Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

77% из 433 тысяч изученных сайтов использую уязвимые версии ..., opennews (?), 23-Ноя-17, (0) [смотреть все] Потому что в вебе всё работает на хоть бы прокатило и если там хоть что-то обн, Аномномномнимус (?), 13:09 , 23-Ноя-17, (1) +37 // почему это именно в вебе , нах (?), 13:11 , 23-Ноя-17, (3) +2 // Потому что в вебе если что-то сломалось, народ узнаёт об этом в последнюю очеред, Аномномномнимус (?), 13:32 , 23-Ноя-17, (5) +3 // Нет совместимости, переходите на новую версию, это и есть прогресс Если бы в жи, Аноним (-), 14:13 , 23-Ноя-17, (12) –8 Ок, давай перенесём твой посыл в любимую тобой терминологию колёс Были колёса 23, Аномномномнимус (?), 15:52 , 23-Ноя-17, (17) +5 Если бы в жизни было все как в вебе, то каждый месяц очередная версия колеса объ, Аноним84701 (ok), 16:11 , 23-Ноя-17, (20) +6 а что в linux kernel не так , Аноним (-), 16:52 , 23-Ноя-17, (21) –5 Нет Если продолжить аналогию с колесами, то в колесе могут произойти внутренние, angra (ok), 22:17 , 23-Ноя-17, (31) +4 Так, но темп не тот и есть более-менее железная рука Линус, редхат, интересы , gaga (ok), 22:35 , 23-Ноя-17, (33) Так, но темп не тот и есть более-менее железная рука Линус, редхат, интересы , gaga (ok), 22:35 , 23-Ноя-17, (34) Ну, блин, поменять ядро 3 15 на 4 14 я могу И даже ничего не сломается А если , Аноним (-), 07:00 , 24-Ноя-17, (39) это потому, что на самом деле оно не 4 14 , а 2 7 4 14 ну, ок, может 2 8 А при, Аноним (-), 12:55 , 25-Ноя-17, (56) Ты за обновление и поддрержку всех этих тыщ сайтов готов заплатить Нет Опычно п, ввв (?), 15:45 , 23-Ноя-17, (16) –2 Видимо поэтому вебдевелоперам меньше платят, т к поддерживать всё равно не смог, Аномномномнимус (?), 15:53 , 23-Ноя-17, (18) +4 Да просто на одеске и проч уже полно индусов, готовых делать все и вся за 10 бак, Аноним (-), 07:03 , 24-Ноя-17, (40) –1 во-первых одеска давно нет во-вторых индусы, которые делают за_бись и просят за, user455 (?), 21:03 , 24-Ноя-17, (53) –2 Розовые мечты вэбмакаки , Аноним (-), 15:55 , 23-Ноя-17, (19) Да ладно, рубильщики никогда про обратную совместимость не слышали, так что скор, Аноним (-), 13:26 , 23-Ноя-17, (4) +2 Причем тут виртуаленв Просто на поддержке сайта должны работать инженеры, котор, dep (?), 21:31 , 23-Ноя-17, (29) Если бы строители строили дома также как программисты пишутпрограммы, то первый , Аноним (-), 11:59 , 24-Ноя-17, (47) хмг, узнал что существует каталог методов атаки на уязвимости, который называетс, бивис (?), 13:11 , 23-Ноя-17, (2) +1 Гхм, большинство уязвимостей в jQuery - это когда пользователю дают возможность , mickvav (?), 13:33 , 23-Ноя-17, (6) +6   // если ты уже нашел xss, тебе не должно быть очень важно, уязвима ли та версия jqu, нах (?), 14:37 , 23-Ноя-17, (13) –3   Признаться, был уверен, что во фронтенде может быть только одна уязвимость А име, тоже Аноним (ok), 13:40 , 23-Ноя-17, (7) +1 // Тем не менее, частенько все получается как с коммунальными службами и ежегодным,, Аноним84701 (ok), 15:41 , 23-Ноя-17, (15) +1 А слить твои данные на сторону заходя на сервер это не уже не уязвимость It s s, Stop (?), 16:59 , 23-Ноя-17, (22) // Понимаю, растопыренными пальчиками писать неудобно Но я предпочел бы увидеть опи, тоже Аноним (ok), 18:24 , 23-Ноя-17, (24) –2 // Ну ты же большой мальчик, возьми и загугли XSS и CSRF или просто пройди по ссылк, angra (ok), 22:31 , 23-Ноя-17, (32) Я, видимо, недостаточно большой мальчик, чтобы нагуглить, как можно защититься о, тоже Аноним (ok), 08:11 , 24-Ноя-17, (42) Аналогично Всегда можно поправить так, чтобы конкретно у тебя загрузилась модифи, Аноним (-), 05:48 , 24-Ноя-17, (37) –1 Странно, что только 77 , если учитывать, как делается большинство сайтов - орган, Аноним (-), 13:52 , 23-Ноя-17, (9) +3 // А в нашу эпоху главное, что Чтобы все участвующие чего-нибудь поимели не исклю, 0x0 (?), 14:11 , 23-Ноя-17, (11) –4 Сколько заплатили, столько и получили Пилить крутой и правильный продакшон оно,, Ордоним (?), 21:11 , 23-Ноя-17, (26) –1 // Кто ж вас научит делать правильный прод опять все построите на костылях и синей, ДевопсЛокалхостаКубернетыОпенстеки (?), 21:18 , 23-Ноя-17, (27) // Да разрабы есть, но вот аналитиков нанимать не принято, между бизнесом и технаря, Аноним (-), 21:26 , 23-Ноя-17, (28) –1 уязвимые версии еще ладно ,вы лучше вспомнити как отвалилась полинтернета после , Аноним (-), 14:06 , 23-Ноя-17, (10) // Бесконтрольный апдейт с хипстерских реп - вообще зло и ц , animonous (?), 22:16 , 23-Ноя-17, (30) С вами забудеш, Аноним (-), 05:49 , 24-Ноя-17, (38) Потому что, как написано в статье http www opennet ru opennews art shtml num 4, Аноним (-), 22:41 , 23-Ноя-17, (35) +3 Вот чёт реально не понял в js можно наклеить уязвимостей Где можно почитать , Аноним (-), 02:28 , 24-Ноя-17, (36) –2 Что значит уязвимые JS-библиотеки Если смогли что-то написать на JS, что став, EuPhobos (ok), 07:37 , 24-Ноя-17, (41) –1 Объясните чем страшна уязвимость в клинтской библиотеке Она же все одно на клие, Аноним (-), 10:14 , 24-Ноя-17, (43) –2 // Например, можно выполнить от имени пользователя действия, которые он не собиралс, Аноним (-), 10:38 , 24-Ноя-17, (44) // Джентльмены, давайте не витать в теориях Предположим, что здесь, на Опеннете, ис, тоже Аноним (ok), 11:28 , 24-Ноя-17, (46) –1 // Как вы могли заменить, у некоторых комментариев есть кнопка развернуть Допусти, ойой (?), 16:13 , 24-Ноя-17, (50) +2 Прошу прощения, кнопка выглядит как показать , а не развернуть , ойой (?), 16:14 , 24-Ноя-17, (51) +1 Какой же дурак делает экранирование - на клиенте То есть первый же бот, посылаю, тоже Аноним (ok), 17:08 , 24-Ноя-17, (52) +1 API, REST Нет, не слышал Задаю наводящий вопрос И от чьего же имени сможет на, angra (ok), 00:33 , 25-Ноя-17, (54) И какое сколь угодно RESTFUL API требует от вас, приняв произвольный комментарий, тоже Аноним (ok), 12:14 , 25-Ноя-17, (55) Если у апологетов уязвимостей в на фронтенде закончились аргументы, то даже не с, Аноним (-), 09:02 , 26-Ноя-17, (60) но ведь для этого нужно как то войти в клиента как это сделать если в код на се, anonymous (??), 13:50 , 24-Ноя-17, (48) А на клиенте что, воровать нечего Явки пароли, например С которыми уже идти на, Аноним (-), 10:46 , 24-Ноя-17, (45) // как зайти на клиента если ничего нового в том что лежит на сервере не добавить , anonymous (??), 13:56 , 24-Ноя-17, (49) Меня одного шокирует сложившая сегодня ситуация, что недостаточно образованные в, Аноним (-), 15:46 , 25-Ноя-17, (57) Я, как и многие тут, не понимаю про опасность уязвимостей фронтенд библиотеках , Аноним (-), 08:47 , 26-Ноя-17, (59) // Атака на фронтэнд, это не атака на сервер инфраструктуру проекта, а атака на пол, Аноним (-), 20:22 , 26-Ноя-17, (62) // Но ведь XSS всегда экранируется на сервере Не придет ничего клиенту Хорошо, доп, Аноним (-), 21:03 , 26-Ноя-17, (63) Дело не вот что программисты не хотят переходить на новые версии А дело в том чт, qwerty_qwerty1 (?), 13:32 , 26-Ноя-17, (61) 1,2,6,7,9,10,35,36,41,43,57,59,61

Сообщения

[Сортировка по времени | RSS]

6. "77% из 433 тысяч изученных сайтов использую уязвимые версии ..."	+6 +/–
Сообщение от mickvav (?), 23-Ноя-17, 13:33
Гхм, большинство уязвимостей в jQuery - это когда пользователю дают возможность запихать от имени сервера какую-нибудь бяку в вызовы самого jQuery (происходящие от имени другого пользователя). То есть уязвим не сам jQuery как таковой, а приложение, которое его криво использует. А версии в которых такие "уязвимости" устранены - это когда авторы jQuery подложили соломки таким горе-разработчикам в конкретном месте. Но тут есть два момента - 1) Если люди не следят за содержимым переменных в jQuery, они и во всех остальных местах не следят, значит после обновления jQuery уязвимости скорее всего еще останутся. 2) Написать универсальный эксплоит под это дело крайне сложно - нужно в каждом сайте искать XSS, заточенный под эту дырку. И его может не найтись. Так что ценность результатов этого исследования, мягко говоря, сомнительная - из попадания сайта в список не следует наличия уязвимости в сайте.
Ответить | Правка | Наверх | Cообщить модератору

	13. "77% из 433 тысяч изученных сайтов использую уязвимые версии ..."	–3 +/–
	Сообщение от нах (?), 23-Ноя-17, 14:37
	> Написать универсальный эксплоит под это дело крайне сложно - нужно в каждом сайте искать XSS, > заточенный под эту дырку. если ты уже нашел xss, тебе не должно быть очень важно, уязвима ли та версия jquery - надо просто загрузить свою ;-) ну и в общем, да - уязвимости-то по сути ни разу не в jquery, а в кривом коде, ее использующем. Иначе все, чего добился бы кульхакер - сломать собственную сессию.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема