| |
| 2.13, Аноним (13), 22:10, 20/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
проблему изучал озабоченный php. если ты не озабочен, тебе волноваться не о чём
| | |
| 2.24, Аноним (24), 22:43, 20/04/2024 [^] [^^] [^^^] [ответить]
| +15 +/– |
Самое смешное, что php тут вообще никаким боком, это просто удобный вектор атаки.
| | |
|
| 1.15, Аноним (15), 22:17, 20/04/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Ну и почему нет расследования какой китаец на какой праздник что накоммитил? Где теории заговора где пяток новостей только про один этот случай с разными разборами и вычиткой каждого сообщения от автора коммита как в хз. Двойные стандарты и отрациние очевидного.
| | |
| |
| 2.56, 78 (?), 01:31, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
Очевидно, что iconv мало кто использует в php, а уж вместе с какойто конкретной экзотической кодировкой и подавно, так есть ли смысл в расследовании преступления которое случилось 20+ лет назад и заключалось в том, что в подвале не заперли на щеколду чулан
| | |
| |
| 3.60, Аноним (35), 01:49, 21/04/2024 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Очевидно, что iconv мало кто использует в php
И уж тем более очевидно, кто php-код НИКОГДА не работает с данными, которые ввёл пользователь.
| | |
| |
| 4.68, 78 (?), 03:54, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
ввел, а потом указал что ввел в какойто отличной от дефолтной кодировке, факт
| | |
|
| 3.72, Аноним (73), 08:19, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
Всё с вами пхпшниками ясно. И почему вас постоянно взламывают. Информационная безопасность и вы находитесь на разных полюсах.
| | |
|
| 2.82, Аноним (82), 10:29, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
Потому чтт если начать раскручивать, внезапно на серьёзных дядек моюно выйти и получить D-Notice?
| | |
|
| 1.19, Аноним (19), 22:25, 20/04/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +5 +/– |
Красивое.
>библиотека добавляет некоторые escape-символы, выделяющие части строки,
Сомнительная функциональность, конечно, надо бы посмотреть, кто это добавлял, и не позаботился о сайд-эффектах.
| | |
| |
| |
| 3.45, Аноним (35), 01:16, 21/04/2024 [^] [^^] [^^^] [ответить]
| –5 +/– |
Проблема в том, что значительная часть пользователей Arch'а старается не обновлять систему, чтобы она не развалилась, а просто переставлять всё с нуля через какой-то период (что-то около полугода).
| | |
| |
| 4.122, Аноним (122), 17:11, 21/04/2024 [^] [^^] [^^^] [ответить]
| –1 +/– |
"старается не обновлять систему, чтобы она не развалилась" РЖУ!!! :)))))
Это как же надо писать систему, чтобы вот так, от любого чиха....
| | |
| |
| 5.152, Аноним (152), 01:57, 23/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
Спроси виндузятников. У них каждая инструкция по исправлению проблем начинается с переустановки системы.
| | |
|
| 4.137, Аноним (137), 23:47, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– | |
Когда сидел на Arch-е, обновлял постоянно, ничего не отваливалось. Ну один раз за 4 года отвалились иксы, поправил конфиг, всё ок.
Переустанавливать линукс - это вообще что-то очень смешное, это надо быть совсем пользователем windows, чтобы до такого дойти. За 21 год на линуксе ни разу до такого не опускался :)
| | |
| |
| 5.158, Аноним (158), 11:21, 23/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
Было на работе пара любителей арча, раз в три месяца стабильно все нахер разваливалось, обновлялись раз в неделю. При у меня гента, с обновлениями раз в месяц мозги грела реже
| | |
|
| 4.151, Аноним (152), 01:55, 23/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
Каждый день обновляюсь в течение десятков лет. Ничего не боюсь, ничего не разваливается.
| | |
|
|
|
| 1.21, Аноним (20), 22:31, 20/04/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +7 +/– | |
Который раз уже замечаю, что в новостях о какой-то CVE, ссылка на федору ведёт на какую-то всратую страницу с рандомной свалкой всего что только можно, но не того что нужно.
У Дебиана самая наглядная сводка статуса починки, сразу видно, что не инопланетные наркоты составляли.
| | |
| |
| 2.30, Аноним (35), 23:02, 20/04/2024 [^] [^^] [^^^] [ответить]
| +/– | |
> ссылка на федору ведёт на какую-то всратую страницу с рандомной свалкой всего что только можно, но не того что нужно.
Федора — корпоративный продукт, соответственно, поиск по CVE в багзилле может быть ограничен, если этого пожелают сотрудники корпорации.
| | |
| |
| 3.55, Аноним (20), 01:31, 21/04/2024 [^] [^^] [^^^] [ответить]
| +2 +/– |
>> ссылка на федору ведёт на какую-то всратую страницу с рандомной свалкой всего что только можно, но не того что нужно.
> Федора — корпоративный продукт, соответственно, поиск по CVE в багзилле может
> быть ограничен, если этого пожелают сотрудники корпорации.
Ага, а RHEL, у которой с сылкой всё нормально, стало быть не корпоративный продукт, а так, шляпа подзаборная, да?! ))
| | |
|
|
| 1.64, Аноним (64), 03:00, 21/04/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Все хоронят Пыху, а он живучий оказался. Если бы он не использовался, уязвимости бы не искали.
| | |
| |
| 2.65, Аноним (65), 03:17, 21/04/2024 [^] [^^] [^^^] [ответить]
| +1 +/– |
Хоронят программисты (так как что-то понимают),
а откапывают предприниматели (так как что-то понимают).
Вот только одни понимают в программировании,
а другие понимают в экономике.
Странно слушать мнение уборщицы о проведении полосных операций,
так что ну платят пока PHP-шникам за решение бизнес проблемы
и хорошо одни с решением, а другие с деньгами, но бегать и кричать
в грудь, что там все так прям хорошо я б не стал...
| | |
| 2.119, Аноним (122), 17:07, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
Он такой же живучий, как кувалда вместо шуруповёрта: есть тысячи леммингов, которые даже на 10% не смотрят вглубь - у них есть "простой инструмент" похапэха и желание на этом заработать. Остальные брезгливо смотрят на это трёхбуквенное недоразумение и не понимают, зачем эту плохо пахнущую кучу вообще касаться.
| | |
| |
| 3.144, Бывалый Смузихлёб (ok), 11:34, 22/04/2024 [^] [^^] [^^^] [ответить]
| +2 +/– |
 если приглядеться к ЯП и технологиям, применяемым в вебе, около него и во многом другом - то почти что угодно оказывается той самой кучей
| | |
|
|
| 1.71, Аноним (71), 08:13, 21/04/2024 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
и это в стандартной либе, а что же творится в миллионах васянских либ
| | |
| |
| 2.75, Аноним (73), 08:30, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
Да на тот же вордпресс посмотри и плагины к нему. Проще ssh порт оставить без пароля чем ставить все эти поделки.
| | |
| 2.77, Аноним (77), 08:41, 21/04/2024 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> и это в стандартной либе, а что же творится в миллионах васянских либ
Проприетарный код недоступен для анализа.
| | |
| |
| 3.80, n00by (ok), 10:11, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
 >> и это в стандартной либе, а что же творится в миллионах васянских либ
> Проприетарный код недоступен для анализа.
Доступен. Просто ты про не в курсе, какие варианты для этого возможны. А открытый код за тебя посмотрит Васян, да.
| | |
| |
| 4.153, Аноним (152), 02:12, 23/04/2024 [^] [^^] [^^^] [ответить]
| +/– | |
> Доступен.
Варианты, которые не вписываются в экономику, существуют, в основном, лишь гипотетически, для победы в спорах в Интернетике.
Варианты, которые вписываются в жизнь, имеют ряд вопросов к надежности такого, поверхностного, анализа. Так как делают ряд серьезных допущений о предполагаемом поведении программ, например, о его постоянстве во времени или об его универсальности для любого окружения.
> А открытый код за тебя посмотрит Васян
Кому платишь, тот и смотрит.
| | |
| |
| 5.157, n00by (ok), 10:48, 23/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
>> Доступен.
> Варианты, которые не вписываются в экономику, существуют, в основном, лишь гипотетически,
> для победы в спорах в Интернетике.
Открытый код приведён в сообщении #103.
Вместо указания на очевидную ошибку, ты ответил демагогией.
ЧИТД. Вариант "открыть сорцы и посмотреть глазами ... с этим может справиться даже студент" является гипотетическим.
| | |
|
|
| 3.83, Аноним (-), 11:12, 21/04/2024 [^] [^^] [^^^] [ответить] | +/– | Любой бинарник доступен для анализа Для этого даже код не нужен А вот сложност... большой текст свёрнут, показать | | |
| |
| 4.88, Аноним (88), 12:36, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
>> Проприетарный код недоступен для анализа.
> Любой бинарник доступен для анализа.
Защищённый DRM с SGX-аттестацией (заливается общий анклав, выполняющий произвольный код в анклаве, анклав аттестуется, после аттестации по сети в него передаётся бинарник, остальная система его читать не может, так как он расшифровывается только в самом процессоре, а в физической DDR-5-оперативе хранится в зашифрованном виде, ключ известен только процессору) - недоступен.
| | |
| |
| 5.89, Аноним (-), 12:55, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– | |
> Защищённый DRM с SGX-аттестацией
Сова просто лопается от ваших попыток натянуть ее на глобус.
Давайте тогда еще возьмем бинарник для закрыкой архитектуры проприетарного проца, который не доступен никому.
Тоже оооочень жизненный вариант.
Но даже если взять ваш пример - то всё тоже возможно. Просто намного дороже))
en.wikipedia.org/wiki/Software_Guard_Extensions#List_of_SGX_vulnerabilities
| | |
|
| 4.103, n00by (ok), 15:43, 21/04/2024 [^] [^^] [^^^] [ответить] | +/– | Проверим гипотезу практикой Как раз из glibc code define internal_syscall4 v0... большой текст свёрнут, показать | | |
| |
| 5.143, n00by (ok), 09:19, 22/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
Куда же пропали эксперты? Если ответа не будет, на местом "сообществе" анализаторов следует ставить крест, а распространителей мантры про Тысячеглаза записать в пустозвоны.
| | |
| |
| 6.149, Аноним (149), 19:12, 22/04/2024 [^] [^^] [^^^] [ответить] | +/– | define internal_syscall4 v0_init, input, number, arg1, arg2, arg3, arg4 ... большой текст свёрнут, показать | | |
| |
| 7.156, n00by (ok), 10:34, 23/04/2024 [^] [^^] [^^^] [ответить]
| +/– | |
5.1.1.2 Translation phases
2. Each instance of a backslash character (\ ) immediately followed by a new-line character is
deleted, splicing physical source lines to form logical source lines. [...]
| | |
|
| 6.154, Аноним (152), 02:15, 23/04/2024 [^] [^^] [^^^] [ответить]
| +/– | |
> следует ставить крест, а распространителей мантры про Тысячеглаз
Однако, обсуждаемую уязвимость нашел не ты, а Тысячеглаз. 0:1 в его пользу.
| | |
| |
| 7.155, n00by (ok), 10:30, 23/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
Я понимаю, что ты не способен увидеть очевидную проблему с кодом выше, но оправдаться хоть как-то очень хочется - примечательно, что за чужой счёт.
| | |
|
|
|
| 4.105, Аноним (105), 15:46, 21/04/2024 [^] [^^] [^^^] [ответить]
| +1 +/– |
Серьёзные ничего не анализируют. Серьёзные вставляют сразу в код всё что нужно. Посмотри то же последнее интервью Дурова.
| | |
|
|
|
| 1.84, Аноним (-), 11:28, 21/04/2024 [ответить] [﹢﹢﹢] [ · · · ]
| –4 +/– |
Прикольно.
23+ года в одной и самых распространенных и важных либ была дырка.
Но тыщщи глаз смотрели куда угодно, но только не туда куда нужно.
И потребовался целый security researcher, чтобы найти обычный классический buffer overflow.
| | |
| |
| 2.86, Аноним (87), 12:28, 21/04/2024 [^] [^^] [^^^] [ответить]
| +2 +/– |
Ну бесплатно работать не все любят. Особенно те, кто могут работать платно за большой прайс на АНБ.
| | |
| 2.92, Аноним (92), 13:28, 21/04/2024 [^] [^^] [^^^] [ответить]
| +2 +/– | |
Ты абсолютно не представляешь себе процесс поиска уязвимостей. Это сродни поиска клада - ищут сотни, находит один. Потом в новостях пишут только про того, который нашел, естественно не упоминая про остальных 99, которым не повезло.
>Но тыщщи глаз смотрели куда угодно, но только не туда куда нужно
Если ты знаешь "куда нужно" смотреть, срочно иди в security researcher - станешь знаменитым и богатым.
| | |
| |
| 3.95, Аноним (-), 14:40, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– | |
> Ты абсолютно не представляешь себе процесс поиска уязвимостей.
Ну да, ну да))
> Это сродни поиска клада
Скорее сродни ковырянию в большой зловонной куче.
> ищут сотни, находит один
Покажи, пожалуйста, какую из последних узявимостей нашел васян из "Сообщества", а не профи на зп у какой-то фирмы. Предыдущую благодарочку нужно сказать челу из майкрасофта.
| | |
| |
| 4.98, Прадед (?), 15:32, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
Минтачку, а Вы думали что Васян и профи на зарплате - два разных человека??
| | |
| 4.101, Аноним (92), 15:38, 21/04/2024 [^] [^^] [^^^] [ответить]
| –1 +/– |
>> ищут сотни, находит один
>нашел васян из "Сообщества", а не профи на зп у какой-то фирмы
Разве я где-нибудь сказал, что сотни - это васяны из "Сообщества"? Я как раз имел ввиду сотни профессионалов.
>> Ты абсолютно не представляешь себе процесс поиска уязвимостей.
>Ну да, ну да))
Ты еще раз подтвердил полную некомпетентность в вопросе.
| | |
| |
| 5.124, Аноним (-), 17:24, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– | |
> Разве я где-нибудь сказал
Кроме как говорить, нужно еще читать уметь. Перечитай первое сообщение треда
> Я как раз имел ввиду сотни профессионалов.
Сотни "профи" пока что программировали glibc.
> Ты еще раз подтвердил полную некомпетентность в вопросе.
Конечно!
А ты показываешь свою просто невероятною компетентность в этом вопросе))
| | |
|
|
| 3.118, Аноним (122), 17:02, 21/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
Есть уязвимости, которые прям специально ищут (типа выход из контейнера), а есть на которые случайно натыкаются в малозначимых функциях (типа перевести число в строку). Так или иначе, FOSS просто априори кишит этими дырами.
| | |
| 3.145, Бывалый Смузихлёб (ok), 11:42, 22/04/2024 [^] [^^] [^^^] [ответить]
| +/– |
порой дыры отыскивают, исследуя не совсем ожидаемое поведение кода, а то и вылет, хотя вроде бы вылетать не должно
Потому что код и алгоритмы были очень "хорошими", "простыми" и "не замороченными"
| | |
|
| 2.116, Аноним (122), 17:00, 21/04/2024 [^] [^^] [^^^] [ответить]
| +1 +/– |
Да может этот код ВПЕРВЫЕ прогнали через какую-нть PVS-studio - вот и нашёлся кусочек халтуры.
| | |
|
|
