Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в KDE, позволяющая выполнить код при подключении ..., opennews (?), 08-Фев-18, (0) [смотреть все] Принцип ДЖО работает, iPony (?), 13:05 , 08-Фев-18, (1) –2 // Что за принцип , йух (?), 13:26 , 08-Фев-18, (3) // Принцип неуловимости - мало пользователей, мало иследователей на безопасность, и, iPony (?), 13:35 , 08-Фев-18, (5) +5 noexec работает, а Джо отдыхает , Аноним (-), 14:26 , 08-Фев-18, (13) –5 // Сделай noexec на все скрипты и попробуй перезагрузиться в граф режим , Аноним (-), 14:34 , 08-Фев-18, (17) –2 Против этого не помогло бы, iPony (?), 14:34 , 08-Фев-18, (18) +5 Шо правда у тебя bin bash не запускается , Эноним (?), 14:36 , 08-Фев-18, (19) noexec головного мозга запущенный случай , Нанобот (ok), 15:47 , 08-Фев-18, (29) +8 На корень noexec что ли, гений touch из примера у тебя где, ноекзекер, ммм Ты, Аноним (-), 17:48 , 08-Фев-18, (50) // Во fstab, естественно, как опцию монтирования sd , соответствующих съемным накоп, Аноним (-), 18:02 , 08-Фев-18, (53) –3 Очевидно не поможет Исполняется содержимое метки тома средствами кед , Аноним (-), 00:03 , 09-Фев-18, (87) +1 Вопрос, по метке ли оно его цепляет или как-то иначе, и что первично монтирован, Аноним (-), 01:14 , 09-Фев-18, (92) Хомяк от записи защищать бесполезно, но с noexec монтировать - вполне , Аноним (-), 18:04 , 08-Фев-18, (56) –1 тю, что за чушь, Кеды юзает много населения , Fantomas (??), 13:14 , 09-Фев-18, (101) Да ладно и хвалёный C не помог , Аноним (-), 13:25 , 08-Фев-18, (2) –2 // А что, хвалёный кастрированный Раст помог бы Сейчас выявят уязвимость в дизайне, Аноним (-), 13:31 , 08-Фев-18, (4) –5 // 171 Не читал, но вижу знакомые слова и сходу бросаюсь в газовую атаку 187 , Аноним (-), 14:23 , 08-Фев-18, (12) +7 Сейчат выявят Уже вот-вот Почти Еще на пол карасика Ну еще чуточку Более , Аноним (-), 14:30 , 08-Фев-18, (14) // Лучший -- не лучший, а раз уж 80 занял, значит очень даже неплохой , A.Stahl (ok), 14:48 , 08-Фев-18, (21) Люди выбирают не то что хорошее или лучшее а то что werks, slump64 (ok), 16:04 , 08-Фев-18, (30) +1 Хорошее это как раз то, что работает То, что не работает, хорошим быть ен может, A.Stahl (ok), 16:12 , 08-Фев-18, (31) +1 Хорошо это то что хорошо работает А werks это Винда Все забывают про 100500 пр, slump64 (ok), 16:14 , 08-Фев-18, (32) Все забывают про 100500 проблем винды потому что вне винды этих проблем еще боль, Анончик (?), 16:21 , 08-Фев-18, (34) А теперь к ПХП Все забывают про проблемы ПХП потому что во всех остальных решен, slump64 (ok), 16:23 , 08-Фев-18, (35) Ну это я про неосиляторство Лично у меня после 3х лет дрочни всё заработало в л, slump64 (ok), 16:25 , 08-Фев-18, (36) Главный прикол всех без исключения современных систем состоит в том, что как т, А (??), 08:14 , 09-Фев-18, (100) А что, это плохо Я же вроде не сисадминю, мне параноить не о чем Плюс я не на , slump64 (ok), 14:31 , 09-Фев-18, (102) Ract нужен Должны же где то рукожопы ютится А нормальные программисты с прямым, Аноним (-), 19:49 , 08-Фев-18, (72) Rust , Аноним (-), 19:51 , 08-Фев-18, (73) В таких случаях помогает только понимание, что отвызовов шелла лучше вообще возд, Crazy Alex (ok), 13:48 , 08-Фев-18, (7) +3   // А без котылей на баше что то кроме busybox сможет работать Костыли на баше это с, Аноним (-), 14:32 , 08-Фев-18, (15) –1   // Может всётаки на sh е А нет, правда, в sh нынче не умеют не знают, что он есть, Аноним (-), 15:15 , 08-Фев-18, (26) +2   А зачем нынче уметь в sh Чай, не PDP-9 Другое дело, что шелл - это вообще дурн, Crazy Alex (ok), 16:31 , 08-Фев-18, (38) –5   совместить ЯП и язык оператора Сколько лет шеллу - столько и флэймят Ну а что, _ (??), 19:31 , 08-Фев-18, (65) +1   Ну например шел в разы быстрее баша time bash -c LIL 0 while LIL -lt 100, VINRARUS (ok), 19:34 , 08-Фев-18, (67) –1   sh 8212 это как правило то, на что симлинк укажет Зачастую bash, а кое-где d, Аноним (-), 20:03 , 08-Фев-18, (75) +1   Хотя бы затем, чтобы в system башизмы не пихать Да, я знаю, что system не н, Аноним (-), 19:55 , 08-Фев-18, (74)   Шелл, по-вашему, всё это святым духом делает Разумеется, есть возможность до вс, Crazy Alex (ok), 16:29 , 08-Фев-18, (37)   а вот когда системд избавляется от вызовов шела через инит д - сколько бухтения , J.L. (?), 17:22 , 08-Фев-18, (46) –2   // Ты настолько глуп что не втыкаешь _за_что_ на системду бухтят бывает , _ (??), 19:33 , 08-Фев-18, (66) +1   лучше воздерживаться от программирования, если ты _даже_ расставить кавычки вокр, пох (?), 17:37 , 08-Фев-18, (48)   От вызовов шелла -- да Если очень хочется вызвать внешнюю утилиту, то fork exec, Ordu (ok), 01:40 , 09-Фев-18, (94)   А вот в Rust такого не было бы https doc rust-lang org std process struct Comm, Нет ты (?), 22:55 , 08-Фев-18, (84) а лет 10-15 назад над масдаем ржали с его флешками и сделали так же , anonimous (?), 13:39 , 08-Фев-18, (6) +2 // В Винде это официально считалось фичей и её долго и упорно не хотели закрывать , Онаним (?), 14:04 , 08-Фев-18, (8) +4 Ну там такого уровня элементарщины не было, iPony (?), 14:05 , 08-Фев-18, (9) // Ну autorun exe на флешке не умнее нисколько А вякие котики avi exe до сих пор не, Эноним (?), 14:38 , 08-Фев-18, (20) // Это что такое Возможность пользователю запустить самому бинарник с флешки , iPony (?), 14:50 , 08-Фев-18, (22) Именно Притом дае не догадываясь о том, что вместо видео с котиками там скринло, Аноним (-), 16:59 , 08-Фев-18, (44) +1 Это раньше они гомониграм назывались А сейчас - иПонями , Аноним (-), 19:06 , 08-Фев-18, (62) +1 Уточните, какие именно Тот давний баг с юникодом right to left , вроде бы ок, Аноним84701 (ok), 17:39 , 08-Фев-18, (49) Пробелы до упора не нужны Расширения по умолчанию в шиндошс скрыты Просто кот, Аноним (-), 00:09 , 09-Фев-18, (88) Действительно, autorun ini написать, да ещё бинарь подложить 8212 это тебе не, Аноним (-), 14:55 , 08-Фев-18, (23) –1 // А да, точно Что-то я совсем от делов вендовых отвык Действительно позор-позоров, iPony (?), 15:17 , 08-Фев-18, (27) –2 Там же вроде все возможные грабли собрали начиная с дискет и врубанием авторана , Аноним84701 (ok), 18:07 , 08-Фев-18, (57) +1 И на самом деле, это довольно смешно https standards freedesktop org autosta, iPony (?), 07:15 , 09-Фев-18, (98) В винде бы даже не почесались 20 лет висела бы, а то и больше , Иннокентий Четвертый (?), 14:11 , 08-Фев-18, (10) +3 // Так были же пробивки и не раз в превьюшках И да, их и использовали для заражени, iPony (?), 14:55 , 08-Фев-18, (24) –2 Только вышла и уже нашли дырки , Аноним (-), 16:16 , 08-Фев-18, (33) // Как раз только вышла кде 5 12 и дырки закрыла а кде 5 8 - где уязвимость была, Анон8765435 (?), 16:37 , 08-Фев-18, (39) +1 у всего есть дырки Даже у тебя , Аноним (-), 16:46 , 08-Фев-18, (41) Кто-нибудь, скажите как отключить этот долбучий попап, который вылезает из панел, Онаним (?), 16:43 , 08-Фев-18, (40) // Вот тебе и пресловутая хваленая настраиваимасть и гипкасть , Аноним (-), 16:47 , 08-Фев-18, (42) +2 // это всё сказочки для девочек с поняшками настоящая гибкость и настраиваемость -, linus (?), 17:57 , 08-Фев-18, (52) +1 Ответьте кто-нибудь, а Прочитал и понял, что меня это тоже достало уже , rrr (?), 20:58 , 08-Фев-18, (77) Что-то в духе,1 правой кнопкой мыши в System Tray Settings и убрать флаг с Devi, 0x0 (?), 03:04 , 09-Фев-18, (96) Думал перейти на кеды, но теперь, пожалуй, передумаю , Аноним (-), 17:30 , 08-Фев-18, (47) –1 // Ага Страшно когда уязвимости закрыты , Gannet (ok), 18:04 , 08-Фев-18, (55) +1 // У сильных людей бывает потребность тонко кайфовать от рисков , Ананас (?), 18:22 , 08-Фев-18, (59) Слишком детские ошибки, боюсь, их там много , Аноним (-), 18:53 , 08-Фев-18, (61) // Ну вот, как раз же для тебя, малыш , Аноним (-), 19:08 , 08-Фев-18, (64) Держи http ru opennet ru opennews art shtml num 25393, Аноним (-), 21:23 , 08-Фев-18, (79) –1 К сожалению, экраны блокировки несекьюрны априори Сама же по себе ошибка не сто, Отражение луны (ok), 02:56 , 09-Фев-18, (95) +1 Двойные стандарты , Аноним (-), 17:18 , 09-Фев-18, (103) Ану передумай передумывать пока я не предумал и передумалку не передумал , VINRARUS (ok), 19:41 , 08-Фев-18, (69) Я вообще не понимаю какого хрена для этого испощьзуют шелл вместо api , Аноним (-), 17:52 , 08-Фев-18, (51) // Шел это и есть API всех достижений никсов , VINRARUS (ok), 19:42 , 08-Фев-18, (70) они это называют unixway и очень гордятся им, Нанобот (ok), 21:46 , 08-Фев-18, (81) Неопасная уязвимость , Gannet (ok), 18:03 , 08-Фев-18, (54) // rm -Rf , Дуплик (ok), 23:50 , 08-Фев-18, (85) autorun inf, Аноним (-), 18:28 , 08-Фев-18, (60) –1 // ты знал - , Аноним (-), 19:08 , 08-Фев-18, (63) О каких уведомлениях речь, о всплывающих , Sluggard (ok), 20:12 , 08-Фев-18, (76) // О не тонущих , Аноним (-), 00:11 , 09-Фев-18, (89) // ЯННП , Sluggard (ok), 00:16 , 09-Фев-18, (90) ну и много гадости можно воткнуть в 9 символов команды , Аноним (-), 21:04 , 08-Фев-18, (78) // Много гадости можно накидать на vfat раздел на флешке, вопрос лишь в том, как из, Ordu (ok), 21:29 , 08-Фев-18, (80) // Не факт Если я верно понял обсуждение на https bugs kde org show_bug cgi id 3, Аноним (-), 22:43 , 08-Фев-18, (83) // Не спасёт sh 1 вполне умещается в 9 символов Другое дело, что судя по опи, Ordu (ok), 01:12 , 09-Фев-18, (91) 11 символов по крайней мере на винде , Нанобот (ok), 21:54 , 08-Фев-18, (82) // Минус два back-tick а touch file , Ordu (ok), 01:22 , 09-Фев-18, (93) Volume Label on NTFS Drives Maximum of 32 charactersНу в 32 можно наверно, iPony (?), 07:21 , 09-Фев-18, (99) вы бороды столлмана там чтоль обкурились вот поясните мне адепты опенсурса и пог, превед (?), 01:25 , 15-Фев-18, (104) 1,2,6,10,33,40,47,51,54,60,76,78,104

Сообщения

[Сортировка по времени | RSS]

	7. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	+3 +/–
	Сообщение от Crazy Alex (ok), 08-Фев-18, 13:48
	В таких случаях помогает только понимание, что отвызовов шелла лучше вообще воздерживаться. А из какого языка дёрнут - дело десятое
	Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

	15. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	–1 +/–
	Сообщение от Аноним (-), 08-Фев-18, 14:32
	> В таких случаях помогает только понимание, что отвызовов шелла лучше вообще воздерживаться. > А из какого языка дёрнут - дело десятое А без котылей на баше что то кроме busybox сможет работать? Костыли на баше это святое.
	Ответить | Правка | Наверх | Cообщить модератору

	26. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	+2 +/–
	Сообщение от Аноним (-), 08-Фев-18, 15:15
	Может всётаки на sh'е? А нет, правда, в sh нынче не умеют (не знают, что он есть вообще).
	Ответить | Правка | Наверх | Cообщить модератору

	38. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	–5 +/–
	Сообщение от Crazy Alex (ok), 08-Фев-18, 16:31
	А зачем нынче уметь в sh? Чай, не PDP-9. Другое дело, что шелл - это вообще дурная идея, во всяком случае такой, каким он вырос в никсах
	Ответить | Правка | Наверх | Cообщить модератору

	65. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	+1 +/–
	Сообщение от _ (??), 08-Фев-18, 19:31
	>Другое дело, что шелл - это вообще дурная идея, совместить ЯП и язык оператора? Сколько лет шеллу - столько и флэймят :) >во всяком случае такой, каким он вырос в никсах Ну а что - есть примеры где вышло лучше?
	Ответить | Правка | Наверх | Cообщить модератору

	67. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	–1 +/–
	Сообщение от VINRARUS (ok), 08-Фев-18, 19:34
	Ну например шел в разы быстрее баша. time bash -c 'LIL=0; while [ "$LIL" -lt "1000000" ]; do LIL=$((LIL+1)); done' time dash -c 'LIL=0; while [ "$LIL" -lt "1000000" ]; do LIL=$((LIL+1)); done' ПС: dash это почти sh.
	Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

	75. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	+1 +/–
	Сообщение от Аноним (-), 08-Фев-18, 20:03
	> ПС: dash это почти sh. sh — это как правило то, на что симлинк укажет. Зачастую bash, а кое-где dash. В режиме POSIX-совместимости, конечно.
	Ответить | Правка | Наверх | Cообщить модератору

	74. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	+/–
	Сообщение от Аноним (-), 08-Фев-18, 19:55
	> А зачем нынче уметь в sh? Хотя бы затем, чтобы в system() башизмы не пихать. Да, я знаю, что system() не нужен.
	Ответить | Правка | К родителю #38 | Наверх | Cообщить модератору

	37. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	+/–
	Сообщение от Crazy Alex (ok), 08-Фев-18, 16:29
	Шелл, по-вашему, всё это святым духом делает? Разумеется, есть возможность до всего добраться напрямую с более вменяемыми интерфейсами. C-API, конечно, не идеал, и void* там хватает, но уж подобных глупостей не будет.
	Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

	46. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	–2 +/–
	Сообщение от J.L. (?), 08-Фев-18, 17:22
	> В таких случаях помогает только понимание, что отвызовов шелла лучше вообще воздерживаться. > А из какого языка дёрнут - дело десятое а вот когда системд избавляется от вызовов шела через инит.д - сколько бухтения то
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	66. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	+1 +/–
	Сообщение от _ (??), 08-Фев-18, 19:33
	Ты настолько глуп что не втыкаешь _за_что_ на системду "бухтят" ... бывает. :)
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	+/–
	Сообщение от пох (?), 08-Фев-18, 17:37
	лучше воздерживаться от программирования, если ты _даже_ расставить кавычки вокруг unsafe string не можешь (или не соображаешь, что все, что не вкомилировано намертво в код - unsafe). А то ж такой напишет на си - так ему туда "метку" килобайт на 40, а у него "ой, буфер был на 8.3 only, а я и не знал что у сменных дисков бывают не только fat образца ms-dos 2.0".
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	94. "Уязвимость в KDE, позволяющая выполнить код при подключении ..."	+/–
	Сообщение от Ordu (ok), 09-Фев-18, 01:40
	> В таких случаях помогает только понимание, что отвызовов шелла лучше вообще воздерживаться. > А из какого языка дёрнут - дело десятое От вызовов шелла -- да. Если очень хочется вызвать внешнюю утилиту, то fork+exec непосредственно на исполняемый файл, никаких прокладок из шелла посередине, никаких вызовов system. fork+exec тоже не фонтан -- это связано с кодированием аргументов в ascii и передачу их через argv/envp, с последующим декодированием, тут тоже сложно сделать всё хорошо: можно нечаянно получить переполнение буфера на принимающей стороне, или на принимающей стороне окажется какой-нибудь особо умный парсер, который может быть даже тьюринг-полнотой обладает... Все эти штуки сложно отследить, потому что те, кто ищут уязвимости, тратят гораздо больше времени на поиск таких штук, чем готов потратить пишущий программу.
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема