Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость конфигураций Nginx с некорректными настройками блока alias, opennews (??), 05-Июл-23, (0) [смотреть все] Сишники и их классическая неспособность защититься от etc passwd Кто-н, Аноним (3), 19:50 , 05-Июл-23, (3) –2 // Она называется leftpad мы помним , Аноним (5), 19:53 , 05-Июл-23, (5) +4 // лефтпад в исполнении сишников как пить дать будет содержать парочку уязвимостей , Аноним (3), 20:06 , 05-Июл-23, (9) +2 // Ничего удивительного если ты начнёшь писать на си ты ещё ногу себе отстрелишь , Аноним (5), 21:47 , 05-Июл-23, (17) +3 Сишка для программистов с профильным образованием и серьезным фундаментом в план, Аноним (58), 09:46 , 06-Июл-23, (58) +3 бедный Дейкстра куда уж ему, недоучке, до Великих Сишников с Профильным Образов, arisu (ok), 09:58 , 06-Июл-23, (59) –1 Дейкстра хотя-бы ос которую сам и написал, хотя-бы для себя пользовался И вирта, Аноним (-), 16:01 , 07-Июл-23, (123) а, забыл ещё Вирт тоже недоучка, не смог сишечку выучить, пришлось писать свою, arisu (ok), 09:59 , 06-Июл-23, (60) –3 Видать в лагерь в первую смену попал, раз активность только в июле, да , Тот_Самый_Анонимус__ (?), 15:37 , 07-Июл-23, (120) а что, на сишников целенаправленно учат это ведь вроде первого курса профильног, Бывалый смузихлёб (?), 12:15 , 06-Июл-23, (69) Много знаешь айтишников кто закончил профильный ВУЗ Сейчас среднестатистический, Аноним (-), 13:51 , 06-Июл-23, (82) +1 Двачую адеквата В IT сегодня вкатывается каждый второй после ютуб курса питон з, Аноним (-), 13:54 , 06-Июл-23, (84) +2 денег предлагать не пробовали ну так, нормально денег говорят, помогает потом, arisu (ok), 14:10 , 06-Июл-23, (87) +2 На релокацию не все согласны, Тот_ещё_аноним (ok), 23:04 , 06-Июл-23, (111) +1 А какого плана специалисты вам нужны и что за компания Сайт у нее есть , Аноним (-), 16:02 , 07-Июл-23, (124) А в профильных вузах сейчас где-то есть толковый Computer Science уровня MIT В н, Аноним (94), 17:20 , 06-Июл-23, (94) +3 Ну да В российском вузе даже не расскажут как применить вон того ридсоломона к , Аноним (125), 16:08 , 07-Июл-23, (125) Дружище, не хочу тебя огорчать, но в роиськом вузе не расскажут что вообще такое, пох. (?), 18:20 , 08-Июл-23, (140) –1 Ну да, пожалуй Как-то так В российских вузах как максимум дадут грузню обшего в, Аноним (142), 13:18 , 10-Июл-23, (142) да вот это как раз максимум и есть Только реееедкий российский вуз дойдет до об, пох. (?), 13:25 , 10-Июл-23, (143) У россиян те вузы которые до Галуа доберутся - будут страшно далеки от рассказов, Аноним (146), 17:20 , 10-Июл-23, (146) Вон там пример вообще байды на дотнете в новости Манагер паролей, рассылающи, Аноним (-), 11:55 , 07-Июл-23, (114) В ручной обработке путей можно накосячить независимо от языка Но да, C сразу по, Аноним (14), 20:38 , 05-Июл-23, (14) –6 // Нет там никаких косяковЕсть спецификация на конфиг, Тот_ещё_аноним (ok), 22:37 , 05-Июл-23, (26) // Что говорит спецификация конкретно по случаю из новости , Аноньимъ (ok), 15:39 , 07-Июл-23, (121) Что отвалите от нас с вашим частным случаем, мы тут глобальные проблемы решаем , пох. (?), 18:22 , 08-Июл-23, (141) А своей то башкой вообще думать слабо А то как посмотришь на твоих соратников, , OpenEcho (?), 22:03 , 05-Июл-23, (19) –1 Вы готовы предложить альтернативы Языка и вебсервера, Тот_ещё_аноним (ok), 22:36 , 05-Июл-23, (25) –1 // Нет проблем Учитывая, что речь идёт про веб-сервер oberon, modula-2, golang, f, Брат Анон (ok), 08:33 , 06-Июл-23, (51) +1 // И на чем тут кроме go есть вакансия хотя бы в Москве , Аноним (61), 10:25 , 06-Июл-23, (61) +2 Ага, языков ещё можно пару добавитьА вот вебсерверов из хотя бы топ5 на них напи, Тот_ещё_аноним (ok), 13:17 , 06-Июл-23, (76) –2 171 известное и на слуху 187 171 самое хорошее 187 окай , arisu (ok), 13:32 , 06-Июл-23, (78) Cloudflare использует свой веб-сервер reverse proxy , написанный на Rust, под н, Аноним (107), 22:03 , 06-Июл-23, (107) +6 Да, достойная замена, спасибо, Тот_ещё_аноним (ok), 22:49 , 06-Июл-23, (110) +1 Сервер можно написать хоть на nodejs и он будет прекрасно работать , Аноним (58), 09:37 , 06-Июл-23, (54) –3 // Какие у Вас своеобразные представления о прекрасном , YetAnotherOnanym (ok), 11:20 , 06-Июл-23, (65) +5 Ещё один страдающий от существования Си Здесь, вообще-то, логическая ошибка, кот, YetAnotherOnanym (ok), 11:06 , 06-Июл-23, (64) +1 Скрыто модератором, Аноним (5), 19:53 , 05-Июл-23, (4) +2 // Скрыто модератором, lucentcode (ok), 19:59 , 05-Июл-23, (6) +1 // Скрыто модератором, Tron is Whistling (?), 20:21 , 05-Июл-23, (11) –2 Скрыто модератором, Аноним (7), 20:02 , 05-Июл-23, (7) +1 Скрыто модератором, penetrator (?), 20:08 , 05-Июл-23, (10) –1 // Скрыто модератором, Tron is Whistling (?), 20:22 , 05-Июл-23, (12) // Скрыто модератором, penetrator (?), 21:37 , 06-Июл-23, (105) Скрыто модератором, Tron is Whistling (?), 22:15 , 06-Июл-23, (108) По идее, такое должны отлавливать статические анализаторы типа яндексовского gix, Аноним (13), 20:23 , 05-Июл-23, (13) –1 // Код открыт если бы мог найти тогда бы нашёл , Аноним (5), 21:48 , 05-Июл-23, (18) +2 1 Если языку нужен статический анализатор правила, не определены в самом языке, Брат Анон (ok), 08:36 , 06-Июл-23, (52) +1 // И как ты собрался тестами покрыть все возможные входные условия Даже фаззер може, Tron is Whistling (?), 22:16 , 06-Июл-23, (109) –1 Ну конечно Давайте вон тем раздолбайским апликушникам вкатим набор правил уровн, Аноним (-), 14:09 , 10-Июл-23, (144) Для синтаксиса URL который навязан стандартами вот этого самого - vs типовые апи, Аноним (-), 11:58 , 07-Июл-23, (115) Вообще отдавать файлы из директорий в интернет по шттп запросам немного маразмат, Аноньимъ (ok), 21:21 , 05-Июл-23, (16) –6   // И в чем теперь принято отдавать файлы по интернету если хттп Приехали Ысчо од, OpenEcho (?), 22:10 , 05-Июл-23, (21) –3   // Речь шла конечно же о примитивном сопоставлении путей из запроса с путями файлов, Аноньимъ (ok), 22:19 , 05-Июл-23, (23) –3   // Нет, спасибо Мёртворождённые протоколы не нужны FTP был большой ошибкой, и ещё, Аноним (28), 22:48 , 05-Июл-23, (28) +2   Настолько идиотская , что до сих пор доминируетДа, я смотрю у вас очень высоки, OpenEcho (?), 23:31 , 05-Июл-23, (30) –2   Ну да, как и идея херачить текст полученный из интернета в командную строку, как, Аноньимъ (ok), 01:29 , 06-Июл-23, (41) +1   Сама по себе концепция вполне здравая Для статичных html-страниц, лежащих на ди, YetAnotherOnanym (ok), 12:06 , 06-Июл-23, (68)   Гы автоформаттер опеннета тоже конвертит URL в https sitename domain etc pa, YetAnotherOnanym (ok), 12:17 , 06-Июл-23, (71)   https sitename domain prefix etc passwdВот же, не сконвертило А именно такой , Аноним (94), 17:15 , 06-Июл-23, (93)   Урла это уникальный адрес ресурса ФС это системная база данных То что и там и та, Аноньимъ (ok), 14:36 , 06-Июл-23, (90)   Вообще-то, они там не по случайности , YetAnotherOnanym (ok), 17:58 , 06-Июл-23, (97)   Что ещё хуже , Аноньимъ (ok), 18:15 , 06-Июл-23, (100)   Этот протокол вообще должен умереть Мало того что не работает через половину на, Аноним (-), 12:00 , 07-Июл-23, (116)   Без разницы на чёмПо сути, это просто запрос с конкретным юрл ом, который далее , Бывалый смузихлёб (?), 12:23 , 06-Июл-23, (72) +1   // эвона как ты, наверное, программист оно и неудивительно, что софт жрёг гигабай, arisu (ok), 13:07 , 06-Июл-23, (74)   А кого ещё можно почти наверняка встретить на опеннете Стандарты есть стандарт, Бывалый смузихлёб (?), 13:49 , 06-Июл-23, (81) +1   а может это 8230 того 8230 ну, прочитать про права доступа фс, например пол, arisu (ok), 14:08 , 06-Июл-23, (86)   Фу ты какой немодный кэп, ты еще скажи про чрут, или боже упаси, контейнеры Пре, Аноним (-), 12:04 , 07-Июл-23, (118)   Потом бобби тейблс ему в базу etc passwd пропишет, дропнув попутно всякие беспо, Аноним (-), 12:01 , 07-Июл-23, (117)   Не, ну чо, маппить URL в путь к файлу через специальную таблицу в БД - один из в, YetAnotherOnanym (ok), 18:09 , 06-Июл-23, (98)   Ну, для статического контента такую таблицу можно генерировать веб сервером авто, Аноньимъ (ok), 18:21 , 06-Июл-23, (101)   И как это улучшает вон то состояние дел Типа вот там сервер на бывается, а вот , Аноним (-), 13:38 , 07-Июл-23, (119)   Эффективнее как у эффективных менеджеров Проверка валидности запроса из неконтро, Аноньимъ (ok), 15:49 , 07-Июл-23, (122)   Решает проблему - быстро, сердито, даже без правки кода - и хитов в перфоманс Е, Аноним (-), 19:26 , 07-Июл-23, (127)   Дальше можно не читать Шиза настоящая Секономить пару тактов процессора на пров, Аноньимъ (ok), 20:22 , 07-Июл-23, (130) +1   Всего лишь практическая и практичная эксплуатация реально существующего софта в , Аноним (131), 21:03 , 07-Июл-23, (131)   gt оверквотинг удален Предохраняться конечно же нужно Что не отменяет безумнос, Аноньимъ (ok), 22:19 , 07-Июл-23, (133) +1   А я то думал что надо уповать на сферический софт в вакууме, в котором багов не , Аноним (134), 22:55 , 07-Июл-23, (134)   Теоретически конечно пользователь сам дурак , ибо все работает так, как описано, Аноним (20), 22:04 , 05-Июл-23, (20) +1 Прям проникся с каментов Си-хейтеровНовость При неправильно написанной конфигу, Тот_ещё_аноним (ok), 22:13 , 05-Июл-23, (22) +6 // Обычно принято конфиги на вилидность проверять прежде чем применять Но сишники т, Аноньимъ (ok), 22:23 , 05-Июл-23, (24) –4 // Так все эти конфиги - валидныеЕсли кто-то спек не прочёл - ссзб, Тот_ещё_аноним (ok), 22:39 , 05-Июл-23, (27) –1 // Есть один важный принцип проектирования софта, называется 171 principle of lea, Аноним (28), 23:36 , 05-Июл-23, (31) +1 Даффай по-руцки, защита от ивана-дурака , Sw00p aka Jerom (?), 07:04 , 06-Июл-23, (48) –1 Когда-то в инструкции по эксплуатации автомобиля писали, как регулировать зазоры, Тот_ещё_аноним (ok), 13:03 , 06-Июл-23, (73) –2 Конфиг веб-сервера 8212 это не клапана, а руль и педали Абсолютно серьёзно О, Аноним (28), 18:30 , 06-Июл-23, (104) +3 ЧСХ водители с удовольствием послали эти автомобили туда где не светит солнце пр, Аноним (-), 00:01 , 08-Июл-23, (135) +2 Вот я и говорю, типичный сишный маразм Спек конечно же стоит прочитать, только в, Аноньимъ (ok), 01:38 , 06-Июл-23, (43) Этот маразм сам по себе ортогонален сям и происходит из API файловых систем Даж, Аноним (-), 19:16 , 07-Июл-23, (126) –1 Вот только этот путь не имеет отношения к файловой системе сервера Это исключит, Аноним (128), 19:42 , 07-Июл-23, (128) +1 Эта семантика взята именно из ФСовских апи Так что насчет не имеет отношения - , Аноним (-), 00:02 , 08-Июл-23, (136) –1 Она не взята, она всего лишь может совпадать От того, что сайт переехал на винд, Аноним (128), 06:12 , 08-Июл-23, (139) Не просто может - но и совпадает вот И это вполне легитимная конструкция В винд, Аноним (-), 16:24 , 10-Июл-23, (145) –1 Ничего такого в апи файлух нет Должен, и если запрос валидный должен отдать ресу, Аноньимъ (ok), 20:11 , 07-Июл-23, (129) +1 А почему тогда синтаксис вида cd dir - работает и без всяких вебсерверов в, Аноним (-), 00:12 , 08-Июл-23, (137) Так это не баг, а фича Alias сопоставляет префикс как подстроку, там - просто, Аноним (29), 23:22 , 05-Июл-23, (29) +3 // Хорошая фича, и кейс вполне реальный Но можно при этом не отдавать etc, Аноним (28), 23:38 , 05-Июл-23, (32) скорее не так, отрезать все что выходит за рамки веб сервера тогда ничего лев, mistiq (ok), 01:13 , 06-Июл-23, (39) +3 Ну здесь идея в том что alias может указывать на любой каталог, независимо от то, Аноним (20), 03:00 , 06-Июл-23, (45) +1 Я понимаю идею, но если возникает необходимость перехода где-то внутри ФС вне ру, mistiq (ok), 03:07 , 06-Июл-23, (46) +1 Ну а дальше он по этим симлинкам и вылезет - P S Приплетание С тут по принципу, 1 (??), 09:30 , 06-Июл-23, (53) +1 Ни на какой каталог он не должен указывать Урла это уникальный адрес ресурса ФС , Аноньимъ (ok), 14:34 , 06-Июл-23, (89) +1 Ну так и пусть указывает, но путь пускай получает уже после обработки УРЛ т е , Аноним (128), 16:29 , 06-Июл-23, (92) +1 Ну раз всем разрешено читать файл етц пассвд, то в чем проблема , если его проч, Sw00p aka Jerom (?), 07:10 , 06-Июл-23, (49) +1 Нормализация пути происходит на уровне location, и на его уровне неизвестно, буд, Аноним (94), 14:27 , 06-Июл-23, (88) Вот я ровно о том же и говорю Типичный пример плохого инженерного подхода, когда, Аноньимъ (ok), 01:45 , 06-Июл-23, (44) –2 Это не баг, а фича Закрывайте каталоги другими доступными средствами Например,, Аноним (47), 05:21 , 06-Июл-23, (47) +2 171 кодироваеть умею, для людей не умею 187 потому что алиас для не-каталог, arisu (ok), 07:54 , 06-Июл-23, (50) +2 Зачем сервер запускать без контейнера, лол , Аноним (58), 09:43 , 06-Июл-23, (57) +2 // Да вы без контейнеров скоро сложить два числа не сможете Понапридумывали дерьма, Аноним (20), 15:42 , 06-Июл-23, (91) –1 Написать location без на конце, даже без alias, это нужно умудрится как-то сде, Ilya Indigo (ok), 10:30 , 06-Июл-23, (63) +2 // Для нескольких персонажей выше - это норма , Тот_ещё_аноним (ok), 13:07 , 06-Июл-23, (75) –1 location xmlrpc php 124 wp-links-opml php 124 wp-config php 124 wp, Капитан Очевидность (?), 13:37 , 06-Июл-23, (79) // Имел ввиду, забыл уточнить, локейшены в которых явно подразумевается одна конкре, Ilya Indigo (ok), 13:48 , 06-Июл-23, (80) // А, ну с таким уточнением да, становится твоя фраза более логичной, Капитан Очевидность (?), 18:24 , 06-Июл-23, (102) Какой-то айти-шаманизм Как догадаться, что в конце location должен быть Прав, Аноним (28), 18:11 , 06-Июл-23, (99) +1 // Документацию конечно же нужно читать, без неё что угодно НЕ понятно будет locati, Ilya Indigo (ok), 18:27 , 06-Июл-23, (103) +2 // Если ты когда-либо читал документацию на большие системы типа Nginx, ты бы замет, Аноним (28), 21:07 , 07-Июл-23, (132) +1 Почему nginx -t не проверяет этого , Пряник (?), 11:28 , 06-Июл-23, (67) // Потому что images нормальный допустимый шаблон для обработки запросов вида, нап, Ilya Indigo (ok), 13:21 , 06-Июл-23, (77) +2 // Только для них не ставят псевдонимы Именно Их ставят как раз для прямого досту, пох. (?), 00:47 , 08-Июл-23, (138) –1 А что будет в случае наоборот location закрыт знаком , а alias - нет Это норм, targitaj (?), 17:47 , 06-Июл-23, (96) // Это наверное не дыра, но будет ли это работать, так как нужно , Аноним (106), 21:49 , 06-Июл-23, (106) Какие то детские ошибки , Neon (??), 03:58 , 07-Июл-23, (112) 3,13,16,20,22,47,50,57,63,67,96,112

Сообщения

[Сортировка по времени | RSS]

16. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	–6 +/–
Сообщение от Аноньимъ (ok), 05-Июл-23, 21:21
Вообще отдавать файлы из директорий в интернет по шттп запросам немного маразматичная идея... Как и сервера почты хранящие сообщения в файлах. Но это юникс технологии...
Ответить | Правка | Наверх | Cообщить модератору

	21. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	–3 +/–
	Сообщение от OpenEcho (?), 05-Июл-23, 22:10
	> Вообще отдавать файлы из директорий в интернет по шттп запросам И в чем теперь принято отдавать файлы по интернету если хттп? > немного маразматичная идея... Приехали... Ысчо один судья и непризнанный гений? > Как и сервера почты хранящие сообщения в файлах. А, ну да, надо в облачных бакетах, точно, - всех в одно стойло Или там что то новое нарисовалось?
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	–3 +/–
	Сообщение от Аноньимъ (ok), 05-Июл-23, 22:19
	Речь шла конечно же о примитивном сопоставлении путей из запроса с путями файловой системы, что бред небезопасно и тупо. Сама по себе концепция идиотская. >И в чем теперь принято отдавать файлы по интернету если хттп? FTP >Или там что то новое нарисовалось? Базы данных изобрели много много десятилетий назад. Но когда вместо мозгов юникс и сишка, то все на свете сразу файлом становится.
	Ответить | Правка | Наверх | Cообщить модератору

	28. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+2 +/–
	Сообщение от Аноним (28), 05-Июл-23, 22:48
	>>И в чем теперь принято отдавать файлы по интернету если хттп? > FTP Нет, спасибо. Мёртворождённые протоколы не нужны. FTP был большой ошибкой, и ещё большей ошибкой оказались все попытки его починить.
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	–2 +/–
	Сообщение от OpenEcho (?), 05-Июл-23, 23:31
	> Сама по себе концепция идиотская. Настолько "идиотская", что до сих пор доминирует > FTP Да, я смотрю у вас "очень высокий" концептуальный уровень > Базы данных изобрели много много десятилетий назад. Здается мне, что вы застряли на Вордпресс девелопенге?
	Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

	41. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+1 +/–
	Сообщение от Аноньимъ (ok), 06-Июл-23, 01:29
	>> Сама по себе концепция идиотская. > Настолько "идиотская", что до сих пор доминирует Ну да, как и идея херачить текст полученный из интернета в командную строку, как те потешные придурки тут делают https://www.opennet.ru/opennews/art.shtml?num=59363 >Да, я смотрю у вас "очень высокий" концептуальный уровень Идея о том, что давать прямой доступ к системной базе данных случайным анонимам из интернета - плохая идея, слишком концептуально сложна для идеологически подкованных специалистов в юникс идеологии. >Здается мне, что вы застряли на Вордпресс девелопенге? Как-то, желая быстро сделать простой сайт, случайно вступил в это, но сразу конечно понял что дело пахнет не тем, три дня обувь чистил. Но вообще, если у этих ВордПресс девелоперов, есть понимание концепции баз данных, то как бы не стоит вам на них с верху в низ смотреть.
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от YetAnotherOnanym (ok), 06-Июл-23, 12:06
	> Сама по себе концепция идиотская. Сама по себе концепция вполне здравая. Для статичных html-страниц, лежащих на диске (это тот контент, для которого она создавалась), равно как и вообще для статичного контента, хранящегося в виде файлов на диске, эта концепция естественна и уместна. А то, что не только лишь все программеры могут в нормальный маппинг URL'а в путь ФС - это проблемы конкретных программеров. Для динамического контента никто не запрещает сделать развесистую систему парсинга URL'а, выбора соответствующего обработчика для запроса и передачи ему разобранных частей URL'а в виде параметров (пример: https://zotonic.com/docs/1541/dispatch-rules ). Причём один из таких модулей, отдающий статичный контент (архивы с прошивками, например, или официальные документы в PDF, или что угодно, что отдаётся в неизменном виде), будет всё равно работать именно на принципе марринга пути URL'а в путь на диске. Кстати, в упомянутом примере в URL'е вида https://sitename.domain/static/fw/../../../../../../etc/passwd обработка ".." производится до маппинга в путь на диске. То есть, первые два ".." съедят "fw" и "static", следующие будут просто отбрасываться, потому что "/" уже достигнут, и на стадию выбора контроллера для обслуживания запроса выйдет URL "https://sitename.domain/etc/passwd", на который прилетит "404".
	Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

	71. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от YetAnotherOnanym (ok), 06-Июл-23, 12:17
	Гы... автоформаттер опеннета тоже конвертит URL в https://sitename.domain/etc/passwd :)) Вот почему-то у одних хватает мозгов это сделать, а у других - нет.
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от Аноним (94), 06-Июл-23, 17:15
	https://sitename.domain/prefix..etc/passwd Вот же, не сконвертило. А именно такой там кейс
	Ответить | Правка | Наверх | Cообщить модератору

	90. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от Аноньимъ (ok), 06-Июл-23, 14:36
	Урла это уникальный адрес ресурса. ФС это системная база данных. То что и там и там по случайности есть слэши в имени ресурсов и запросов к БД не означает что можно брать куски юрлы и на прямую херачить их в виде запросов к системной БД. Так же как нельзя подобным образом из юрлы куски текста в sql запрос пихать.
	Ответить | Правка | К родителю #68 | Наверх | Cообщить модератору

	97. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от YetAnotherOnanym (ok), 06-Июл-23, 17:58
	Вообще-то, они там не по случайности.
	Ответить | Правка | Наверх | Cообщить модератору

	100. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от Аноньимъ (ok), 06-Июл-23, 18:15
	> Вообще-то, они там не по случайности. Что ещё хуже.
	Ответить | Правка | Наверх | Cообщить модератору

	116. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от Аноним (-), 07-Июл-23, 12:00
	> FTP Этот протокол вообще должен умереть. Мало того что не работает через половину натов и файрволов без плясок с бубнами - так еще пего перфоманс при заливке например кучи мелочи невероятно позорный, т.к. в пайплайнинг ЭТО насколько я помню не умеет. > Базы данных изобрели много много десятилетий назад. Но когда вместо мозгов юникс > и сишка, то все на свете сразу файлом становится. И бобби тэйблс так то уже не молодой чувак :)
	Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

	72. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+1 +/–
	Сообщение от Бывалый смузихлёб (?), 06-Июл-23, 12:23
	Без разницы на чём По сути, это просто запрос с конкретным юрл'ом, который далее уже обрабатывается Очевидно, вместо прямого проброса на каталог, надо проверить в БД, есть ли запрашиваемый файл Есть - выдать по указанному там адресу Нет - послать А ведь у файлов и каталогов могут быть разные права доступа относительно запрашивающих пользователей. тут нельзя просто взять - и пробросить каталог, в любом случае нужна БД и тонна записей Оно уже тыщщу лет так работает. Хз кто в здравом уме в тырнеты пробрасывает доступ к файлам способом, описанным в статье
	Ответить | Правка | К родителю #21 | Наверх | Cообщить модератору

	74. "Уязвимость конфигураций Nginx с некорректными..."	+/–
	Сообщение от arisu (ok), 06-Июл-23, 13:07
	эвона как. ты, наверное, программист. оно и неудивительно, что софт жрёг гигабайты памяти, требует гигагерцы цпу, а тормозит при этом покруче, чем дум на 6502.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Уязвимость конфигураций Nginx с некорректными..."	+1 +/–
	Сообщение от Бывалый смузихлёб (?), 06-Июл-23, 13:49
	> ты, наверное, программист А кого ещё можно почти наверняка встретить на опеннете ?) Стандарты есть стандарты, а уж если решил открыть дыру - так будь готов что ей воспользуются Ну серьёзно Это ведь даже не ынтыпрайс Просто, кагбэ логично давать пользователям доступ ровно до тех файлов, которые ты для них выгрузил, а не для всей системы просто потому, что один додумался написать несколько точек в адресе, а другой - урод-разработчик - не додумался это отфильтровать и обработать корректно Посему, всё доступное строго по записи[в БД] Но кстати, мой софт не тормозит даже на старом смартфоне
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Уязвимость конфигураций Nginx с некорректными..."	+/–
	Сообщение от arisu (ok), 06-Июл-23, 14:08
	> Просто, кагбэ логично давать пользователям доступ ровно до тех файлов, которые ты > для них выгрузил, а не для всей системы а может это… того… ну, прочитать про права доступа фс, например? пользоваться серверами, которые умеют открыть себе нужные файлы, а потом имперсонироваться в нужного юзера? вот такое вот? а хотя не, ерунда какая-то, давайте дублировать возможности фс через отдельную базу данных, что может пойти не так…
	Ответить | Правка | Наверх | Cообщить модератору

	118. "Уязвимость конфигураций Nginx с некорректными..."	+/–
	Сообщение от Аноним (-), 07-Июл-23, 12:04
	Фу ты какой немодный кэп, ты еще скажи про чрут, или боже упаси, контейнеры. Представляешь, если у меня в виде ФС для браузера есть только Downloads по сути - ну, окей, попробуй спереть из этого view /etc/passwd какой - при том что его в этом view чисто технически нет. Потому что для работы браузера это не требовалось :)
	Ответить | Правка | Наверх | Cообщить модератору

	117. "Уязвимость конфигураций Nginx с некорректными..."	+/–
	Сообщение от Аноним (-), 07-Июл-23, 12:01
	> эвона как. ты, наверное, программист. оно и неудивительно, что софт жрёг гигабайты > памяти, требует гигагерцы цпу, а тормозит при этом покруче, чем дум > на 6502. Потом бобби тейблс ему в базу /etc/passwd пропишет, дропнув попутно всякие беспонтовые сайтики. And we're back to square one :)
	Ответить | Правка | К родителю #74 | Наверх | Cообщить модератору

	98. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от YetAnotherOnanym (ok), 06-Июл-23, 18:09
	Не, ну чо, маппить URL в путь к файлу через специальную таблицу в БД - один из вариантов. Заводить отдельную таблицу, целиком состоящую из записей вида /manuals/0123456789.pdf | /var/www/static/manuals/0123456789.pdf это, конечно, стильно-модно-молодёжно, да.
	Ответить | Правка | К родителю #72 | Наверх | Cообщить модератору

	101. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от Аноньимъ (ok), 06-Июл-23, 18:21
	Ну, для статического контента такую таблицу можно генерировать веб сервером автоматически из целевой директории. Например. Но можно и просто чуть более разумно парсить путь к файлу если уже так хочется прямого отношения части урлы к структуре каталогов. Ключевое что не должно быть копипаста данных из урлы в запрос к ФС.
	Ответить | Правка | Наверх | Cообщить модератору

	119. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от Аноним (-), 07-Июл-23, 13:38
	> Ну, для статического контента такую таблицу можно генерировать веб сервером автоматически > из целевой директории. > Например. И как это улучшает вон то состояние дел? Типа вот там сервер на@бывается, а вот тут не будет? Зато появляется еще и база. С своим пониманием кучи спецсимволов чего доброго, если это скуль какой, так что накидав файлов с креативно оформленными именами можно слегка отредактировать базу попутно с дропом всяких ненужносайтов - чтоб даунтайм побольше :). Чочо, проипли список студентов за последний год - и их сайты тоже? :) Можно конечно тупенький и быстрый key-value поставить - но файлуха примерно этим и является. А контент легитимно юзает ../../img/somthing/abc.jpg какое-нибудь на раз. И совсем взять и вырубить эту фичу ФС - ну, ок, куча контента сломается. > Но можно и просто чуть более разумно парсить путь к файлу если > уже так хочется прямого отношения части урлы к структуре каталогов. По-моему радикально огородить серв в чрут а лучше контейнер (т.к. чрут имеет ряд проблем) так то эффективнее решает задачу с меньшей возней. > Ключевое что не должно быть копипаста данных из урлы в запрос к ФС. Ну да, давайте в базу отправим. Чего доброго скульную, да? У которой своей специальной трактовки символов хватает. И будем стрематься вдвое большего числа спецсимволов в именах, и из-за фс и из-за базы. Не понимаю как добавление проблем может их убавить.
	Ответить | Правка | Наверх | Cообщить модератору

	122. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от Аноньимъ (ok), 07-Июл-23, 15:49
	>По-моему радикально огородить серв в чрут а лучше контейнер (т.к. чрут имеет ряд проблем) так то эффективнее решает задачу с меньшей возней. Эффективнее как у эффективных менеджеров. >спецсимволов Проверка валидности запроса из неконтролируемой среды есть обязанность сервера, точка. >Ну да, давайте в базу отправим. ФС тоже база данных. Ни в какую базу данных, тем более скульную, ненужно копипастить текст из запроса.
	Ответить | Правка | Наверх | Cообщить модератору

	127. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от Аноним (-), 07-Июл-23, 19:26
	> Эффективнее как у эффективных менеджеров. Решает проблему - быстро, сердито, даже без правки кода - и хитов в перфоманс. Есть довольно большая разница - лукапать на каждый запрос базу или нет. Хотя если вы эффективный менеджер компании интел и вам надо продажи новых процов толкать, конечно, отсутствие лукапа в базу это безобразие, как же новые процы то продавать?! > Проверка валидности запроса из неконтролируемой среды есть обязанность сервера, точка. Теоретически да. Практически как видим семантика операций ФС - и ее активное использование контентом и проч - создает определенные риски. А бредни с базой создают неиллюзорный перфоманс хит. Докупать серваки во имя луны - ну такое себе. > ФС тоже база данных. Да. И лукап 2 баз вместо 1 перфоманса уж точно не добавит. > Ни в какую базу данных, тем более скульную, ненужно копипастить текст из запроса. Ну а в какую базу вы предлагали это все?
	Ответить | Правка | Наверх | Cообщить модератору

	130. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+1 +/–
	Сообщение от Аноньимъ (ok), 07-Июл-23, 20:22
	>Решает проблему - быстро, сердито, даже без правки кода - и хитов в перфоманс Дальше можно не читать. Шиза настоящая. Секономить пару тактов процессора на проверке валидности запроса. Ах ну и главно БЕЗ ПРАВКИ КОДА. Жесть какая. > Ну а в какую базу вы предлагали это все? Ещё раз, ни в какую. Задача сервера распарсить запрос, проверить его на валидность, и совершить соответствующие запросу действия, например передать ресурс из файла на диске, из скул сервера, Аллаха или Сатаны. Без разницы вообще откуда.
	Ответить | Правка | Наверх | Cообщить модератору

	131. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от Аноним (131), 07-Июл-23, 21:03
	> Дальше можно не читать. Шиза настоящая. > Секономить пару тактов процессора на проверке валидности запроса. > Ах ну и главно БЕЗ ПРАВКИ КОДА. > Жесть какая. Всего лишь практическая и практичная эксплуатация реально существующего софта в реальном мире. Не уповая на сферический идеальный софт в вакууме - которого не бывает - а подготовившись к парированию факапа "в случае аварии". А вы можете и огнетушитель в авто с собой не брать, ведь вы же супермен, с вами же ничего такого случиться не может?! И переборки в кораблях - глупости, нормальный капитан не должен пробоины получать!!!111. Представляете, вон то зарубает не только известные - но и целые классы НЕизвестных вулнов и минимизирует урон если какой-то вулн все же нашелся. Но возможно вам нравится когда у вас хаксоры тусят, конечно, и вы все для их удобства организуете. Ну там доступнуе диры с системными утилитами и прочим, уж конечно легитимный вебсерв жить не может без запуска шелла или там ls какого в директории. > Ещё раз, ни в какую. Задача сервера распарсить запрос, проверить его на > валидность, и совершить соответствующие запросу действия, например передать ресурс из > файла на диске, из скул сервера, Аллаха или Сатаны. Без разницы вообще откуда. А таки у серверов статики есть режим отдачи ФС по сути 1 в 1. Вплоть до автоиндекса, если это разрешить. Ну а вот выход за www root это такое довольно отдельное безобразие при этом. ЧСХ вон там утверждается что это вообще чуть ли не by design. Но даже если и - я бы сказал что это довольно хреновый дизайн и пофиксить такое поведение когда alias с / и без / две большие разницы.. эм.. это довольно неожиданно для многих юзерей и ведет к факапам. Де факто это вообще ошибка конфигурации с документированной хренью была. Зачем хрень и почему похожа на вид на НеХрень - вопрос интересный.
	Ответить | Правка | Наверх | Cообщить модератору

	133. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+1 +/–
	Сообщение от Аноньимъ (ok), 07-Июл-23, 22:19
	>[оверквотинг удален] > А вы можете и огнетушитель в авто с собой не брать, > ведь вы же супермен, с вами же ничего такого случиться не > может?! И переборки в кораблях - глупости, нормальный капитан не должен > пробоины получать!!!111. Представляете, вон то зарубает не только известные - но > и целые классы НЕизвестных вулнов и минимизирует урон если какой-то вулн > все же нашелся. Но возможно вам нравится когда у вас хаксоры > тусят, конечно, и вы все для их удобства организуете. Ну там > доступнуе диры с системными утилитами и прочим, уж конечно легитимный вебсерв > жить не может без запуска шелла или там ls какого в > директории. Предохраняться конечно же нужно. Что не отменяет безумности подхода копипаста текста из http запроса в запрос к БД. Как бы речь о том и идет. Что нужно как бы проверять то что клиент из Индии прислал в запросе. > А таки у серверов статики есть режим отдачи ФС по сути 1 > в 1. Вплоть до автоиндекса, если это разрешить. Ну а вот > выход за www root это такое довольно отдельное безобразие при этом. Безобразие. > ЧСХ вон там утверждается что это вообще чуть ли не by design. > Но даже если и - я бы сказал что это довольно хреновый дизайн Хреновый. > и пофиксить такое поведение когда alias с / и > без / две большие разницы.. эм.. это довольно неожиданно для многих > юзерей и ведет к факапам. Де факто это вообще ошибка конфигурации > с документированной хренью была. Зачем хрень и почему похожа на вид > на НеХрень - вопрос интересный. Интересный.
	Ответить | Правка | Наверх | Cообщить модератору

	134. "Уязвимость конфигураций Nginx с некорректными настройками бл..."	+/–
	Сообщение от Аноним (134), 07-Июл-23, 22:55
	> Предохраняться конечно же нужно. А я то думал что надо уповать на сферический софт в вакууме, в котором багов не бывает. > Что не отменяет безумности подхода копипаста текста из http запроса в запрос к БД. В этом месте я могу вернуть ваши слова и заявить что хорошая БД не хуже хорошего сервера и не должна вестись на фигню. Некоторые key-value даже сожрут произвольный URL как key и не возымеют от этого проблем. Однако один и тот же URL можно представить довольно большим числом разных способов - потому что стандарт так написан - так что даже так можно откушать приколов. Конечно можно порассуждать о библах и всем таком. Но таки - приколы такого плана были и есть. И рядом - тоже. Типа вон тех request smuggling когда манипуляцией с запросом реквест подшивается к вообще кому-то постороннему. Например потому что фронт и бэк парсят немного по разному. А запрос к базе на реквест статики таки булшит и RPS угрохает. Так что "докупите серверов". > Как бы речь о том и идет. Что нужно как бы проверять > то что клиент из Индии прислал в запросе. Да никто не спорит что нужно - но тут вообще документированное поведение было так то. То что оно не лучшее на свете и ведет к ололо - ну, окей, допустим. > Безобразие. Но вон там это вообще фичой было. Просто довольно неожиданной для некоторых. > Интересный. Авторы нжинкса вообще местами странноватые вещи делали. Однако остальные делают не менее странные вещи. А иногда и более. Если так посмотреть, на глупые грабли встают практически все HTTP серваки. Сочетание семантики ФС с структурой контента и запросов это такое сочетание которое вообще довольно трудно реализовать секурно во всех позах. Особенно если еще наставить фронтов, бэков, в потом окажется что они одно и то же немного по разному понимают, ... На мой вкус я б фильтровал ../ как элемент путей в (уже декодированых) урлах - но контент тогда сломается много где.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема