| 1.1, ананим (?), 10:49, 28/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
не, народ, вы конечно комменты режете, но реально из-за некорректной проверки какого именно скрипта - пыхпых, jsp, что?
а то такое чувство складывается из названия, что взломали сам мускуль, а там - скрипты и быдлокодинг.
| | |
| |
| 2.2, uZver (??), 10:53, 28/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
JSP не является скриптом. Плюс обычно (если прочитали как програть на java) JSP ходят в БД через prepareStatement или JPA. и то и другое работают без конкатенации запроса, а значит SQL-inject им не светит.
PS только архитектор мешает бывшим PHP-кодерам писать так же на JSP.
| | |
| |
| 3.3, ананим (?), 11:20, 28/03/2011 [^] [^^] [^^^] [ответить]
| +5 +/– |
бросьте, писать быдло-код не может помешать любой язык, будь то php или java.
и не нужно такого снобизма. ибо ынтырпрайзный код я тоже насмотрелся.
хотите скажу какой пароль у ключа, подписывающего jar от oebs? :D
зыж
>JSP (JavaServer Pages) — технология, позволяющая веб-разработчикам легко создавать содержимое, которое имеет как статические, так и динамические компоненты. По сути, страница JSP является текстовым документом, который содержит текст двух типов
можете НЕ называть это скриптом, ради бога, я не возражаю. но если чё, то пыхпых-скрипты тоже можно скомпилить.
хотя для простоты общения я всё равно назову их скриптами.
ззыж
>Плюс обычно (если прочитали как програть на java) JSP ходят в БД через prepareStatement
что не мешает генерить строку запроса динамически, не так ли? :D
| | |
| |
| 4.4, Аноним (-), 13:28, 28/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> бросьте, писать быдло-код не может помешать любой язык, будь то php или java.
Если задаться целью, то да, отвратительный код достижим на любом языке. Вот только быдлокодеры не специально пишут код с инъекциями - у них это получается без всякого труда, и, соответственно, иногда их достаточно пересадить на более вменяемый язык или платформу. В пых-пыхе до сих пор некоторые используют mysql_query (), поскольку иной удобной искоробочно-доступной альтернативы просто нет
| | |
| |
| 5.5, ананим (?), 13:33, 28/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– | |
>Вот только быдлокодеры не специально пишут код с инъекциями - у них это получается без всякого труда, и, соответственно, иногда их достаточно пересадить на более вменяемый язык или платформу.
одним словом - бред.
| | |
| 5.7, Dmitry (??), 13:40, 28/03/2011 [^] [^^] [^^^] [ответить]
| +4 +/– |
 Изкаробочная альтернатива в PHP - PDO.
В Java кроме PreparedStatement есть еще и Statement, который при неумелом использовании может приводить к SQL Injection.
| | |
| |
| 6.21, uZver (??), 17:59, 28/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Изкаробочная альтернатива в PHP - PDO.
> В Java кроме PreparedStatement есть еще и Statement, который при неумелом использовании
> может приводить к SQL Injection.
Для любителей пристрелить себя из каропки есть JPA - пользуйте его для SQL injection.
| | |
| 6.34, Sw00p aka Jerom (?), 23:10, 28/03/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
 а вы хоть понимаете ваще для чего нужны препарации запроса ? да правильно чтобы 10 раз не парсить 10 запросов а подставлять значения (хорош для инсертов и апдейтов). имхо для обычного селекта - накладные расходы
| | |
|
|
| 4.10, klalafuda (?), 14:37, 28/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> что не мешает генерить строку запроса динамически, не так ли? :D
Если человек так сильно хочет прострелить себе ногу - ничто не сможет его остановить.
| | |
| |
| 5.11, ананим (?), 14:49, 28/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
именно.
зыж
я понимаю, сей инцидент есть крЮтой повод провести маркетинговые пляски и пропиарить то или иное решение (прадон, платформу!!! и никак иначе :D).
а реальность такова - слабые знания, слабый аудит кода и банальная халатность.
то что маркетологи (уже после внедрения ПЛАТФОРМЫ) называют скромно - человеческий фактор, что же вы хотите?.
| | |
| 5.19, User294 (ok), 17:55, 28/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
 > Если человек так сильно хочет прострелить себе ногу - ничто не сможет
> его остановить.
Быдлокодер не хочет стрелять именно себе в ногу осознанно. Он просто пишет код, не думая о том что кто-то может мыслить чуть креативнее чем сам быдлокодер с его полутора извилинами и поэтому внешние данные могут содержать очень странные значения :).
| | |
|
| 4.20, uZver (??), 17:58, 28/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> Плюс обычно (если прочитали как програть на java) JSP ходят в БД через prepareStatement
> что не мешает генерить строку запроса динамически, не так ли? :D
Это как С++ мне выдал, что в java можно получить утечку памяти - создать статический указатель на список и бесконечно его заполнять =)))
| | |
|
| 3.6, AlexAT (ok), 13:37, 28/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
 Вот так обрезают доступный функционал - а потом удивляются, почему их "ентерпрайзное" поделие ворочается в 100500 раз медленнее нормальными руками написанного кода.
А быдлокодеров надо просто к коду не пускать, и все будет хорошо.
| | |
| |
| 4.22, uZver (??), 18:02, 28/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Как раз java и подходит для быдло-кодеров. Один грамотный надсмотрщик-архитектор и 10-к кодеров пишут работающий софт.
| | |
|
| 3.42, rihad (?), 10:41, 29/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> JSP не является скриптом.
Скриптом называется код, который на лету интерпретируется в машинный код целевого железа (неважно, через промежуточный байткод для скорости или без него), и *.jsp файлы на x86 или amd64 именно это из себя и представляют.
| | |
|
|
| 1.9, crypt (??), 13:50, 28/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
новость закономерная. лично я уже давно успел подивиться, что они используют fedora и прочее барахло.
| | |
| |
| 2.12, ананим (?), 14:52, 28/03/2011 [^] [^^] [^^^] [ответить]
| +3 +/– |
вот из-за таких скороспелых аналитегов такие сабжы в основном и случаются кстати.
зыж
странно что новость не назвали "взлом федоры с селинухом".
такое название имело такое же право на существование как и текущее.
| | |
| |
| 3.13, crypt (??), 16:08, 28/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Дело не в том, что "Федору сломали", а в том, что люди, которые ставят ее на сервера и в других местах налажают. Народная мудрость подтвердилась.
| | |
| |
| 4.14, ананим (?), 16:34, 28/03/2011 [^] [^^] [^^^] [ответить]
| +3 +/– |
сори, но бред.
тем более что ставят федору одни, а скрипты на пыхпыхе уж точно пишут совсем другие.
сомневаюсь что этот сиквел-инжекшн сам собой бы затянулся, если бы стоял к примеру на соляре. ну а винду бы сломали ещё до обнаружения этой дырки.
| | |
| |
| 5.15, crypt (??), 17:11, 28/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
В крупных компаниях есть должности, на которых утверждают весь стек технологий и одобряют конкретные решения. Это не так что программер сказал: PHP! Админ: Fedora! Они пожали друг другу руки и стало так.
| | |
| |
| 6.16, crypt (??), 17:15, 28/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
То есть кто-то а) нанял админа, который поставил Fedora и не заморачивался обновлением и б) программера, который написал плохой код.
Ну и еще мне странно, почему они правда родной Solaris не поставили. Это мягко говоря странно.
| | |
| 6.17, ананим (?), 17:29, 28/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
ну и кто утверждает этот стэк? :D
ведь вы так и не сказали.
а реально утверждает архитект, которому подчиняется тот программер и еще толпа, и начальник управления тех поддержки, которому подчиняется тот админ и еще толпа.
и это кончно кардинально меняет дело. :D
зыж
так заросла бы (или рассосалась) сия дыра на соляре (или rhel) или нет?
или тут бы последовал следующий аргумент вида "надо было этот сиквел-инжекшион делать на жа.. впрочем подставить очередную панацею".
| | |
| |
| 7.18, ананим (?), 17:31, 28/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
а да! забыл еще один аргумент!
надо было делать не на быдло-мускуле, а на оракле или дб2.
| | |
| |
| 8.23, uZver (??), 18:08, 28/03/2011 [^] [^^] [^^^] [ответить] | –2 +/– | нет никакой разницы - взлом прошел через PHP и его базовые либы Для java либы с... текст свёрнут, показать | | |
| |
| 9.28, ананим (?), 19:08, 28/03/2011 [^] [^^] [^^^] [ответить] | +/– | вы уверены что такое sql-injection или думаете на жабе нельзя написать прогу та... текст свёрнут, показать | | |
| |
| |
| |
| |
| 13.43, uZver (??), 10:43, 29/03/2011 [^] [^^] [^^^] [ответить] | +/– | использовать prepareStatement и передавать параметры как параметры Или использо... текст свёрнут, показать | | |
|
|
|
| 10.32, uZver (??), 20:22, 28/03/2011 [^] [^^] [^^^] [ответить] | +/– | да, вы правы PHP кодеров не стоит брать в качестве разработчика попробуйте про... текст свёрнут, показать | | |
| |
| |
| 12.47, xwrs (ok), 11:10, 29/03/2011 [^] [^^] [^^^] [ответить] | +/– |  да на пхп легче писать большие обьемы кода для маленьких программ Для сравнени... текст свёрнут, показать | | |
|
|
|
| |
| 10.44, uZver (??), 10:50, 29/03/2011 [^] [^^] [^^^] [ответить] | +/– | DAO, DTO, Services и т п Вы не работали в javaEE проектах, потому и не въехали ... текст свёрнут, показать | | |
| |
| |
| 12.60, Alex (??), 16:35, 29/03/2011 [^] [^^] [^^^] [ответить] | +/– | Это делается так с помощью PDO sql DELETE FROM SomeTable WHERE record_id IN... текст свёрнут, показать | | |
|
|
|
|
| |
| 9.27, ананим (?), 19:00, 28/03/2011 [^] [^^] [^^^] [ответить] | +/– | заметь, ломают сайты и на дотнетах, и на жабе и для меня это давно не новость н... текст свёрнут, показать | | |
|
|
|
|
|
|
|
|
|
