Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в Apache Struts стала причиной утечки персональны..., opennews (??), 10-Сен-17, (0) [смотреть все] Индейцы отомстили, Аноним (-), 21:15 , 10-Сен-17, (1) +2 // Украсть Использовать , Fomalhaut (?), 21:19 , 10-Сен-17, (2) // У америкосов номер соцстраха это примерно как у нас номер паспорта - называешь в, Elhana (ok), 22:02 , 10-Сен-17, (6) +6 // Мне он читается как номер общественной безопасности от человека , а по сути -, Michael Shigorin (ok), 23:42 , 10-Сен-17, (11) –27 Social security - переводится социальное страхование , аналог нашего пенсионн, Аноним (-), 23:46 , 10-Сен-17, (13) +10 Короче, это SS , freehck (ok), 08:42 , 11-Сен-17, (25) –1 обычно сокращают как SSN social security number но проблема жесточайшая я бою, Sergey (??), 21:03 , 11-Сен-17, (130) Можно получить новый номер Проблема тогда обновить везде от телефонного контрак, Lolwat (?), 01:21 , 12-Сен-17, (153) +1 С очень даже существенными отличиями Это можно сказать основной идентификатор ч, qsdg (ok), 10:10 , 11-Сен-17, (44) Вау Несовместимые языки Что за зверь такой Чем определяется уровень совместим, Аноним (-), 15:25 , 11-Сен-17, (95) –2 Хмм скорее - ИНН , _ (??), 19:34 , 11-Сен-17, (113) Если отвечать в вашем стиле - а у россиян крпостных к столбу привязывают И еще , Аноним (-), 21:03 , 11-Сен-17, (131) +2 Какой к лешему стопор, если от телека входит в ступор и готово бомбить страны, к, Michael Shigorin (ok), 22:35 , 12-Сен-17, (197) –2 Ну вот такой EFF в штатах почему-то никто не гнобит, хоть они и позволяют себе , Аноним (-), 23:17 , 12-Сен-17, (198) Тебе виднее Конечно Конечно https duckduckgo com q blacks heroin criminaliz, Andrey Mitrofanov (?), 09:07 , 16-Сен-17, (213) Дайте ссылку, откуда скачать можно дамп, Аноним (-), 21:57 , 10-Сен-17, (5) +7 Как же так Оказывается, ни новомодные игрушки, ни даже cосвем-не-тормозящая-и-п, Аноним (-), 22:14 , 10-Сен-17, (7) +13 // Не стоит называть это рукожопием, и вот почему жаба программист не должен думат, pripolz (?), 23:03 , 10-Сен-17, (10) –9 // Это уже не руко-, это голово- А это так называемый hype Вы не сталкивались с чет, Michael Shigorin (ok), 23:44 , 10-Сен-17, (12) –4 // А как же разделение труда , Аноним (15), 00:05 , 11-Сен-17, (15) Какое разделение труда У него каждая кухарка может управлять государством , Аноним (-), 06:20 , 11-Сен-17, (19) –6 Каждая кухарка не может, миллион кухарок может в 100 раз эффективнее любого чину, Аноним (-), 11:35 , 11-Сен-17, (57) –1 А сколько обезьян надо, чтобы быть эффективнее 1 кухарки , Аноним (-), 19:20 , 11-Сен-17, (110) +1 У кого-то опять миллионная фиксация в вакуумной коробке, принимающей лозунги без, Michael Shigorin (ok), 12:06 , 12-Сен-17, (178) –2 Каждый должен заниматься чем он лучше всего умеет Умеешь делать UI и не умеешь , Аноним (-), 11:57 , 11-Сен-17, (61) Для этого нужна сущая мелочь - чтобы другие, от качества работы которых зависят , YetAnotherOnanym (ok), 17:01 , 11-Сен-17, (99) качественно не означает идеально , увы и много внеросии отсудили у тойеты за , пох (?), 19:54 , 11-Сен-17, (121) –2 Разве я утверждал, что уеб-кодер должен уметь быстренько на коленке написать аль, YetAnotherOnanym (ok), 11:09 , 12-Сен-17, (169) Проблемы от того что потребитель не умеет пользоваться ПО правильно - запускать , Аноним (-), 12:24 , 12-Сен-17, (180) Вместо умничания на форумах и бездумной копипасты можно было бы и прочитать ориг, Анонимный Аналитек (?), 19:52 , 11-Сен-17, (120) Можно ссылочку Если нет -- шмякните себя по лживой роже канделябром, что ли , Michael Shigorin (ok), 12:03 , 12-Сен-17, (177) –2 Ты, дружок, пока писал совй умный коммент с жабистами-ассемблерщиками, курящими , pripolz (?), 08:34 , 11-Сен-17, (24) –4 Ну офигеть То есть мы тут уже который год совершенно напрасно критикуем явистов, freehck (ok), 08:53 , 11-Сен-17, (27) +4 // э зачем Их вот сейчас поимели прямо в рамках их же жабоприложения, без всяки, пох (?), 12:15 , 11-Сен-17, (65) Там апаче ясно дал понять, что архитектура должна предусматривать транспортные п, Аноним (-), 12:45 , 11-Сен-17, (73) +2 посмотрел багу, реально рукожопость Жабиный шеллкод-то выполнялся , pripolz (?), 13:22 , 11-Сен-17, (83) +2 желательно - закрытые Если транспортный протокол позволяет, как это у нас пиш, пох (?), 13:24 , 11-Сен-17, (84) –1 Ломали не транспортный протокол а ось, и через ось сливали данные БД, которая ви, Ан (??), 11:10 , 12-Сен-17, (170) Надеешься что реверсеры глупые и не разберутся Совершенно напрасная надежда Ес, Аноним (-), 21:23 , 12-Сен-17, (192) придется сперва дожидаться уязвимости во внешней обертке, потом - в узком промеж, пох (?), 22:43 , 13-Сен-17, (202) –1 DigiNotar у это расскажи Comodohacker не только вынес всю активную директорию, , Аноним (-), 02:21 , 14-Сен-17, (204) лол опять в убийстве нож виноват а потом удивляешься, что тебя дядьки посмекали, снилс (?), 18:04 , 11-Сен-17, (104) –1 В данном случае это больше похоже на бег с ножницами в руках по лестнице с завяз, Аноним (-), 21:38 , 11-Сен-17, (136) +1 случай данного взлома настолько банален, там просто можно захреначить жаба-код в, pripolz (?), 06:31 , 12-Сен-17, (157) –2 Я ничего не предполагал, жабисты все время сами настаивают что хотят только писа, Аноним (-), 21:27 , 12-Сен-17, (194) +1 Я тоже который год критикую явистов за то, что они дальше абстракции не видят И, pripolz (?), 13:10 , 11-Сен-17, (78) Уже развивал https www opennet ru openforum vsluhforumID3 111842 html n freehc, freehck (ok), 13:29 , 11-Сен-17, (86) а можно ещё дальше Подключил либу, ой, а в ней эксплойт , pripolz (?), 13:56 , 11-Сен-17, (92) –1 Вы не путайте знания реализации вышестоящей системы со знаниями её архитектуры , freehck (ok), 14:11 , 11-Сен-17, (94) +1 pripolz жаба программист не должен думатьВся суть поста Не благодари , _ (??), 19:38 , 11-Сен-17, (114) +2 томкет от рута запустить -- это настоящее рукожопие, да он по умолчанию так не , й (?), 01:12 , 11-Сен-17, (17) +4 // Не знал, как повесить его на 11443 и пробросить на 443 через iptables Да разве , freehck (ok), 08:56 , 11-Сен-17, (28) –1 // бывают-бывают лично я два года назад с руганью выпиливал такую же схему, достав, й (?), 13:01 , 11-Сен-17, (77) +1 Не очень то это удобно Я уже хз сколько времени на фронт вешаю nginx и кручу-ве, _ (??), 19:44 , 11-Сен-17, (118) для больших, типа екифака, это не то что неудобно, это скорее всего просто не ра, пох (?), 19:58 , 11-Сен-17, (122) +2 Кстати, мужики Мне тут рассказали про capabilities Оказывается, нынче не надо , freehck (ok), 21:19 , 11-Сен-17, (132) То ли еще будет, когда ты обнаружишь что в Linux есть namespaces и seccomp , Аноним (-), 21:40 , 11-Сен-17, (138) –1 а заодно, если поймаешь в нем remote exec - то же самое сможет делать и экзекнут, пох (?), 22:50 , 11-Сен-17, (145) +1 Понял Буду иметь в виду , freehck (ok), 01:05 , 12-Сен-17, (150) А чем вариант с setcap лучше хуже старого доброго authbind touch etc authbind , dwfe (ok), 05:20 , 12-Сен-17, (155) –1 X-Forwarded-For Нет, не слышал , YetAnotherOnanym (ok), 14:28 , 12-Сен-17, (181) слышал А в логах struts овой мега-системы - 127 0 0 1иди учись дальше, школьнич, пох (?), 16:06 , 12-Сен-17, (185) –1 То есть, струц не умеет скидывать в лог то, что нужно хозяину Богатая мегасисте, YetAnotherOnanym (ok), 09:26 , 13-Сен-17, (200) во-первых, struts - это фреймворк, в лог будет скидывать то, что на нем написано, пох (?), 22:55 , 13-Сен-17, (203) –1 То есть, в веб-фреймворке нет возможности писать в лог заданный в конфиге заголо, YetAnotherOnanym (ok), 11:20 , 14-Сен-17, (206) то есть ты так ни одного слова и не понял в веб-фреймворке я хз - может наверно, пох (?), 14:44 , 15-Сен-17, (207) –2 Вот сразу сишника видно Все думали он джаву пинает, а он прото тупит , Аноним (-), 02:17 , 16-Сен-17, (210) –1 Да не, дать бинарнику CAP_NET_BIND_SERVICE , Ан (??), 11:34 , 12-Сен-17, (173) Только что на джавистов гнал Неужели дошло Не верю , Аноним (-), 02:12 , 16-Сен-17, (209) –1 страшилка для маленьких мальчиков Сервер приложений все одно запускается с пра, КО (?), 09:16 , 11-Сен-17, (34) +2 // читайте новость rce возможно только, если слишком умный админ запустил сервер п, й (?), 12:57 , 11-Сен-17, (75) –3 Нет, и в новости все правильно написано, чего не скажешь о твоем выражении, iPony (?), 08:43 , 12-Сен-17, (159) –1 Это сколько надо боярышника, чтобы баг фреймворка валить на язык Следуя вашей ж, Аноним (-), 01:59 , 16-Сен-17, (208) –1 Ну конечно, а другие её не могли найти раньше, ага , Sluggard (ok), 22:18 , 10-Сен-17, (8) +2 // Могли и другую найти, поныне не закрытую , Аноним (-), 00:15 , 11-Сен-17, (16) // Более того, скорее всего, нашли Каков шанс, что хакер найдет дыру и раскажет о , Аноним (-), 11:38 , 11-Сен-17, (59) // Хрен бы его знает, но они делятся на white hats, gray hats и black hats В любом, Аноним (-), 21:44 , 11-Сен-17, (139) Вижу следующие проблемы - криворукость сетевого администратора в организации -, dwfe (?), 05:03 , 11-Сен-17, (18) –2   // Да что вы заладили root да root Прав непревелигерованного пользователя, под кот, slezhuk (?), 07:18 , 11-Сен-17, (20) +2   // Фронтенд инициирует создание сессии, получает некий токен, с ним ходит в СУБД Сл, лютый жабист__ (?), 07:23 , 11-Сен-17, (22)   // А зачем ты ею думаешь а не головой Сказано в течении 2 месяцев скачали данные 1, Анотоним (?), 08:52 , 11-Сен-17, (26) +1   Прослойка помешает Максимум вытянешь данные залогиненных пользователей и то если, Ку (?), 11:12 , 11-Сен-17, (54) +2   К тому же в памяти можно хранить сырые токены и только в момент передачи их в , Ку (?), 11:21 , 11-Сен-17, (55)   Отличный подход Понадеяться на прослойку БД и писать плохой код , Анотоним (?), 13:54 , 11-Сен-17, (90)   Как вам удалось сделал такой вывод из сказанного мной Пишите хороший Прослойку э, Ку (?), 17:06 , 11-Сен-17, (101)   Зачем нужна прослойка при хорошем коде , Анотоним (?), 10:07 , 12-Сен-17, (166)   Я человек простой - читаю текст новости и строго по нему спамлю в комментах Искл, dwfe (ok), 09:05 , 11-Сен-17, (30) +1   // Так в том то и дело, что в новости написано если web-приложение выполняется , slezhuk (?), 10:57 , 11-Сен-17, (51) +2   Блин, тут говорят что подстановка байт кода в запрос Теперь подумай достучаться, Ан (??), 11:41 , 12-Сен-17, (175)   Кстати, может хоть вы мне объясните, почему Java-программисты испытывают затрудн, freehck (ok), 09:01 , 11-Сен-17, (29) –1   // Все они могут В новости линк же есть https wiki apache org tomcat HowTo How_to, dwfe (ok), 09:08 , 11-Сен-17, (32)   // этот линк как раз демонстрирует их полную беспомощность - от советов запускать ч, пох (?), 09:44 , 11-Сен-17, (38) +1   Наилучшим, по их мнению путем, является старт Tomcat в качестве нативной для lin, dwfe (ok), 09:59 , 11-Сен-17, (41)   jsvc конечно же делает то, что надо, вот только подход с jsvc не всегда применим, freehck (ok), 10:50 , 11-Сен-17, (49) –1   Спасибо за разъяснение Честно говоря я не думал об этом И соглашусь с вами, что , dwfe (ok), 11:01 , 11-Сен-17, (53) +1   Наверное дело в том, что сброс привилегий производится по-разному на разных плат, freehck (ok), 11:22 , 11-Сен-17, (56) –1   Мне почему-то кажется, что обязательность кроссплатформенности не является основ, dwfe (ok), 11:38 , 11-Сен-17, (58)   Да, это было бы здорово Если найдётся когда-нибудь такой способ, я бы протолкну, freehck (ok), 11:55 , 11-Сен-17, (60) –1   Здесь все рассылки разрабов OpenJDK читайте разарабов Java http mail openjdk , dwfe (ok), 12:02 , 11-Сен-17, (62) +1   ЕМНИП, в винде система прав сильно отличается от юниксовой Там просто нет таких, freehck (ok), 12:15 , 11-Сен-17, (64)   В первом приближении я пока думаю, что они просто создают новый процесс https , dwfe (ok), 12:21 , 11-Сен-17, (66)   Вот-вот, как раз шёл сюда отписать то же самое Тут ведь фокус в том, что в винда, freehck (ok), 12:34 , 11-Сен-17, (69)   В венде сейчас есть такое решение https technet microsoft com en-us library cc, dwfe (ok), 12:44 , 11-Сен-17, (71)   Ну, тут в общем-то обсуждается не фунцкия setuid, а скорее setuid bit runas п, freehck (ok), 13:00 , 11-Сен-17, (76) +1   Гуд, значит стопроцентов дело в ведре , dwfe (ok), 13:15 , 11-Сен-17, (82)   Ваш пример не банальный, а глупый Сишников не учат, что свой API не системные п, Аноним (-), 14:42 , 18-Сен-17, (215) –1   jsvc-то делает, но как-то на удивление криво, нужна еще стройная система костыле, пох (?), 12:22 , 11-Сен-17, (67) +1   разъясните пожалуйста про костыли и подпорочки, мне для понимания надоспасет кор, dwfe (ok), 12:55 , 11-Сен-17, (74)   Ну, чёткого определения костыля вообще нету, обычно эти слова произносятся в зав, freehck (ok), 13:11 , 11-Сен-17, (80)   , dwfe (ok), 13:15 , 11-Сен-17, (81)   А ведь вы правы Многих после такого http radikal ru fp rfy4trkjz5uoaначнет сл, dwfe (ok), 13:25 , 11-Сен-17, (85)   Да ладно, это как раз-таки нормально Тут хотя бы есть стопудово рабочий способ , freehck (ok), 13:36 , 11-Сен-17, (88)   вообще-то _правильно_ установленный компилятор разных версий умеет переключать, пох (?), 18:12 , 11-Сен-17, (105) +2   Приветствуем крионавта http gcc gnu org gcc-4 6 changes html, Аноним84701 (ok), 19:44 , 11-Сен-17, (117) +2   ну я же предупреждал, что не так прямо все легко До 4 7 2 код еще с нами, afair, пох (?), 20:07 , 11-Сен-17, (123)   mkdir binexport PATH pwd bin PATH ln -s usr bin cool-c -compiler bin g , Ordu (ok), 19:02 , 11-Сен-17, (109) +1   Ну да Ведь сделать СXX g отдельной строчкой сложно, пускай лучше пользов, Аноним (-), 19:31 , 11-Сен-17, (112) –1   канешна - это ж надо сообразить, из какого места модной аутолибульной хрени оно , пох (?), 20:09 , 11-Сен-17, (124)   Да не нужно гадать Т е делать так нужно как раз в аутолибульной хрени Или в г, Анонимный Аналитек (?), 20:47 , 11-Сен-17, (128) –1   Похоже на описание meson а, чтоли , Аноним (-), 22:31 , 11-Сен-17, (144) +1   О А вот это мне в голову не приходило Завтра попробую, спасибо , freehck (ok), 19:50 , 11-Сен-17, (119)   Увы, это не помогло Помог вариант с user-config для bjam Но на будущее этот кос, freehck (ok), 19:25 , 22-Сен-17, (218)   Хм Очевидно мало было только симлинк на другой компилятор подсунуть, надо был, Ordu (ok), 21:08 , 22-Сен-17, (219) +1   Хм Перенастраивать все симлинки system-wide - это может быть и неплохо для посл, freehck (ok), 13:26 , 23-Сен-17, (220)   Это где это в boost такое Сколько раз собирал его кастомным компилятором, никак, Аноним (-), 20:10 , 11-Сен-17, (125)   Это какая-то дремучая версия буста, на которую завязались ряд наших компонентов,, freehck (ok), 20:52 , 11-Сен-17, (129)   Старше 15 лет, что ли или когда они bjam туда вкорячили Так и надо сразу уточ, Аноним (-), 21:20 , 11-Сен-17, (133)   ну я рад услышать, что они хотя бы за пятнадцать лет догадались, но кому и пятна, пох (?), 00:21 , 12-Сен-17, (147) –1   Хм Мне думется, что ей лет 10-12, но bjam там кстати есть UPD нашёл версию в ф, freehck (ok), 01:07 , 12-Сен-17, (151)   Раз так, то он должен собираться bjam ом, и компилятор можно задать через user-c, Аноним (-), 01:18 , 12-Сен-17, (152) +2   Спасибо, попробую , freehck (ok), 15:24 , 12-Сен-17, (183)   Спасибо Собралось отлично с нужной версией компилятора , freehck (ok), 19:23 , 22-Сен-17, (217)   не забудьте еще предусмотреть супервизор этого супервизора, а то оно умеет навер, пох (?), 18:13 , 11-Сен-17, (106)   В нем все это сделано и даже достаточно прилично В Linux есть такая штука - wat, Аноним (-), 22:00 , 11-Сен-17, (141) –3   Вот же феерический бред Нет, ну надо же Аппаратный вачдог для мониторинга ра, freehck (ok), 10:24 , 16-Сен-17, (214) +1   Если я все правильно понимаю, то они это делают вот так https github com apach, dwfe (ok), 10:24 , 11-Сен-17, (45)   gt оверквотинг удален Т е по вашему это джависты сервер приложений на проде з, Аноним (-), 02:28 , 16-Сен-17, (212) –1   Спасибо, поржал Особенно над suid-ником Не, всё правильно запускать-то из-под, freehck (ok), 09:59 , 11-Сен-17, (40)   Да, нет же Работать оно будет под непривилегированным пользователем http joxi , dwfe (ok), 10:06 , 11-Сен-17, (43)   Ваша ошибка в том, что я говорю о варианте с suid-ником, а Вы -- о варианте с js, freehck (ok), 10:29 , 11-Сен-17, (47) –1   Извините, я действительно не уточнил, что говорил про использование стартера jsv, dwfe (ok), 10:35 , 11-Сен-17, (48)   Прокомментировал в 49 Он корректен не всегда, потому что форсирует демонизацию , freehck (ok), 10:58 , 11-Сен-17, (52) –1   Вот ссылка на исходник, где они устанавливают id https github com apache commo, dwfe (ok), 10:25 , 11-Сен-17, (46)   Объясняю - никаких затруднений ибо java здесь абсолютно ну никаким боком Да не , Аноним (-), 02:26 , 16-Сен-17, (211) –1   Эм, а какое отношение сетевой администратор имеет к root на сервере , zanswer CCNA RS and S (?), 09:05 , 11-Сен-17, (31) +1   // Ну, хорошо, замените сетевой администратор любым другим устраивающим вас текст, dwfe (ok), 09:14 , 11-Сен-17, (33)   Что-то в предыдущей теме могучие сишники так и не назвали правильный web2 0 MVCш, лютый жабист__ (?), 07:19 , 11-Сен-17, (21) –6 // Почему Потому что они распространены и не написаны на Яве И это портит твою ую, A.Stahl (ok), 08:04 , 11-Сен-17, (23) +6 // Патамучта решeто на порядок большее , лютый жабист__ (?), 09:23 , 11-Сен-17, (36) // Эврика Лютый жабист утверждает, что жаба -- решeто , freehck (ok), 12:45 , 11-Сен-17, (72) +2 На си же написано От яблони далеко не укатишься , лютый жабист__ (?), 16:40 , 11-Сен-17, (97) Далеко не укатишься, имхо, если считать что во всем виноват си, а думать за прог, Аноним (-), 22:27 , 11-Сен-17, (143) +1 жирнота asp net mvc жирнота , Аноним (-), 09:22 , 11-Сен-17, (35) +2 // Ты же худой как узник концлагеря Вот жирнота Ява Очень распространённый фреймв, A.Stahl (ok), 09:43 , 11-Сен-17, (37) +3 // погугли что такое фреймворк для веба Чтобы не пердеть в лужу , пох (?), 09:45 , 11-Сен-17, (39) +2 go gorilla, Аноним (-), 10:06 , 11-Сен-17, (42) +1 Treefrog, например , YetAnotherOnanym (ok), 17:04 , 11-Сен-17, (100) // Позырил, посмеялся Ты всерьёз это аналогом jsf или struts считаешь , лютый жабист__ (?), 18:43 , 11-Сен-17, (107) –2 // На здоровье Я тоже над Вашим комментарием посмеялся , YetAnotherOnanym (ok), 01:30 , 12-Сен-17, (154) чорт, плохая идея была искать одно это слово Как теперь развидеть все зеленое и, пох (?), 09:19 , 12-Сен-17, (161) на самом деле главная уязвимость была вовсе не в Struts, а вот здесь https pb, Аноним (-), 12:10 , 11-Сен-17, (63) +4 // расскажи, какого именно образования ты ждешь от человека, пришедшего в IT в 2002, пох (?), 12:29 , 11-Сен-17, (68) +1 // По идее эксперт безопасности должен бы донести до разработчиков и их руководства, Аноним (-), 21:52 , 11-Сен-17, (140) // какое отношение это имеет к скриншоту И что, собственно, было не так , кроме фа, пох (?), 00:29 , 12-Сен-17, (148) В 2002 году можно было бы хотя бы материалы дел Митника почитать , YetAnotherOnanym (ok), 11:19 , 12-Сен-17, (171) Лучше бы написали, что же они теперь то будут делать https www wired com story, yekm (ok), 12:36 , 11-Сен-17, (70) // в смысле Они ничего не будут делать, им-то зачем Жаль что эти ребята не наcр, пох (?), 13:33 , 11-Сен-17, (87) // Затем, что на них в суд классовый иск подан, а это им грозит в худшем случае вып, Ordu (ok), 18:57 , 11-Сен-17, (108) // ну что вы, право, это грозит выплатой юристу пары сотен Они у нас хорошо откорм, equifax (?), 20:11 , 11-Сен-17, (126) +1 При миллиардном иске Пара сотен Пара сотен тысяч, ты имеешь в виду , Ordu (ok), 20:41 , 11-Сен-17, (127) ну да, а чо такого-то лоер - он полезный, в отличие от каких-то там админов-шма, equifax (?), 21:34 , 11-Сен-17, (135) –1 Мне вот интересно, откуда вдруг взялась мода на слово лоер Это анонимы опенне, Ordu (ok), 22:13 , 11-Сен-17, (142) +1 адвокат просто выписывать дольше ну, тех-то еще по тридцати трем причинам корм, пох (?), 00:33 , 12-Сен-17, (149) Выдавать Либо новые СНИЛСы, либо кредиты Всем подряд , freehck (ok), 13:38 , 11-Сен-17, (89) // Чтобы получит новые СНИЛС им придется провести референдум по присоединению к РФ , Анотоним (?), 13:56 , 11-Сен-17, (91) +2 // Американский НГШ украдкой смотрит в словарь как пишется референдум , что это та, A.Stahl (ok), 14:08 , 11-Сен-17, (93) хрен там Нету возможности сменить ssn Говорят, если кто-то когда-то получит на, пох (?), 15:29 , 11-Сен-17, (96) Займутся тем, чем им давно бы пора - модернизацией процесса аутентификации и воп, KonstantinB (ok), 19:41 , 11-Сен-17, (115) // В этом смысле то, что утечка такая огромная - это даже плюс Утекло бы 10 тыщ - , KonstantinB (ok), 19:43 , 11-Сен-17, (116) Это 171 покруче 187 Ирмы будет , Андрей (??), 13:11 , 11-Сен-17, (79) раньше по этим данным можно было кредитку получить, возможно и сейчас это сущест, Sen (?), 16:52 , 11-Сен-17, (98) // Да чего там кредитку Самое интересное другое зная имя и SSN, можно заполнить ф, KonstantinB (ok), 19:25 , 11-Сен-17, (111) Какую-то ерунду написал ОпенСорс - это не общее понятие Это может быть и умира, iPony (?), 08:52 , 12-Сен-17, (160) –3 потому что это глупость Мода, к сожалению, не прошла, а наоборот, превысила уже, пох (?), 09:41 , 12-Сен-17, (162) –1 // А я то думал потому что так быстрее и дешевле Отсталое проприетарное нечто, с м, Аноним (-), 02:07 , 13-Сен-17, (199) // считал, или думал Обычно так нифига не дешевле - хотя да, быстрее , потому ч, пох (?), 12:39 , 13-Сен-17, (201) –1 Быстрее - значит дешевле Мало кто хочет бесплатно работать над чужими задачами , Аноним (-), 04:29 , 14-Сен-17, (205) что офисные комбайны всё меньше востребованы , Аноним (-), 10:20 , 12-Сен-17, (167) –1 Скорее она занимает свою историческую нишу Сдвинуть основы экономики опенсорс, ыы (?), 10:50 , 12-Сен-17, (168) –3 // Хозяйке на заметку сообщения 174, 172, 165, 164, 163, 156 пришли с одного адрес, Michael Shigorin (ok), 11:56 , 12-Сен-17, (176) // ну и где моя бонусная лицензия и путевка, блин только, чур не во Львов откат , пох (?), 14:54 , 12-Сен-17, (182) –1 Она, видать, тупая и просится в мусорку Потому что аналогичное же поведение бы, Michael Shigorin (ok), 15:29 , 12-Сен-17, (184) –3 ну так 2006й год, и, заметь, речь шла не о выброси свой линух, поставь что , пох (?), 16:18 , 12-Сен-17, (186) –1 Следующий ход очевиден -- проблемы нет, вы же легализовались, а перейти на лину, Michael Shigorin (ok), 16:24 , 12-Сен-17, (187) –4 хз - про следующий ход из этого источника мне ничего не приходило, наверное, не , пох (?), 17:17 , 12-Сен-17, (188) –1 К слову об утечках персданных ---Сегодня, 26 сентября, оператор мобильной связи , Michael Shigorin (ok), 18:47 , 26-Сен-17, (221) –1 // Мы узнаем о вступлении яровой на опенет -- по твоей отставке из Кенарем будешь, Andrey Mitrofanov (?), 18:59 , 26-Сен-17, (222) 1,5,7,8,18,21,63,70,79,98,221

Сообщения

[Сортировка по времени | RSS]

18. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–2 +/–
Сообщение от dwfe (?), 11-Сен-17, 05:03
Вижу следующие проблемы: - криворукость сетевого администратора в организации - отсутствие сетевого администратора в организации - целенаправленная халатность Если сказать Tomcat запускаться на 80 порту, то он стартанет, но 80 порт слушать не сможет по причине: Failed to initialize component [Connector[HTTP/2-80]] org.apache.catalina.LifecycleException: Protocol handler initialization failed Caused by: java.net.SocketException: Permission denied Вина java здесь в том, что она просто-напросто не может творить чудеса - слушать привелигированный порт в рамках пользователя операционной системы, которому такие действия запрещены.
Ответить | Правка | Наверх | Cообщить модератору

	20. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+2 +/–
	Сообщение от slezhuk (?), 11-Сен-17, 07:18
	Да что вы заладили root да root? Прав непревелигерованного пользователя, под которым запущен томкат вполне хватит, что бы получить доступ к данным, к которым есть доступ у веб сервера. В данном случае- доступ в бд на чтение.
	Ответить | Правка | Наверх | Cообщить модератору

	22. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от лютый жабист__ (?), 11-Сен-17, 07:23
	>бы получить доступ к данным, к которым есть доступ у веб сервера Фронтенд инициирует создание сессии, получает некий токен, с ним ходит в СУБД. Сломав фронтенд можно максимум получить информацию из других АКТИВНЫХ сессий. Это если думать не попой.
	Ответить | Правка | Наверх | Cообщить модератору

	26. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от Анотоним (?), 11-Сен-17, 08:52
	>Это если думать не попой. А зачем ты ею думаешь а не головой? Сказано "в течении 2 месяцев скачали данные 143 миллионов американцев".  Ты полагаешь за эти два месяца эти сто сорок три миллиона американцев ходили на сайт этого бюро? Явно же медленно незаметно сдампили БД. Для этого не нужен root, и этому не помешает дополнительная "прослойка" между frontend и BD.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+2 +/–
	Сообщение от Ку (?), 11-Сен-17, 11:12
	Прослойка помешает. Максимум вытянешь данные залогиненных пользователей и то если получишь токены из памяти. Другое дело, что в сабже этого не было сделано и все(или почти) данные слили. Это архитектурная недоработка в безопасности ифраструктуры.
	Ответить | Правка | Наверх | Cообщить модератору

	55. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Ку (?), 11-Сен-17, 11:21
	К тому же в памяти можно хранить "сырые" токены и только в момент передачи их в БД сервис, дешифровывать по определенному алгоритму. В этом случае даже получение такого токена из памяти ничего не даст, пока ты не разберешся как его дешифровать, ибо БД сервис не будет его принимать.
	Ответить | Правка | Наверх | Cообщить модератору

	90. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Анотоним (?), 11-Сен-17, 13:54
	Отличный подход: Понадеяться на прослойку/БД и писать плохой код!
	Ответить | Правка | Наверх | Cообщить модератору

	101. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Ку (?), 11-Сен-17, 17:06
	Как вам удалось сделал такой вывод из сказанного мной? Пишите хороший. Прослойку это не отменяет.
	Ответить | Правка | Наверх | Cообщить модератору

	166. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Анотоним (?), 12-Сен-17, 10:07
	Зачем нужна прослойка при хорошем коде?
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от dwfe (ok), 11-Сен-17, 09:05
	> Да что вы заладили root да root? Я человек простой - читаю текст новости и строго по нему спамлю в комментах. Исключительно по тексту новости: "Обе проблемы позволяют выполнить свой код на сервере, при этом если web-приложение выполняется в контейнере Apache Tomcat, запускаемом с правами root, в результате удалённой атаки может быть получен доступ с правами root." Они первые начали :)
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	51. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+2 +/–
	Сообщение от slezhuk (?), 11-Сен-17, 10:57
	Так в том то и дело, что в новости написано: "если web-приложение выполняется ... с правами root", но при этом нигде не написано, что у Эквифакса оно работает от рута. А все почему то прочитали это как: "Эквифакс не умеет в томкат и запускает его от рута". На мой взгляд вина Эквифакса варьируется между "не умеют выбирать стек приложений" (apache struts известен большим количеством критических уязвимостей), если их поимели через CVE-2017-9805 и "не умеют патчится", если их поимели через CVE-2017-5638. К первому особо не докопаешься, потому что 0-day и такое может случиться с любым стеком технологий. Если второе, то тут конечно серьезнее. 2 месяца не патчить RCE - за такое надо наказывать -рублём- долларом.
	Ответить | Правка | Наверх | Cообщить модератору

	175. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Ан (??), 12-Сен-17, 11:41
	> Да что вы заладили root да root? Прав непревелигерованного пользователя, под которым > запущен томкат вполне хватит, что бы получить доступ к данным, к > которым есть доступ у веб сервера. В данном случае- доступ в > бд на чтение. Блин, тут говорят что подстановка байт кода в запрос. Теперь подумай достучаться до оси, инструментарий которой тебе известен, или подставить код, который вставит твой функционал в приложение, т.е. обратится к БД и сольёт тебе данные. Второе вообще не так тривиально и у хацкеров вызывает сегфолты и эксепшены, а не хеппи сливы.
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	29. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от freehck (ok), 11-Сен-17, 09:01
	> Вина java здесь в том, что она просто-напросто не может творить чудеса Кстати, может хоть вы мне объясните, почему Java-программисты испытывают затруднения с тем, чтобы, запустившись, сбросить права до нужных? Java-то не может творить чудеса, но программист на то и программист ведь.
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	32. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 09:08
	Все они могут. В новости линк же есть: https://wiki.apache.org/tomcat/HowTo#How_to_run_Tomcat_witho...
	Ответить | Правка | Наверх | Cообщить модератору

	38. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от пох (?), 11-Сен-17, 09:44
	> В новости линк же есть: этот линк как раз демонстрирует их полную беспомощность - от советов запускать через прокси, до совершенно безобразного сетуид-скрипта (который вообще неясно, зачем нужен - ну мышление жабоедов логике неподвластно), запускающего от рута шелл-скрипты томкэта (обосраться и не жить, вот это секьюрити)! А понизить привиллегии после присасывания к 80-му порту, как делают все нормальные программы - нет, это не жабий метод. Впрочем, действительно, и зачем? У сервера кредитного бюро хоть от какого пользователя его запусти, есть доступ к данным кредитного бюро. А больше ничего и не надо. Можно даже автосливалку этих данных с удобствами написать на жабе-ee, а чо, прикольно.
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 09:59
	> А понизить привиллегии после присасывания к 80-му порту, > как делают все нормальные программы - нет, это не жабий метод. Наилучшим, по их мнению путем, является старт Tomcat в качестве нативной для linux программы: https://tomcat.apache.org/tomcat-9.0-doc/setup.html#Unix_daemon Разве она не делает то, что вы описали -- понижает привилегии после присасывания к 80-му порту. Вот цитата: "jsvc has other useful parameters, such as -user which causes it to switch to another user after the daemon initialization is complete. This allows, for example, running Tomcat as a non privileged user while still being able to use privileged ports. Note that if you use this option and start Tomcat as root, you'll need to disable the org.apache.catalina.security.SecurityListener check that prevents Tomcat starting when running as root."
	Ответить | Правка | Наверх | Cообщить модератору

	49. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от freehck (ok), 11-Сен-17, 10:50
	> Разве она не делает то, что вы описали -- понижает привилегии после присасывания к 80-му порту. jsvc конечно же делает то, что надо, вот только подход с jsvc не всегда применим как минимум из-за того, что не всегда допустимо демонизировать процесс средствами java, как это в нём делается. Банальный пример: есть большой проект, в котором куча демонов, написанных на разных языках, которые общаются друг с другом через API. Для них используется djb's daemontools для унификации управления набором демонов. При этом подходе демоны должны запускаться в foreground. Но с jsvc этого сделать нельзя. Речь о том, что права должны сбрасываться самим процессом, а не специальной приблудой в виде jsvc. Сброс привилегий -- это задача запускаемой программы, а не сторонней утилиты.
	Ответить | Правка | Наверх | Cообщить модератору

	53. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от dwfe (ok), 11-Сен-17, 11:01
	Спасибо за разъяснение. Честно говоря я не думал об этом. И соглашусь с вами, что разработчики java могли бы для своего процесса предусмотреть сброс привилегий. По всей видимости есть этому объяснение какое-нибудь, хотя я не могу найти таких объяснений. Они комбайн сделали из этой джавы, что если они что-то не делают, то это не просто так, может не могут :) В принципе ничего же нет такого особенного в задаче сброса привилегий процесса.
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от freehck (ok), 11-Сен-17, 11:22
	> По всей видимости есть этому объяснение какое-нибудь, хотя я не могу найти таких объяснений. Наверное дело в том, что сброс привилегий производится по-разному на разных платформах и из-за этого в оракловую яву этих изменений не принимают. Хотя это конечно всего лишь предположение.
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 11:38
	Мне почему-то кажется, что обязательность кроссплатформенности не является основной причиной. Я повторюсь, джава это атомный комбайн всего чего только можно и большинство из этого, если не все, кроссплатформенно. Уж задать эффективного юзеро могли бы состряпать. Вобщем, решил спросить у типо шибко умных: http://mail.openjdk.java.net/pipermail/core-libs-dev/2017-Se... если я там вопрос задал некорректно, можете присоединиться при желании :)
	Ответить | Правка | Наверх | Cообщить модератору

	60. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от freehck (ok), 11-Сен-17, 11:55
	> Мне почему-то кажется, что обязательность кроссплатформенности не является основной причиной. > Я повторюсь, джава это атомный комбайн всего чего только можно и > большинство из этого, если не все, кроссплатформенно. > Уж задать эффективного юзера могли бы состряпать. Да, это было бы здорово. Если найдётся когда-нибудь такой способ, я бы протолкнул его нашим явистам. > Вобщем, решил спросить у типо шибко умных: > http://mail.openjdk.java.net/pipermail/core-libs-dev/2017-Se... core-libs-dev@openjdk.java.net ? > если я там вопрос задал некорректно, можете присоединиться при желании :) Корректно. Я пока послежу в режиме ro. PS: Спасибо, кстати, за рассылку. Я вот с явой имел чисто потребительские отношения и не знал, куда писать с такими вопросами. PPS: Подписался на gmane.comp.java.openjdk.core-libs.devel
	Ответить | Правка | Наверх | Cообщить модератору

	62. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от dwfe (ok), 11-Сен-17, 12:02
	> core-libs-dev@openjdk.java.net ? > PS: Спасибо, кстати, за рассылку. > Я вот с явой имел чисто потребительские отношения и не знал, > куда писать с такими вопросами. Здесь все рассылки разрабов OpenJDK(читайте разарабов Java): http://mail.openjdk.java.net/mailman/listinfo > Корректно. Я пока послежу в режиме ro. Уже задали следующий вопрос: http://mail.openjdk.java.net/pipermail/core-libs-dev/2017-Se... что ответить я не знаю. Неужели в венде все так плохо с изменением эффективных юзеров? )))
	Ответить | Правка | Наверх | Cообщить модератору

	64. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 11-Сен-17, 12:15
	> что ответить я не знаю. Неужели в венде все так плохо с изменением эффективных юзеров? ))) ЕМНИП, в винде система прав сильно отличается от юниксовой. Там просто нет таких понятий. С другой стороны, для сброса привелегий jsvc в винде что-то ведь делает. Я по исходникам прошёлся, но пока не смог найти этого места. Буду признателен, если Вы составите мне компанию.
	Ответить | Правка | Наверх | Cообщить модератору

	66. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 12:21
	> С другой стороны, для сброса привелегий jsvc в винде что-то ведь делает. > Я по исходникам прошёлся, но пока не смог найти этого места. > Буду признателен, если Вы составите мне компанию. В первом приближении я пока думаю, что они просто создают новый процесс))) https://github.com/apache/commons-daemon/blob/6702852984689b...
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 11-Сен-17, 12:34
	> В первом приближении я пока думаю, что они просто создают новый процесс))) > https://github.com/apache/commons-daemon/blob/6702852984689b... Вот-вот, как раз шёл сюда отписать то же самое. Тут ведь фокус в том, что в виндах для определения прав процесса используется Access Token[0], который свой для каждого пользователя. Причём в отличие от Unix-сиситем, где можно на лету изменить uid/gid, процесс в винде, работающий с правами администратора, не может изменить токен текущего процесса [1]. [0] https://msdn.microsoft.com/en-us/library/windows/desktop/ms6... [1] https://salesforce.stackexchange.com/questions/15201/how-do-...
	Ответить | Правка | К родителю #66 | Наверх | Cообщить модератору

	71. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 12:44
	В венде сейчас есть такое решение: https://technet.microsoft.com/en-us/library/cc771525.aspx Тут ключевое слово "сейчас". В Java помимо кроссплатформенности есть еще такая бооольшая проблема как обратная совместимость. Как вариант, плюсом к вашему предположению, разарабы java может сейчас и могут пользоваться RUNAS на венде, но на старых версиях венды это точно не работает и нет никакой гарантии, что будет работать в последующих версиях венды. А обратная совместимость это из-за чего на java сидят коммерцы. [0] https://superuser.com/questions/973349/is-there-a-windows-eq...
	Ответить | Правка | К родителю #69 | Наверх | Cообщить модератору

	76. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от freehck (ok), 11-Сен-17, 13:00
	Ну, тут в общем-то обсуждается не фунцкия setuid, а скорее setuid bit. :) runas позволяет именно что запустить программу из-под другого юзера, то есть по факту является windows-аналогом sudo/su. А вот изменить токен процесса после запуска возможности всё равно нет.
	Ответить | Правка | К родителю #71 | Наверх | Cообщить модератору

	82. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 13:15
	Гуд, значит стопроцентов дело в ведре.
	Ответить | Правка | К родителю #76 | Наверх | Cообщить модератору

	215. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от Аноним (-), 18-Сен-17, 14:42
	Ваш пример не банальный, а глупый. Сишников не учат, что свой API не системные порты нельзя вешать? Может образование подтянуть, тогда и позориться не придется
	Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

	67. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от пох (?), 11-Сен-17, 12:22
	> Разве она не делает то, что вы описали -- понижает привилегии после > присасывания к 80-му порту. jsvc-то делает, но как-то на удивление криво, нужна еще стройная система костылей и подпорочек. А по той, первой ссылке - ад, треш и кабздец, чтобы без нее обойтись (совсем уж ужасными костылями). Понятно, что я бы, в подобной жизни-катастрофе, вероятнее всего просто спрятал это уродище за nginx, оно еще от статридцатитрех болезней помогает, но и там придется побороться - оно ж (точнее, то что на нем накодят) захочет реальных ip, или еще какой муры, совершенно не умея стандартных средств работы с проксями. Ну и от помянутых двух cve - ничем бы все равно не помогло - мой /root/.pron/ конечно, остался бы неукраденным, а таза банных - увы-с.
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	74. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 12:55
	> jsvc-то делает, но как-то на удивление криво, > нужна еще стройная система костылей и подпорочек. разъясните пожалуйста про костыли и подпорочки, мне для понимания надо > Ну и от помянутых двух cve - ничем бы все равно не помогло > - мой /root/.pron/ конечно, остался бы неукраденным, а таза банных - увы-с. спасет корректная архитектура приложения. Вот Ку объяснил: http://www.opennet.ru/opennews/art.shtml?num=47170#26
	Ответить | Правка | Наверх | Cообщить модератору

	80. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 11-Сен-17, 13:11
	>> jsvc-то делает, но как-то на удивление криво, нужна еще стройная система костылей и подпорочек. > разъясните пожалуйста про костыли и подпорочки, мне для понимания надо Ну, чёткого определения костыля вообще нету, обычно эти слова произносятся в зависимости от того, насколько было уязвлено "чувство правильной вещи" комментирующего. Но вообще понять его можно: человек видит, что для того, чтобы банально сбросить права после выполнения привилегированных операций, в JVM требуется аж целый супервизор и своя видоизменённая процедура запуска ява-машины. И человека от этого (естественно) трясёт.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 13:15
	)))))
	Ответить | Правка | Наверх | Cообщить модератору

	85. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 13:25
	А ведь вы правы. Многих после такого: http://radikal.ru/fp/rfy4trkjz5uoa начнет слегка потряхивать))))
	Ответить | Правка | К родителю #80 | Наверх | Cообщить модератору

	88. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 11-Сен-17, 13:36
	> А ведь вы правы. Многих после такого: > http://radikal.ru/fp/rfy4trkjz5uoa > начнет слегка потряхивать)))) Да ладно, это как раз-таки нормально. Тут хотя бы есть стопудово рабочий способ. :) А вот я недавно бился со сборкой Boost и Racket: так там в сборочных сценариях строчки вида CXX = g++ ${CXXFLAGS} ${OTHER_OPTS} Вот за такое хочется руки оторвать, когда у тебя в системе стоят несколько компиляторов разных версий. Причём в некоторых проектах, с которыми я сталкивался, ещё есть возможность вычленить эти места и заменить там g++ на $(CXX_SUBST), после чего выполнить CXX_SUBST=/usr/bin/g++-4.8 make -e, однако в вышеобозначенных двух такая хитрая мешанина из cmake/libtool, что у меня руки опускаются. Вот от этого -- реально трясёт. А от jsvc не трясёт. Это ещё более-менее. :)
	Ответить | Правка | Наверх | Cообщить модератору

	105. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+2 +/–
	Сообщение от пох (?), 11-Сен-17, 18:12
	> Вот за такое хочется руки оторвать, когда у тебя в системе стоят несколько компиляторов > разных версий. вообще-то _правильно_ установленный "компилятор разных версий" умеет переключаться ключиком -V, задаваемым, банально, в cflags. В данном случае -V 4.8 Авторы boost не вполне виноваты в том, что современные gcc собрать так, чтобы этот ключик работал и ничего другое при этом не сломалось в дистрибутиве - отдельное удовольствие. Но их детское удивление, что могут быть другие с++ кроме g, вообразить, конечно, можно.
	Ответить | Правка | Наверх | Cообщить модератору

	117. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+2 +/–
	Сообщение от Аноним84701 (ok), 11-Сен-17, 19:44
	>> Вот за такое хочется руки оторвать, когда у тебя в системе стоят несколько компиляторов >> разных версий. > вообще-то _правильно_ установленный "компилятор разных версий" умеет переключаться ключиком > -V, задаваемым, банально, в cflags. В данном случае -V 4.8 Приветствуем крионавта :) http://gcc.gnu.org/gcc-4.6/changes.html > GCC 4.6 Release Series > Changes, New Features, and Fixes > Caveats > The options -b <machine> and -V <version> have been removed because they were unreliable. Instead, users should directly run <machine>-gcc when cross-compiling, or <machine>-gcc-<version> to run a different version of gcc. >
	Ответить | Правка | Наверх | Cообщить модератору

	123. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от пох (?), 11-Сен-17, 20:07
	> Приветствуем крионавта ;) ну я же предупреждал, что не так прямо все легко. До 4.7.2 код еще с нами, afair, просто отключен, и, к счастью, его присутствие нужно только в собственно /usr/bin/g{cc,++} - если не новый-модный дистрибутив, велик шанс что там еще установлено что-то совместимое.
	Ответить | Правка | Наверх | Cообщить модератору

	109. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от Ordu (ok), 11-Сен-17, 19:02
	> Вот за такое хочется руки оторвать, когда у тебя в системе стоят несколько компиляторов разных версий. mkdir bin export PATH="`pwd`/bin;$PATH" ln -s /usr/bin/cool-c++-compiler ./bin/g++
	Ответить | Правка | К родителю #88 | Наверх | Cообщить модератору

	112. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от Аноним (-), 11-Сен-17, 19:31
	>> Вот за такое хочется руки оторвать, когда у тебя в системе стоят несколько компиляторов разных версий. > mkdir bin > export PATH="`pwd`/bin;$PATH" > ln -s /usr/bin/cool-c++-compiler ./bin/g++ Ну да. Ведь сделать "СXX ?= g++" отдельной строчкой сложно, пускай лучше пользователь мудохается с костылями.
	Ответить | Правка | Наверх | Cообщить модератору

	124. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от пох (?), 11-Сен-17, 20:09
	> Ну да. Ведь сделать "СXX ?= g++" отдельной строчкой сложно, пускай лучше > пользователь мудохается с костылями. канешна - это ж надо сообразить, из какого места модной аутолибульной хрени оно выползает (передаем пламенный привет последним чудесам в области "изобретем симэйк с квадратными колесами, ибо ниасилили даже документацию на него дочитать до середины" - там ты вообще никогда не найдешь это место. Кстати, помнится, буст как раз собирались куда-то туда мигрировать?)
	Ответить | Правка | Наверх | Cообщить модератору

	128. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от Анонимный Аналитек (?), 11-Сен-17, 20:47
	>> Ну да. Ведь сделать "СXX ?= g++" отдельной строчкой сложно, пускай лучше >> пользователь мудохается с костылями. > канешна - это ж надо сообразить, из какого места модной аутолибульной хрени оно выползает Да не нужно гадать. >>> так там в сборочных сценариях строчки вида >>> CXX = g++ ${CXXFLAGS} ${OTHER_OPTS} >> костыль с ln > "СXX ?= g++" отдельной строчкой сложно, пускай лучше пользователь мудохается Т.е. делать так нужно как раз в аутолибульной хрени. Или в генерированном симейком мейке.
	Ответить | Правка | К родителю #124 | Наверх | Cообщить модератору

	144. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от Аноним (-), 11-Сен-17, 22:31
	> канешна - это ж надо сообразить, из какого места модной аутолибульной хрени > оно выползает (передаем пламенный привет последним чудесам в области "изобретем симэйк > с квадратными колесами, ибо ниасилили даже документацию на него дочитать Похоже на описание meson'а, чтоли.
	Ответить | Правка | К родителю #124 | Наверх | Cообщить модератору

	119. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 11-Сен-17, 19:50
	>> Вот за такое хочется руки оторвать, когда у тебя в системе стоят несколько компиляторов разных версий. > mkdir bin > export PATH="`pwd`/bin;$PATH" > ln -s /usr/bin/cool-c++-compiler ./bin/g++ О! А вот это мне в голову не приходило. Завтра попробую, спасибо. :)
	Ответить | Правка | К родителю #109 | Наверх | Cообщить модератору

	218. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 22-Сен-17, 19:25
	>> Вот за такое хочется руки оторвать, когда у тебя в системе стоят несколько компиляторов разных версий. > mkdir bin > export PATH="`pwd`/bin;$PATH" > ln -s /usr/bin/cool-c++-compiler ./bin/g++ Увы, это не помогло. Помог вариант с user-config для bjam. Но на будущее этот костыль тоже буду иметь в виду. Пригодится для чего-нибудь. )
	Ответить | Правка | К родителю #109 | Наверх | Cообщить модератору

	219. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от Ordu (ok), 22-Сен-17, 21:08
	>>> Вот за такое хочется руки оторвать, когда у тебя в системе стоят несколько компиляторов разных версий. >> mkdir bin >> export PATH="`pwd`/bin;$PATH" >> ln -s /usr/bin/cool-c++-compiler ./bin/g++ > Увы, это не помогло. Помог вариант с user-config для bjam. > Но на будущее этот костыль тоже буду иметь в виду. Пригодится для > чего-нибудь. ) Хм... Очевидно мало было только симлинк на другой компилятор подсунуть, надо было ещё что-то. Но если это интересно, я могу порекомендовать глянуть в гентушный скрипт gcc-config[1], он перенастраивает все симлинки system-wide, с одной версии компилятора на другую. Это может быть в образовательных целях полезно, чтобы понять какие пути вообще важны, ну и практически тоже: вероятно, этот скрипт можно перелопатить, чтобы он без рутовских прав делал то же самое, играясь с переменными окружения и симлинками. [1] https://gitweb.gentoo.org/proj/gcc-config.git/
	Ответить | Правка | Наверх | Cообщить модератору

	220. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 23-Сен-17, 13:26
	> Но если это интересно, я могу порекомендовать глянуть в гентушный > скрипт gcc-config[1], он перенастраивает все симлинки system-wide, с > одной версии компилятора на другую. Хм. Перенастраивать все симлинки system-wide - это может быть и неплохо для последовательно работающего emerge, но на сборочном сервере такой фокус не прокатит: что, если начнут собираться одновременно два компонента, требующие разных версий тулкита gcc? Один или даже оба огребут. Но вообще да, посмотреть пути полезно. Я вижу, там надо ещё поправить путь к include-ам было как минимум. Но в любом случае спасибо. Хорошо знать, что можно и так, и эдак, и через плечо. Спасибо. )
	Ответить | Правка | К родителю #219 | Наверх | Cообщить модератору

	125. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Аноним (-), 11-Сен-17, 20:10
	> Boost > строчки вида Это где это в boost такое? Сколько раз собирал его кастомным компилятором, никаких проблем.
	Ответить | Правка | К родителю #88 | Наверх | Cообщить модератору

	129. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 11-Сен-17, 20:52
	>> Boost >> строчки вида > Это где это в boost такое? Сколько раз собирал его кастомным компилятором, > никаких проблем. Это какая-то дремучая версия буста, на которую завязались ряд наших компонентов, и которая мне досталась от предшественника.
	Ответить | Правка | Наверх | Cообщить модератору

	133. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от Аноним (-), 11-Сен-17, 21:20
	Старше 15 лет, что ли (или когда они bjam туда вкорячили)? Так и надо сразу уточнять, а то вон один тролль уже начал сочинять сказки про разработчиков буста, не знающих о существовании разных компиляторов.
	Ответить | Правка | Наверх | Cообщить модератору

	147. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от пох (?), 12-Сен-17, 00:21
	> уже начал сочинять сказки про разработчиков буста, не знающих о существовании разных > компиляторов. ну я рад услышать, что они хотя бы за пятнадцать лет догадались, но кому и пятнадцать-то лет назад могло придти в голову использовать гвоздем прибитое гнутое имя компилятора?
	Ответить | Правка | К родителю #133 | Наверх | Cообщить модератору

	151. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 12-Сен-17, 01:07
	> Старше 15 лет, что ли (или когда они bjam туда вкорячили)? Так > и надо сразу уточнять, а то вон один тролль уже начал > сочинять сказки про разработчиков буста, не знающих о существовании разных компиляторов. Хм. Мне думется, что ей лет 10-12, но bjam там кстати есть. UPD: нашёл версию в факлике index.html: 1.43.0 Значит, 2013го года.
	Ответить | Правка | К родителю #133 | Наверх | Cообщить модератору

	152. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+2 +/–
	Сообщение от Аноним (-), 12-Сен-17, 01:18
	Раз так, то он должен собираться bjam'ом, и компилятор можно задать через user-config: http://www.boost.org/build/doc/html/bbv2/overview/configurat...
	Ответить | Правка | К родителю #151 | Наверх | Cообщить модератору

	183. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 12-Сен-17, 15:24
	> Раз так, то он должен собираться bjam'ом, и компилятор можно задать через > user-config: http://www.boost.org/build/doc/html/bbv2/overview/configurat... Спасибо, попробую.
	Ответить | Правка | К родителю #152 | Наверх | Cообщить модератору

	217. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 22-Сен-17, 19:23
	> Раз так, то он должен собираться bjam'ом, и компилятор можно задать через user-config Спасибо! Собралось отлично с нужной версией компилятора! :)
	Ответить | Правка | К родителю #152 | Наверх | Cообщить модератору

	106. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от пох (?), 11-Сен-17, 18:13
	> Но вообще понять его можно: человек видит, что для того, чтобы банально > сбросить права после выполнения привилегированных операций, в JVM требуется аж целый > супервизор и своя видоизменённая процедура запуска ява-машины. И человека от этого не забудьте еще предусмотреть супервизор этого супервизора, а то оно умеет навернуться - впрочем, там, помнится, на роль этого чуда в штатных хауту назначен системде.
	Ответить | Правка | К родителю #80 | Наверх | Cообщить модератору

	141. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–3 +/–
	Сообщение от Аноним (-), 11-Сен-17, 22:00
	> не забудьте еще предусмотреть супервизор этого супервизора, а то оно умеет навернуться > - впрочем, там, помнится, на роль этого чуда в штатных хауту > назначен системде. В нем все это сделано и даже достаточно прилично. В Linux есть такая штука - watchdog. Если нет аппаратного, можно программный использовать, в ядре есть такая фича, хоть это и менее надежно. Аппаратный лучше, можно и оба сразу. Системд обязан дергать вачдог, для доказательства что он не помер. Остальные процессы которые он мониторит обязаны дергать системду, чтобы доказать что живые. Получается нормальная иерархия проверок, корень дерева иерархии в лучшем случае вообще на железке. В случае с аппаратным вачдогом система придет в нормальный вид даже при зависании ядра, поскольку железку не интересует причина по которой ее не обслужили вовремя. А вот как подобие этого делают без системды и с какими допущениями...
	Ответить | Правка | Наверх | Cообщить модератору

	214. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от freehck (ok), 16-Сен-17, 10:24
	> В нем все это сделано и даже достаточно прилично. В Linux есть > такая штука - watchdog. Если нет аппаратного, можно программный использовать, в > ядре есть такая фича, хоть это и менее надежно. Аппаратный лучше, > можно и оба сразу. > > Системд обязан дергать вачдог, для доказательства что он не помер. Остальные процессы > которые он мониторит обязаны дергать системду, чтобы доказать что живые. Получается > нормальная иерархия проверок, корень дерева иерархии в лучшем случае вообще на > железке. Вот же феерический бред. Нет, ну надо же! *Аппаратный* вачдог для мониторинга работы *процессов*! :) > В случае с аппаратным вачдогом система придет в нормальный вид > даже при зависании ядра, поскольку железку не интересует причина по которой > ее не обслужили вовремя. Системдешники такие наивные теоретизаторы, аж слеза наворачивается. :) А как же смена контекста в планировщике? Как же IO, как же сеть? :) > А вот как подобие этого делают без системды и с какими допущениями... А в мире без системды считается, что программы падать не должны, и если они постоянно падают -- то эти программы плохие, и их выкидывают. А supervise (в ваших терминах -- watchdog) используется в исключительных случаях для крайне ненадёжных программ, которые выкинуть не получилось в силу обстоятельств.
	Ответить | Правка | Наверх | Cообщить модератору

	45. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 10:24
	Если я все правильно понимаю, то они это делают вот так: https://github.com/apache/commons-daemon/blob/6702852984689b...
	Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

	212. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от Аноним (-), 16-Сен-17, 02:28
	>[оверквотинг удален] > этот линк как раз демонстрирует их полную беспомощность - от советов запускать > через прокси, до совершенно безобразного сетуид-скрипта (который вообще неясно, зачем > нужен - ну мышление жабоедов логике неподвластно), запускающего от рута шелл-скрипты > томкэта (обосраться и не жить, вот это секьюрити)! > А понизить привиллегии после присасывания к 80-му порту, как делают все нормальные > программы - нет, это не жабий метод. > Впрочем, действительно, и зачем? У сервера кредитного бюро хоть от какого пользователя > его запусти, есть доступ к данным кредитного бюро. А больше ничего > и не надо. Можно даже автосливалку этих данных с удобствами написать > на жабе-ee, а чо, прикольно. Т.е. по вашему это джависты сервер приложений на проде запускают? Сишник?
	Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

	40. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от freehck (ok), 11-Сен-17, 09:59
	> В новости линк же есть Спасибо, поржал. Особенно над suid-ником. Не, всё правильно: запускать-то из-под юзера можно будет. Правда, работать он будет под рутом, ну да пофиг же, кому какое дело! Нет, правда, до такой феерической тупости ещё додуматься надо. :) PS: И это в HowTo на wiki.apache.org :)
	Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

	43. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 10:06
	Да, нет же. Работать оно будет под непривилегированным пользователем: http://joxi.ru/12M1MRlH41bZ82 Скажите где у меня ошибка в рассуждениях.
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от freehck (ok), 11-Сен-17, 10:29
	Ваша ошибка в том, что я говорю о варианте с suid-ником, а Вы -- о варианте с jsvc.
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 10:35
	Извините, я действительно не уточнил, что говорил про использование стартера jsvc Если вам не сложно, прокомментируйте пожалуйста вариант с jsvc. Насколько по вашему мнению такой подход корректен? Можно ли лучшее решение найти? Я, к примеру, считаю что лучше всего использовать вариант: - A another way is to use Iptables to redirect Port 80 and 443 to user ports (>1024) * /sbin/iptables -A FORWARD -p tcp --destination-port 443 -j ACCEPT * /sbin/iptables -t nat -A PREROUTING -j REDIRECT -p tcp --destination-port 443 --to-ports 8443 * /sbin/iptables -A FORWARD -p tcp --destination-port 80 -j ACCEPT * /sbin/iptables -t nat -A PREROUTING -j REDIRECT -p tcp --destination-port 80 --to-ports 8080 /sbin/iptables-save or /etc/init.d/iptables save If you'd like "localhost:443" to also redirect to "localhost:8443", you'll need this command as well: * /sbin/iptables -t nat -A OUTPUT -p tcp -o lo -destination-port 443 -j REDIRECT --to-ports 8443 Also note that if you have existing rules defined in your chains, you will need to make sure that the rules above are not ruled-out by another rule when using -A to add the above rules. For example, if you have an existing FORWARD rule that says "-j REJECT" than adding the FORWARD rule after it will have no effect.
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от freehck (ok), 11-Сен-17, 10:58
	> Извините, я действительно не уточнил, что говорил про использование стартера jsvc > Если вам не сложно, прокомментируйте пожалуйста вариант с jsvc. Прокомментировал в #49. > Насколько по вашему мнению такой подход корректен? Он корректен не всегда, потому что форсирует демонизацию процесса. > Я, к примеру, считаю что лучше всего использовать вариант Да, мы сейчас для наших явовских демонов так и поступили. > Можно ли лучшее решение найти? Я собственно в #29 и спрашивал, почему у явистов такие проблемы со сбрасыванием привилегий. Лучшего решения пока не нашли, что поделать.
	Ответить | Правка | Наверх | Cообщить модератору

	46. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 10:25
	Вот ссылка на исходник, где они устанавливают id: https://github.com/apache/commons-daemon/blob/6702852984689b... Вы считаете, что они это делают некорректно? Если так, то приведите пожалуйста свой вариант.
	Ответить | Правка | К родителю #40 | Наверх | Cообщить модератору

	211. "Уязвимость в Apache Struts стала причиной утечки персональны..."	–1 +/–
	Сообщение от Аноним (-), 16-Сен-17, 02:26
	>> Вина java здесь в том, что она просто-напросто не может творить чудеса > Кстати, может хоть вы мне объясните, почему Java-программисты испытывают затруднения с > тем, чтобы, запустившись, сбросить права до нужных? > Java-то не может творить чудеса, но программист на то и программист ведь. Объясняю - никаких затруднений ибо java здесь абсолютно ну никаким боком. Да не их это зона ответсвенности. А чюдеса творит не java и не с, а человек. И портачат точно так же люди. А так хочется быть умным по определению, потому что с. И автоматом пинать тех кто не согласен. Довольно убогий подход. Вам не кажется?
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

	31. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+1 +/–
	Сообщение от zanswer CCNA RS and S (?), 11-Сен-17, 09:05
	Эм, а какое отношение сетевой администратор имеет к root на сервере?
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	33. "Уязвимость в Apache Struts стала причиной утечки персональны..."	+/–
	Сообщение от dwfe (ok), 11-Сен-17, 09:14
	Ну, хорошо, замените "сетевой администратор" любым другим устраивающим вас текстом, который идентифицирует должностное лицо, ответственное за вцелом работоспособность операционной системы компьютера, на котором запущен сервер Tomcat.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема