорку Потому что аналогичное же поведение бы... весь текст скрыт [показать]

6.186, пох (?), 16:18, 12/09/2017 [^] [ответить] [к модератору]	–1 +/–
ну так 2006й год, и, заметь, речь шла не о выброси свой линух, поставь что ... весь текст скрыт [показать]

7.187, Michael Shigorin (ok), 16:24, 12/09/2017 [^] [ответить] [к модератору]	–4 +/–
Следующий ход очевиден -- проблемы нет, вы же легализовались, а перейти на лину... весь текст скрыт [показать]

8.188, пох (?), 17:17, 12/09/2017 [^] [ответить] [к модератору]	–1 +/–
хз - про следующий ход из этого источника мне ничего не приходило, наверное, не ... весь текст скрыт [показать]

....нить скрыта, показать (14)

1.221, Michael Shigorin (ok), 18:47, 26/09/2017 [ответить] [показать ветку] [···] [к модератору]

–1 +/–

К слову об утечках персданных:

---
Сегодня, 26 сентября, оператор мобильной связи "Киевстар" открыл доступ следователям ко всему оборудованию компании с целью получения любой интересующей информации о телефонных разговорах и переписке.
--- https://varjag2007su.livejournal.com/1546271.html

Как же хорошо, что полтора десятка лет назад я туда не пошёл работать.

2.222, Andrey Mitrofanov (?), 18:59, 26/09/2017 [^] [ответить] [к модератору]	+/–
> Как же хорошо, что полтора десятка лет назад я туда не пошёл > работать. Мы узнаем о вступлении яровой на опенет -- по твоей отставке из? =Кенарем будешь?

Добавить комментарий