Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Новая атака на системы фронтэнд-бэкенд, позволяющая вклиниться в запросы, opennews (??), 07-Авг-21, (0) [смотреть все] Ой, ну надо же, http взломали, как удивительно Нет , Аноним (1), 12:32 , 07-Авг-21, (1) –11 // Ой, ну надо же отключать JS , Аноним (28), 18:05 , 07-Авг-21, (28) +5   // Идея хорошая, но вебмакаки понаделали js-only крапа И кстати это не поможет от , Аноним (-), 12:32 , 08-Авг-21, (83) +2   интересно кто самый дырявый - си или js, хакер (?), 19:57 , 07-Авг-21, (33) –7 // прокладку не рассматриваешь а ник у тебя - просто лэйбла такая , ананим.orig (?), 20:52 , 07-Авг-21, (42) +12 // Скорее всего проблема в помойке node репо библиотек для JS и культуре коммерческ, And (??), 11:53 , 08-Авг-21, (71) А может быть проблема в том что не надо код писать ж пой, качая половину интерне, Аноним (-), 12:37 , 08-Авг-21, (86) +1 Скрыто модератором, Anonymouse (?), 12:36 , 07-Авг-21, (2) +11 // Скрыто модератором, OnTheEdge (ok), 12:40 , 07-Авг-21, (4) +7 // Скрыто модератором, Аноним (16), 13:34 , 07-Авг-21, (16) +4 // Скрыто модератором, Аноним (19), 13:49 , 07-Авг-21, (19) –5 Скрыто модератором, Admin (??), 13:40 , 07-Авг-21, (17) +1 Уродство HTTP 2 таки выстрелило То ли ещё будет с HTTP много, которые вообще не , Онаним (?), 12:38 , 07-Авг-21, (3) +1 // Так-то выстрелило уродство HTTP1, если почитать новость , Аноним (11), 13:08 , 07-Авг-21, (11) +9 // Выстрелило уродство трансляции полубинарного уродства SPDY в HTTP , Онаним (?), 13:15 , 07-Авг-21, (14) +1 // О да, лучше нормальный plain-text HTTP, от которого, правда, все отказались в по, Аноним (22), 14:53 , 07-Авг-21, (22) Да-да-да, стройными колоннами побежали и отказались, никто не стимулировал , Michael Shigorin (ok), 19:13 , 07-Авг-21, (30) –10 А кто стимулировал Серваки заимплементившие фичу и повышение скорости загрузки , Аноним (-), 12:39 , 08-Авг-21, (87) Verisign, без вопросов отбирающий домены у оппозиционных СМИ Cloudflare, который, Аноним (22), 14:32 , 08-Авг-21, (120) Это как И что этим СМИ мешает хостить сайты где-нибудь подальше от такой фирмы,, Аноним (-), 04:09 , 09-Авг-21, (128) Внутри хытыпысы внезапно всё тот же гипертекстовый фидонет , Онаним (?), 20:43 , 07-Авг-21, (39) То есть, если внутри бинарного кода буквы, то он уже не бинарный Ну тогда и HTT, Аноним (22), 01:22 , 08-Авг-21, (53) Ты не понял SSL при обработке 1 1 разворачивается до исходного протокола, являя, Онаним (?), 09:16 , 08-Авг-21, (59) То есть, если я в SNI напишу левое имя хоста, это никак не повлияет на работу HT, Аноним (22), 12:27 , 08-Авг-21, (81) Нет Только на согласование соединения HTTP внутри декриптится до исходного в лю, Онаним (?), 13:39 , 08-Авг-21, (105) Получается, SNI на практике ни на что не влияет, а значит - вообще не нужен Вот , Аноним (22), 14:13 , 08-Авг-21, (114) Сфейспалмил SNI к HTTP - ВНЕЗАПНО - не имеет никакого отношения D, Онаним (?), 19:29 , 08-Авг-21, (123) Веб сервак может иметь свое мнение на этот счет И кстати интересно, не вылезет , Аноним (-), 04:12 , 09-Авг-21, (129) Веб сервак обычно только правильный сертификат подбирает, смотря на SNI , Аноним (-), 12:19 , 09-Авг-21, (142) Не обязательно См пример на том сайте как это bitbucket делал, там могли бэку , Аноним (102), 13:32 , 08-Авг-21, (102) Подшивать к TLS можно чего угодно - проблемы ССЗБ шерифа не волнуют Важно то, чт, Онаним (?), 13:40 , 08-Авг-21, (106) Однако вон те хаксоры вполне себе стырили внутренние хидеры и в конце концов тож, Аноним (-), 04:15 , 09-Авг-21, (130) А вот из H2 H1 простой трансформацией уже не получить, что и есть источник пробл, Онаним (?), 13:41 , 08-Авг-21, (107) Для преобразования HTTP 2 же в HTTP 1 по сути требуется полная реконструкция, пр, Онаним (?), 09:17 , 08-Авг-21, (60) Именно А разрабы попытались таки не делать нормально и попробовали частично 2 о, And (??), 11:56 , 08-Авг-21, (72) +1 Ну да, казалось бы должна была быть просто трансформация, потому что разработан, Онаним (?), 12:00 , 08-Авг-21, (74) всех отказали тогда уж не переживай, будет и 3-я, и 4-я волна это же удобно , ананим.orig (?), 20:56 , 07-Авг-21, (43) Это рукожопость разработчиков прокси ибо такие атаки очевидны и им сразу же нужн, all_glory_to_the_hypnotoad (ok), 17:03 , 07-Авг-21, (25) +1 // Это рукожопость разработчиков бинарного протокола, которые решили, что те же CRL, Онаним (?), 20:44 , 07-Авг-21, (40) упреждая угу, бинарному протоколу фиолетово но забыли о сути HTTP - передача , Онаним (?), 20:46 , 07-Авг-21, (41) Для эпичного ламо намекну там упомянуты варианты этих атак работающие на чистом, Аноним (-), 12:45 , 08-Авг-21, (89) +2 Если уж совсем просто - H2 не стоило называть HTTP 2, это не HTTP , Онаним (?), 13:43 , 08-Авг-21, (108) Вообще-то там текстовость HTTP 1 1 дурят жестко и это проблема HTTP1 А если тот , Аноним (-), 12:44 , 08-Авг-21, (88) +3 // H2 на бэках конкретно у нас упорно не приживается Основная причина - возможность, Онаним (?), 13:36 , 08-Авг-21, (104) // Жирные корпы тоже, вот, думали сэкономить Некоторые даже конопатили эти CVE раз, Аноним (-), 04:37 , 09-Авг-21, (131) Т е они одним сплошным потоком байтов слали подряд разные запросы а потом надея, Аноним (5), 12:42 , 07-Авг-21, (5) –1 // они читали много статей где п-делось о страшных и ужастных ЗАДЕРЖКАХ при открыти, пох. (?), 12:49 , 07-Авг-21, (6) –2 // так разве для HTTP 1 0 не открывается новое соединение на каждый запрос или это , kissmyass (?), 20:14 , 07-Авг-21, (35) // Открытие соединения по сравнению с ожиданием ответа от серверов - копеечная опер, Онаним (?), 20:43 , 07-Авг-21, (38) ну тогда либо прокси должен валидировать HTTP заголовки либо пусть форсит открыт, kissmyass (?), 21:56 , 07-Авг-21, (47) Многие проморгали, потому что гугели свой SPDY в виде H2 запихивали в индустрию , Онаним (?), 09:49 , 08-Авг-21, (63) Дело тут не в открытых сессиях сессии надо и в QUIC отслеживать, то есть это не, anonymous (??), 11:57 , 08-Авг-21, (73) причем и то и другое копеечные операции по сравнению с ожиданием модного-совреме, пох. (?), 11:05 , 08-Авг-21, (64) –1 Не, ну там основной идеей вмазывалось мыжыможым статический коньтент подгрузить, Онаним (?), 11:15 , 08-Авг-21, (65) ЗАДЕРЖКИ уминядвепалоски то что они миллисекундные на фоне _секунд_ как, пох. (?), 11:26 , 08-Авг-21, (69) –1 И тем не менее, кпд канала может получиться довольно издевательским Особенно ес, Аноним (-), 04:41 , 09-Авг-21, (132) +1 Самое же прекрасное, что у этих же почитателей смузи в итоге статический коньтен, Онаним (?), 11:16 , 08-Авг-21, (66) и вот там уже задержки вполне видны, поскольку это новая tls сессия на каждый jq, пох. (?), 11:24 , 08-Авг-21, (68) –1 Не совсем Ведет к выделению ресурсов на сокет в операционке, а закретие соедине, Аноним (-), 12:48 , 08-Авг-21, (90) Ну я как бы в курсе, в практике и 1000 запросов в секунду на динамику - не преде, Онаним (?), 13:31 , 08-Авг-21, (101) Теоретически да Практически - установка и завершение TCP все же не халявные, и , Аноним (-), 04:47 , 09-Авг-21, (133) Про chunked пожалуй соглашусь, данное счастье требует некоторой аккуратности С д, Онаним (?), 13:34 , 08-Авг-21, (103) Это судя по виду лишь усиленная и заапгрейженая версия атак которые они на HTTP , Аноним (-), 04:48 , 09-Авг-21, (134) Полное вымирание сайтов http - вопрос времени, Аноним (7), 12:52 , 07-Авг-21, (7) // Они как умные клавы решили смухлевать и прицепить HTTP 1 бэк малой кровью При т, Аноним (-), 12:56 , 08-Авг-21, (91) Скрыто модератором, Аноним (8), 12:57 , 07-Авг-21, (8) –4 // Скрыто модератором, Аноним (22), 14:55 , 07-Авг-21, (23) Радует пока одно у меня на фронтах немолодёжный haproxy, новый парсер которого , Онаним (?), 12:59 , 07-Авг-21, (9) // нет ножек ненужно 2 - нет проблемы P S обратить внимание на нашествие в комме, пох. (?), 13:04 , 07-Авг-21, (10) –1 // Я бы им вместо http sip с rtp посоветовал, но жалко бедняжек , Онаним (?), 13:13 , 07-Авг-21, (12) Фига, пох сам себя, затарил, не в бровь а в глаз , Аноним (-), 13:28 , 08-Авг-21, (100) +1 Переходи на Traefik, Alexey Chernyavskiy (?), 19:14 , 07-Авг-21, (31) // Пасибо, я столько смузи в одно рыло не сожру , Онаним (?), 20:40 , 07-Авг-21, (37) +2 // тогда переходи на Envoy, онанимус (?), 23:01 , 07-Авг-21, (48) +1 Не, там думать надо , Аноним (22), 01:20 , 08-Авг-21, (52) Когда смузихлёбы добираются до C - у них выходит ещё хуже, чем если бы они на св, Онаним (?), 09:22 , 08-Авг-21, (61) Разработчики haproxy с вами не согласятся, судя по тому, что они пилят dataplane, Аноним (22), 12:30 , 08-Авг-21, (82) Абсолютно угрёбищный конфиг умноженный на абсолютно угрёбищную документацию - да, Онаним (?), 09:24 , 08-Авг-21, (62) +1 Когда-нибудь вы уйдёте в High Load и в такой, где нужны submillisecond ответы от, anonymous (??), 12:02 , 08-Авг-21, (75) Не жрите больше столько, умоляю High Load - это не субмиллисекундные ответы, да, Онаним (?), 12:12 , 08-Авг-21, (79) Но да, раз уж мы заговорили о хайлоудах - я прекрасно знаю как оно у смузихлёбов, Онаним (?), 12:24 , 08-Авг-21, (80) +3 У микросервисов есть ряд очевидных плюсов Как то декомпозиция задачи и перевод , Аноним (-), 13:25 , 08-Авг-21, (97) Да, большой монолит сложнее поддерживать Но жесть в том, что менять рост сложно, Онаним (?), 13:48 , 08-Авг-21, (109) Он склонен превращаться в большое месиво Которое к тому же скорее всего больше , Аноним (-), 04:55 , 09-Авг-21, (135) короче я мыслью по древу растёкся, но основная мысль была в том, что овердекомп, Онаним (?), 13:49 , 08-Авг-21, (110) Для проектов уровня приветмир интернет-магазина Васян сейлз - да Как говори, Аноним (22), 14:44 , 08-Авг-21, (121) Программа перестаёт быть простой и маленькой ровно тогда, когда она становится с, айпони одобряет микросервисы (?), 15:52 , 09-Авг-21, (143) +1 Не ясно, в чём разница со стороны логики приложения, сравнивая stdin stdout межд, Аноним (147), 21:37 , 09-Авг-21, (147) Разница как раз в той самой latency, с которой потом героически начинают боротьс, Онаним (?), 20:24 , 17-Авг-21, (160) До декомпозиции на микросервисы была декомпозиция на отдельные взаимодействующие, www2 (??), 08:20 , 10-Авг-21, (152) Сам вопрос уже некорректен, потому что из тысячи мелконедосервисов получится два, Онаним (?), 20:25 , 17-Авг-21, (161) Микросервисы - это попытка хоть как-то разрулить поделки обезьянок-неосиляторов , Онаним (?), 20:26 , 17-Авг-21, (162) Это надо внести в луддитско-свитеро-бородные анналы , gvx (?), 15:13 , 08-Авг-21, (122) Монолиты разные бывают Можно каждые 2 2 в микросервис вытягивать А можно целый к, Онаним (?), 19:50 , 08-Авг-21, (127) Вот только envoy тут не при чем Он - в основном про возможность конфигурировани, Аноним (22), 12:32 , 08-Авг-21, (84) Да и haproxy в рантайме нормально реконфигурится, если уж честно-то Кое-что можн, Онаним (?), 13:26 , 08-Авг-21, (98) Нет Достаточно переконфигурировать хотя бы несколько раз в секунду вполне типи, Аноним (22), 14:10 , 08-Авг-21, (112) s бэкендов серверов в бэкенде , конечно же , Аноним (22), 14:10 , 08-Авг-21, (113) Количество слотов да, но вот это как раз дёргается через реконфиг, если ОЧЕНЬ на, Онаним (?), 19:36 , 08-Авг-21, (125) Раз в секунду Как правило если такое начало требоваться - самое время что-то в к, Онаним (?), 19:30 , 08-Авг-21, (124) А зачем это менять раз в секунду Чтобы прострелить себе пятку, а потом продать , Аноним (-), 04:59 , 09-Авг-21, (136) Могли бы и не повторять, выше же написаноЕсли что-то по своей сложности превосхо, Аноним (22), 12:35 , 08-Авг-21, (85) В новости про атаки - примерно так Чем сложнее и оверинженернутее нечто, тем бо, Аноним (-), 13:21 , 08-Авг-21, (96) +1 Примерно да Оверинжениринг и овердекомпозиция кажутся простыми на этапе первичн, Онаним (?), 13:51 , 08-Авг-21, (111) Сам по себе HTTP 2 в этом плане кстати не такой уж оверинженернутый, хотя mandat, Аноним (-), 05:07 , 09-Авг-21, (138) Но эволюция, а впоследствии - и прогресс, почему-то упорно порождают все более у, Аноним (22), 14:21 , 08-Авг-21, (116) –1 состоящие из простых систем Отказ каждой из которых в отдельности вообще пох, Аноним (-), 05:05 , 09-Авг-21, (137) Оно именно что не по сложности превосходит, а по угрёбищности То есть мнимая сло, Онаним (?), 13:28 , 08-Авг-21, (99) Ну, для вас, похоже, 1 1 - норм, 2 2 - сложно, а 2 3 - угрёбищно А уж 5 6 вообще, Аноним (22), 14:16 , 08-Авг-21, (115) В случае смузихлёбов я бы поставил на скачивание лефтпада для 1 1 и 2 2, а в слу, Онаним (?), 19:38 , 08-Авг-21, (126) ---От учащихся старших школ high schools, аналог наших старших классов средней , Michael Shigorin (ok), 21:54 , 10-Авг-21, (153) –2 Ссылка на производное ботофермы, которое маскируется под другого пользователя - , Онаним (?), 23:17 , 10-Авг-21, (154) +1 Охренеть, плюсовики хайпуют Явно покусаные гуглем - include stdbullshit и да, Аноним (-), 13:12 , 08-Авг-21, (92) –2 Поздравляю вас с этим, и рекомендую немедленно обновитьсяhttps git haproxy org, Аноним (22), 19:10 , 17-Авг-21, (156) +1 // У меня за фронтом такой же не менее немолодёжный H1, поэтому меня эти пляски с у, Онаним (?), 20:05 , 17-Авг-21, (157) Хотя конечно да, есть определённый мысли вообще убрать ALPN h2 с фронтов, ибо не, Онаним (?), 20:06 , 17-Авг-21, (158) // определённый позыв определённые мысли, Онаним (?), 20:07 , 17-Авг-21, (159) Оверинженеринг в действии, Отражение луны (ok), 13:14 , 07-Авг-21, (13) +1 // Это как раз недоинженеринг, т е когда осилили работу с простым протоколом HTTP , all_glory_to_the_hypnotoad (ok), 17:06 , 07-Авг-21, (26) +2 // HTTP 1 вообще более сложен в проверках и sanity check В том числе и из-за специ, Аноним (-), 13:13 , 08-Авг-21, (93) +2 Больше похоже на идиотизм тащить части старого протокола в новый протокол Нару, And (??), 12:03 , 08-Авг-21, (78) // Они настолько понимали, что по ывали даже и чистый HTTP 1 1 используя разное ег, Аноним (-), 13:18 , 08-Авг-21, (95) +2 // Между фронтом и бэком и на ф и на б как раз не было знавших и понимавших, или , Аноним (147), 14:26 , 08-Авг-21, (117) Более вероятно что 1 Это были 2 тотально разные команды, плохо или никак взаи, Аноним (-), 05:28 , 09-Авг-21, (141) Ну так нгингс подвержен или нет Где исправления , Аноним (15), 13:19 , 07-Авг-21, (15) +1 // Если я правильно прочитал changelog к 1 21 1, то это как раз оно http nginx or, edo (ok), 13:41 , 07-Авг-21, (18) +1 // Проверил на Nginx 1 20 не включающем правки от 6 июля заголовок Transfer-Enco, Sage (??), 03:32 , 08-Авг-21, (55) +2 // чем генерировали запросы curl ом у меня не всё получается, edo (ok), 04:46 , 08-Авг-21, (57) На скорую руку отредактировал бинарник курла и libcurl-4 dll, заменив там первую, Sage (??), 11:19 , 08-Авг-21, (67) Ммм хакир Т е HTTP 2 стал внаглую рассылать Transfer-Encoding как HTTP 2, Аноним (-), 05:23 , 09-Авг-21, (140) Теперь все будут топить за закопать http и перейти на websocket , Аноним (24), 15:52 , 07-Авг-21, (24) // WebSocket работает поверх HTTP , anonymous (??), 12:03 , 08-Авг-21, (77) –1 Не волйнутесь, сейчас Гугл быстренько придумает HTTP3 ой, нет, наверное уже HT, Kuromi (ok), 17:35 , 07-Авг-21, (27) +3 // Хуавей уже замену TCP IP придумал Этакий зомбоящик получается , Разбойник (?), 18:37 , 07-Авг-21, (29) // мертворожденная шляпа, kissmyass (?), 20:21 , 07-Авг-21, (36) // это тебе, живущему в свободной стране, так кажется а в Китае взлетит , онанимус (?), 23:03 , 07-Авг-21, (49) +1 Ну так там цели иные, нежели связность и удобство А в условиях адекватных целей , Онаним (?), 12:02 , 08-Авг-21, (76) +1 Так же как они заменили Андроид , Kuromi (ok), 23:25 , 07-Авг-21, (50) +1 Такими темпами скоро перейдут на 6-недельные релизы, синхронно с Хромом Циферки, Anonn (?), 03:43 , 08-Авг-21, (56) // Вообще-то у них уже 4-недельный цикл, Аноним (58), 07:51 , 08-Авг-21, (58) KeepAlive Off на бэкенде спасет отца русской демократии , Alex_K (??), 21:16 , 07-Авг-21, (44) –3 // Да, Жа спасет, можешь спать спокойно , Анончик (?), 23:38 , 07-Авг-21, (51) HTTP2 нинужно, vitalif (ok), 02:04 , 08-Авг-21, (54) –1 javascript макак как обычно взламывают даже без использования уязвимостей неправ, Аноним (70), 11:29 , 08-Авг-21, (70) –1 // А тут, внезапно, не в js макаках проблема , Аноним (-), 13:16 , 08-Авг-21, (94) // Ну, если бы они осилили http2 createServer, то последствий их рукоблудия перечис, Аноним (22), 14:26 , 08-Авг-21, (118) Как раз в них Фронт и бэк - две группы разработки, работающие в тесном сотрудни, Аноним (147), 14:31 , 08-Авг-21, (119) // Эта проблема может возникнуть даже в проектах никак не использующих JS, и вообще, Аноним (-), 05:16 , 09-Авг-21, (139) А то, что видение мира у JS-смузихлёбов отбито по самое не балуй, тебя не смущае, айпони одобряет микросервисы (?), 15:58 , 09-Авг-21, (144) Так оно же не только у них отбито Вон какие-нибудь питонисты или даже хрустики , Аноним (-), 07:07 , 10-Авг-21, (151) вебня такая вебня, Аноним (145), 16:23 , 09-Авг-21, (145) +1 Надо было на расте писать , Аноним (146), 20:44 , 09-Авг-21, (146) –1 // В соседнюю ветку загляни, там в твоём расте дыреней наделали мама не горюй , Аноним (148), 22:17 , 09-Авг-21, (148) +1 Точняк, надо запилить что-нибудь с этой уязвимостью и на хрусте Нужно больше CV, Аноним (-), 22:22 , 09-Авг-21, (149) –1 Это называется не уязвимость , а заставили обезьян веб проектировать Бэкенду , Gogi (??), 00:14 , 10-Авг-21, (150) –1 // Есть ещё кстати fastcgi Можно было бы использовать его , Аноним (164), 09:45 , 18-Авг-21, (164) К разработчикам SPDY, из которого произошёл HTTP 2 первое предложение относится , Аноним (166), 22:46 , 22-Дек-23, (166) Мамкины иксперты даже не поняли о чем идет речь в статье, говорят за JS, Rust , Gena ANTG (ok), 17:29 , 11-Авг-21, (155) А почему бы просто не общаться с бэкендами по http 2 Ведь это бинарный протокол, Аноним (164), 09:44 , 18-Авг-21, (163) Если в HTTP 2 указана длина, зачем допускается Content-Length Даже если это не , Аноним (166), 22:44 , 22-Дек-23, (165) 1,3,5,7,9,13,15,24,27,44,54,70,145,146,150,155,163,165

Сообщения

[Сортировка по времени | RSS]

	28. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+5 +/–
	Сообщение от Аноним (28), 07-Авг-21, 18:05
	> Атака может быть использована для подстановки вредоносного JavaScript-кода Ой, ну надо же отключать JS.
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Новая атака на системы фронтэнд-бэкенд, позволяющая вклинить..."	+2 +/–
	Сообщение от Аноним (-), 08-Авг-21, 12:32
	Идея хорошая, но вебмакаки понаделали js-only крапа. И кстати это не поможет от приколов когда бэкэнд сливает вам ответ для совсем другого юзера, например. Так что кто-то может стырить кучу инфо о посторонних юзерах и их запросах. Судя по описанию - при удачном раскладе могут даже номера чужих кредиток или какие-нибудь секретные коды присылать на раз. p.s. LOL! LOL! LOL! LOL! TROLL! TROLL! TROLL! TROLL! Исследователей с их рыготой самих в процессе поимели, как и пентестеров с этим нечто :) We have updated Burp Suite's embedded browser to fix a clickjacking-based remote code execution bug in Burp Suite
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема