| 1.1, iZEN (ok), 11:54, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| –27 +/– |
 Ещё одно доказательство того, что строки неизвестной длины с завершающим нулём в качестве признака конца данных этого типа данных, никуда не годятся — паскалевский тип строки с указанием точной длины в заголовке безопасный и предсказуемый.
EPIC FAIL C/C++.
| | |
| |
| 2.4, klalafuda (?), 11:58, 08/03/2011 [^] [^^] [^^^] [ответить]
| +11 +/– |
Ну а в PHP даже указателей нет. Так что паскалю с сями до него как пешком до Китаю..
| | |
| |
| 3.63, follow_me (?), 14:56, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– | |
И в Java нет , и что с того ? Недавно оба засветились с переполнениями базовых типов. Нет совершенных систем, ошибки можно найти везде.
А по поводу топика - не более чем локальная уязвимость с повышением привилегий, только тяжелее в реализации по сравнению с прочими уязвимостями такого рода
| | |
| |
| 4.130, FastDuck (?), 19:45, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> И в Java нет , и что с того ? Недавно оба засветились с переполнениями базовых типов. Нет совершенных систем, ошибки можно найти везде.
Вы про баг с плавающей запятой?
Переполнения нашли в реализации интерпретатора PHP, а не в пользовательских приложениях как в этом случае. К тому же, код интерпретатора PHP написан C.
Вообще, в случае Java/PHP и им подобных достаточно исправить переполнение в сам компиляторе/интерпретаторе, в случае C вся ответственность ложиться на плечи разработчиков приложений. Панацеи пока нет, а хотелось бы - лично я вижу решение в мощном безопасном рантайме (минимиизирует ошибки на низком уровне) и мощной системе типов (минимизирует ошибки на всех уровнях).
| | |
| |
| 5.175, MiG (?), 22:07, 08/03/2011 [^] [^^] [^^^] [ответить]
| +5 +/– |
C/C++ изначально создавались как языки сочетающие в себе высокий уровень программирования и низкоуровневую эффективность. Ответственность за содеянное лежит на программисте. Хочешь быстро ехать - отключай ABS, ESP, traction control и пр.. Новичок разобъётся, профессионал даст нужный результат. В конце концов если молотком ударил по пальцу, то виноват не инструмент. ;-)
| | |
| |
| 6.201, anonymous vulgaris (?), 01:21, 09/03/2011 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> C/C++ изначально создавались как языки сочетающие в себе высокий уровень программирования
и низкоуровневую эффективность.
Я понимаю что историю сейчас знать ни к чему, но вообще то C лепился кое-как чтоб было хоть чуть получше ассемблера. Ну и чтоб можно было работать на компе с 8 кБ ОЗУ (отсюда и так называемый лаконичный синтаксис). Ну а C++ лепился кое-как чтоб было чуть получше С.
| | |
|
|
|
| 3.64, Аноним123321 (ok), 15:01, 08/03/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
 > Ну а в PHP даже указателей нет.
но при этом в PHP забыли сделать слабые ссылоки (weak ref)... о боже -- этоже ЛОЛ:-D
таким образом PHP обречён на _цыклические_ ссылочные _сильные_ связи :-) :-) :-) [что совершенно не важно если приложение не должно жить более чем пару десятков милисекунд. поэтому всем php-web-программистом пофиг на отсутствие weak refs :-), а вот написать долгоиграющщую не-web-программу уже не получится :-)]
| | |
| 3.121, rshadow (?), 18:41, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Языки из разных категорий. Сравнивать их может только новичек в программировании =)
| | |
| 3.193, Аноним (-), 23:30, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– | |
>Ну а в PHP даже указателей нет. Так что паскалю с сями до него как пешком до Китаю..
Оберон - наше всё!
| | |
| 3.287, cobold (ok), 13:28, 10/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
 > Ну а в PHP даже указателей нет. Так что паскалю с сями до него как пешком до Китаю..
Это Вам наверное в PHP порушенные поинтеры не встречались, а мне как-то довелось с ними пободаться - когда по ходу встроенной функции по какой-то причине генерируется warning, изза этого переаллоцируется стек, а локальные переменные уже хранят указатели на прошлый stack frame. Вот результаты скрипта потом весело выглядят :)
Да, в 5.3 это исправили.
| | |
|
| 2.9, доброжелатель (?), 12:11, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Ок, для успешной индексации строк с over 2 млрд. символов всегда надо будет хранить лишних 4 байта, для любой строки, удачи !
| | |
| |
| 3.11, Аноним (-), 12:18, 08/03/2011 [^] [^^] [^^^] [ответить]
| –3 +/– |
> Ок, для успешной индексации строк с over 2 млрд. символов всегда надо
> будет хранить лишних 4 байта, для любой строки, удачи !
да хоть 8 байт, хоть 32-а, это один фиг лучше, чем рут полученный через переполнение.
| | |
| |
| 4.13, Аноним (-), 12:22, 08/03/2011 [^] [^^] [^^^] [ответить]
| +3 +/– |
Т.е. хранить 32 байта с длинной строки, когда сама строка занимает один байт это нормально?
| | |
| |
| 5.18, iZEN (ok), 12:40, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– |
Поле длины строки необязательно должно быть фиксированной длины — есть алгоритмы кодирования длины произвольной последовательности. И лучше, чтобы оно всё-таки было в заголовке данных, а не в конце в виде завершающего нуля, чтобы ядро не занималось счётом байтов и динамическим перевыделением памяти под неизвестное число байтов, пока не будет считан последний байт строки, а заранее знало, сможет оно вместить всю строку в доступную память или нет.
| | |
| |
| 6.34, Аноним (-), 13:15, 08/03/2011 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> есть алгоритмы кодирования длины произвольной последовательности.
Это дополнительная сложность и время. Спорный оверхед, в общем. Может где-то и нужно, в большинстве применений - нет.
| | |
| |
| 7.192, Аноним (-), 23:17, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– |
>> есть алгоритмы кодирования длины произвольной последовательности.
> Это дополнительная сложность и время. Спорный оверхед, в общем. Может где-то и
> нужно, в большинстве применений - нет.
а перераспределение памяти и поиск конца строки это не лишние ресурсы?
| | |
|
| 6.54, cmp (ok), 14:26, 08/03/2011 [^] [^^] [^^^] [ответить]
| +5 +/– |
 Проще разработать 1024битную архитектуру с sizeof(int) == 1024, запихать туда 2^1024 ОЗУ и не парится храня там ежесекундные снапшоты вселенной.
| | |
| 6.209, User294 (ok), 03:09, 09/03/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
 > Поле длины строки необязательно должно быть фиксированной длины — есть алгоритмы
> кодирования длины произвольной последовательности.
... только парсить долго :) а теперь представь что тебе придется рюхать миллион таких полей? А миллиард не хочешь? Не как тупо 1 регистровую операцию, как раньше, что быстро, а как целая уйма хитрых операций с регистрами и прочая, т.к. проц не умеет нативно работать с таким представлением.
| | |
| |
| 7.210, коксюзер (?), 03:30, 09/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– |
>> Поле длины строки необязательно должно быть фиксированной длины — есть алгоритмы
>> кодирования длины произвольной последовательности.
> ... только парсить долго :) а теперь представь что тебе придется рюхать
Что парсить? Как рюхать?
> миллион таких полей? А миллиард не хочешь? Не как тупо 1
Да чо уж там, берите сразу триллион - он в тыщу раз внушительнее миллиарда звучит.
> регистровую операцию, как раньше, что быстро, а как целая уйма хитрых
> операций с регистрами и прочая, т.к. проц не умеет нативно работать
> с таким представлением.
Так бы и написали: "Все это очень сложно и очень затратно. Правда-правда."
| | |
| |
| 8.215, User294 (ok), 05:27, 09/03/2011 [^] [^^] [^^^] [ответить] | –1 +/– | Я так понимаю что изен про кодирование интегеров с переменной длиной или типа то... большой текст свёрнут, показать | | |
| |
| |
| 10.246, User294 (ok), 15:31, 09/03/2011 [^] [^^] [^^^] [ответить] | –1 +/– | Я так понял что он предлагал хранить длину строки как variable length integer ... большой текст свёрнут, показать | | |
| |
| 11.261, iZEN (ok), 17:31, 09/03/2011 [^] [^^] [^^^] [ответить] | +/– | Грубо говоря, я предложу такую структуру struct String len_of_len длина... большой текст свёрнут, показать | | |
|
|
|
|
|
|
| 5.19, caps (?), 12:40, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Удивительно, но в ядре "вражеской" системы от МС этот тип строк используется повсеместно. Наверняка там работают тупые придурки, которые для безопасности пространства ядра бездарно тратят целых 2 байта на строку. (там для длины строки используется word тип)
| | |
| |
| |
| 7.104, коксюзер (?), 17:14, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Ну и как, сильно безопасное получилось?
Несильно, ибо строки не единственная и даже не самая серьёзная проблема си.
| | |
| |
| 8.216, User294 (ok), 05:36, 09/03/2011 [^] [^^] [^^^] [ответить] | +2 +/– | Да уж Индусы успешно доказывают что обделаться с критичными последствиями можно... большой текст свёрнут, показать | | |
|
|
|
| 5.61, Sw00p aka Jerom (?), 14:52, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Т.е. хранить 32 байта с длинной строки, когда сама строка занимает один
> байт это нормально?
блин - проверка должна быт ьи в функцию должна передаваться длина строки
| | |
| |
| 6.79, коксюзер (?), 16:16, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> блин - проверка должна быт ьи в функцию должна передаваться длина строки
Конечно должна. Это же какой контроль!
| | |
|
| 5.77, коксюзер (?), 16:14, 08/03/2011 [^] [^^] [^^^] [ответить]
| +5 +/– |
> Т.е. хранить 32 байта с длинной строки, когда сама строка занимает один
> байт это нормально?
Ненормально - путать биты с байтами и забывать о возможности параметризации типов.
| | |
|
|
| 3.69, Аноним (-), 15:41, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Ок, для успешной индексации строк с over 2 млрд. символов всегда надо будет хранить лишних 4 байта, для любой строки, удачи !
А тебе успешного выяснения длинны строки. Жди когда найдет заветный байт в 2хгиговом куске данных
| | |
| |
| 4.247, User294 (ok), 15:38, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> А тебе успешного выяснения длинны строки. Жди когда найдет заветный байт в
> 2хгиговом куске данных
А в чем принципиальная разница по скорости: проверять ли байт на то что он равен нулю, и если да - то забить, или проверять что счетчик байтов дотикал до нужного значения, и если равен - то забить? С точки зрения трансформации в машинный код - получится примерно одинаково. С точки зрения попадания в кещ - по идее в него не попадет только 2Гб данных, остальное уместится даже в самый мизерный в кеш. Я что-то упустил и в каком-то месте наступает зверский профит?
| | |
| |
| 5.251, Аноним (-), 16:31, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
В некоторых алгоритмах желательно иметь длину строки заранее, например, для склеивания двух строк должна быть известна длина первой, т.е. имеем бесполезное пробегание циклом по строке. В результате, если надо склеить 10 строк по 10 символов, получаем 10*(1+2+...+9) = 450 чтений символов. Для 100-символьной строки замедление в 6 раз, круто? )
| | |
| |
| 6.262, User294 (ok), 17:39, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> В некоторых алгоритмах желательно иметь длину строки заранее, например, для склеивания
> двух строк должна быть известна длина первой,
Это только в том (относительное редком) случае, если destination совпадает с первой строкой, там есть достаточно места куда можно отрастить результат и допустимо менять содержимое. Хотя черт с вами, уговорили, можно таскать счетчик отдельно и иногда это и правда будет эффективнее. А какая проблема сделать это на си если такая задача есть и ее скорость критична? :) А то что все и вся не пихают по дефолту - ну так если впихать все и вся по принципу "а вдруг пригодится?!" - получится еще одна ява, где можно уснуть пока hello world стартанет...
| | |
| |
| 7.263, iZEN (ok), 17:43, 09/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
>> В некоторых алгоритмах желательно иметь длину строки заранее, например, для склеивания
>> двух строк должна быть известна длина первой,
> Это только в том (относительное редком) случае, если destination совпадает с первой
> строкой, там есть достаточно места куда можно отрастить результат и допустимо
> менять содержимое. Хотя черт с вами, уговорили, можно таскать счетчик отдельно
> и иногда это и правда будет эффективнее. А какая проблема сделать
> это на си если такая задача есть и ее скорость критична?
Проблема в том, что в сях оно будет не на уровне компилятора, а где-то "сбоку" в левой библиотечке, о которой многие разработчики будут не в курсе, и будут писать собственные велосипедики, несовместимые с ней.
| | |
| 7.266, коксюзер (?), 18:15, 09/03/2011 [^] [^^] [^^^] [ответить] | +1 +/– | А если не совпадает, длину обеих строк не обязательно знать для выделения буфера... большой текст свёрнут, показать | | |
| |
| 8.274, Аноним (-), 19:42, 09/03/2011 [^] [^^] [^^^] [ответить] | +/– | А если не совпадает, обе строки пробегаются в любом случае, и разницы по времени... большой текст свёрнут, показать | | |
| |
| 9.277, paxuser (ok), 20:05, 09/03/2011 [^] [^^] [^^^] [ответить] | +1 +/– |  Не в любом случае, а в ряде случаев В любом случае как раз нужно знать длину ка... большой текст свёрнут, показать | | |
| |
| 10.281, фыв (??), 23:17, 09/03/2011 [^] [^^] [^^^] [ответить] | +/– | строкам второй раз, при копировании strcat не выделяет память И я вроде уже пи... большой текст свёрнут, показать | | |
| |
| 11.285, paxuser (ok), 04:31, 10/03/2011 [^] [^^] [^^^] [ответить] | +1 +/– | Ещё бы выделял Всё руками Накладно, но всегда возможно или допустимо, в отличи... большой текст свёрнут, показать | | |
|
|
|
|
|
|
|
|
|
| 2.10, Аноним (-), 12:12, 08/03/2011 [^] [^^] [^^^] [ответить]
| –8 +/– |
А если мне нужна строка > 255 символов? Думай прежде, чем писать
| | |
| |
| 3.21, frankl (?), 12:51, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– | |
учил turbo pascal? Выходи из анабиоза, есть строки в паскале превышающие 255...
>Думай прежде, чем писать
ты хотя бы думай. Хоть когда нибудь.
| | |
|
| 2.14, anonymous (??), 12:23, 08/03/2011 [^] [^^] [^^^] [ответить]
| +5 +/– |
ну и какое отношение имеют стандартные библиотеки C, которые ориентрируются на терминирующий нулевой символ к коду ядра линукс, где этих библиотек нет и быть не может? не надо путать язык и используемые им библиотеки. да, покормил.
| | |
| |
| 3.31, anonymous (??), 13:12, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
прошу прощения, невнимательно читал новость.
>связанный с использованием для копирования содержимого строки небезопасной функции strcpy(), вместо учитывающего длину строки варианта strlcpy().
таки они скопировали часть функций в ядро. впрочем, всё равно, это недостаток этих функций, а никак не языка.
| | |
| |
| 4.80, коксюзер (?), 16:19, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> таки они скопировали часть функций в ядро. впрочем, всё равно, это недостаток
> этих функций, а никак не языка.
Конечно-конечно. Уж в языке-то есть тип данных, позволяющий отказаться от ручного управления границами. И стандарт на библиотеки есть, и их реализаций - пруд пруди. А виноваты программеры, да.
| | |
|
|
| 2.16, тоже Аноним (ok), 12:34, 08/03/2011 [^] [^^] [^^^] [ответить]
| +15 +/– |
 ВНЕЗАПНО! И С, и тем более С++ позволяют реализовать строку именно так, как вам это нужно.
С любыми проверками и любой оптимизацией - по вкусу. Без хитрых хаков для кривых костылей...
| | |
| |
| 3.73, Ytch (?), 15:50, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Именно так! А еще, в ряде случаев, можно сделать проверки длин и расстановку защитных '\0' в концах массивов ДО вызова продедур копирования/сравнения/и т. п. и не тратить время на лишние проверки на каждой итерации циклов.
| | |
| 3.82, коксюзер (?), 16:27, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> ВНЕЗАПНО! И С, и тем более С++ позволяют реализовать строку именно так,
> как вам это нужно.
> С любыми проверками и любой оптимизацией - по вкусу. Без хитрых хаков
> для кривых костылей...
Особенно в Си. Прямо бери и реализуй литералы и неявные преобразования типов. Ага, ну-ну. А в С++ кроме строк проблем нет, конечно же - полный контроль над адресной арифметикой, ага. Ну-ну. ;)
| | |
| |
| 4.176, тоже Аноним (ok), 22:10, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Вы не любите языки, на которых нельзя написать фреймворк и сделать вид, что это другой язык? Тогда низкоуровневые языки просто не для вас.
Проблема, которую вы пытаетесь придумать, решается одной функцией. Если в вашем коде используется только определенный вами тип строк и любая входящая строка преобразуется к вашему типу через одну, предусматривающую вероятность переполнения, функцию, то в вашем коде переполнения строки не будет. Вот и все...
| | |
| |
| 5.187, коксюзер (?), 22:57, 08/03/2011 [^] [^^] [^^^] [ответить] | +1 +/– | Пляска вокруг убогой системы типов и её последствия - фамильная черта языков сем... большой текст свёрнут, показать | | |
| |
| 6.226, тоже Аноним (ok), 08:33, 09/03/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
Фамильная черта тех, кто гонит на С - упоминание неких "нормальных языков" без конкретизации...
Каким образом людям, писавшим драйвера, удалось унаследовать у кого-то код - для меня загадка.
| | |
| |
| 7.227, коксюзер (?), 08:56, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Фамильная черта тех, кто гонит на С - упоминание неких "нормальных языков"
> без конкретизации...
Ада.
> Каким образом людям, писавшим драйвера, удалось унаследовать у кого-то код - для
> меня загадка.
А отгадка в том, что вы вынимаете слова из контекста.
| | |
|
|
|
|
|
| 2.28, Аноним (-), 13:05, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
Я бы на вашем месте прежде чем троллить изучил матчасть, но видимо этот путь не для вас, так вот вопрос, какие именно строки вы имеете ввиду, QString, CString, std::string или какие-то ещё?
| | |
| |
| 3.62, Sw00p aka Jerom (?), 14:53, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Я бы на вашем месте прежде чем троллить изучил матчасть, но видимо
> этот путь не для вас, так вот вопрос, какие именно строки
> вы имеете ввиду, QString, CString, std::string или какие-то ещё?
СТЛ ваш ни чем не лучше
| | |
| 3.83, коксюзер (?), 16:31, 08/03/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Я бы на вашем месте прежде чем троллить изучил матчасть, но видимо
> этот путь не для вас, так вот вопрос, какие именно строки
> вы имеете ввиду, QString, CString, std::string или какие-то ещё?
А я бы на вашем месте изучил языки с более строгими системами типов, прежде чем кичиться формальным наличием выбора в рамках отдельно взятой проблемы (как будто других нет). Но очевидно, это путь не для вас.
| | |
| |
| 4.93, анон (?), 16:45, 08/03/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
> А я бы на вашем месте изучил языки с более строгими системами
> типов, прежде чем кичиться формальным наличием выбора в рамках отдельно взятой
> проблемы (как будто других нет). Но очевидно, это путь не для
> вас.
Предлагаете писать ядро на лиспе?
| | |
| |
| 5.100, коксюзер (?), 17:07, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Предлагаете писать ядро на лиспе?
То есть лисп в ваших глазах - это язык со строгой системой типов? :))
| | |
| |
| |
| 7.127, коксюзер (?), 19:33, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> хаскель?) окамл?)
> уточните, на чем же нада песать ядра?)
Т.е. вы мне кагбе придлогаите передти от тролинга к розговору по сущиству?
| | |
| |
| 8.147, анон (?), 20:36, 08/03/2011 [^] [^^] [^^^] [ответить] | +/– | Нет не предлагаю, т к по существу вам просто нечего сказать Иначе б давно сказ... текст свёрнут, показать | | |
|
| 7.276, Аноним (-), 19:53, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Ядро на Хаскеле - это интересно... Уж оно-то будет отлично параллелизоваться, быть страшно оптимальным и типобезопасным, но я что-то не знаю осей на Хаскеле. Жааль
| | |
|
|
|
|
|
| 2.44, Толстый (ok), 13:47, 08/03/2011 [^] [^^] [^^^] [ответить]
| –17 +/– |
 хехе, красноглазое быдло заминусовало правильный пост. Не только строки но и массивы в целом в С - это epic fail. D к примеру сделал тоже все правильно, массивы представляют собой структуру, содержащую указатель и длину массива.
| | |
| |
| 3.53, Udzhen (ok), 14:11, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
 Что Вам мешает написать собственную реализацию?
Вот к примеру как выглядят строки в ядре Nt:
typedef struct _UNICODE_STRING {
USHORT Length;
USHORT MaximumLength;
PWSTR Buffer;
} UNICODE_STRING;
typedef UNICODE_STRING *PUNICODE_STRING;
| | |
| |
| 4.81, Толстый (ok), 16:20, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Что Вам мешает написать собственную реализацию?
> Вот к примеру как выглядят строки в ядре Nt:
> typedef struct _UNICODE_STRING {
> USHORT Length;
> USHORT MaximumLength;
> PWSTR Buffer;
> } UNICODE_STRING;
> typedef UNICODE_STRING *PUNICODE_STRING;
Вот именно, у каждого Васи своя реализация, несовместимая с реализацией Пети. А еще есть алгоритмы которые надо дублировать для контейнеров и строк.
| | |
| |
| 5.122, Udzhen (ok), 18:52, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– |
 Ну так вперед! Докажите миру что Ваша реализация безопасней, быстрей и удобней!
Все Вам только спасибо скажут...
| | |
| |
| 6.129, коксюзер (?), 19:40, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Ну так вперед! Докажите миру что Ваша реализация безопасней, быстрей и удобней!
Всё уже реализовано и доказано.
> Все Вам только спасибо скажут...
Нет, "все" будут жаловаться на необходимость изучить новое, на непривычное, на отсутствие массового рынка труда, на Отсутствие Контроля и т.п.. Хотят есть кактус, пусть едят.
| | |
|
|
|
| 3.91, анон (?), 16:42, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> D к примеру сделал тоже все правильно, массивы представляют собой структуру, содержащую указатель и длину массива.
Да, это помогает избежать сегфолта, разменивая его на логические ошибки, вот только их отлаживать еще труднее.
Ну и результате имеем неустранимый оверхед на рантайм-проверку границ массива.
| | |
| |
| 4.106, коксюзер (?), 17:18, 08/03/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
>> D к примеру сделал тоже все правильно, массивы представляют собой структуру, содержащую указатель и длину массива.
> Да, это помогает избежать сегфолта, разменивая его на логические ошибки, вот только
> их отлаживать еще труднее.
> Ну и результате имеем неустранимый оверхед на рантайм-проверку границ массива.
Вы этот оверхед видели, замеряли, реализация таких проверок на ассемблере вам знакома, сравнительный анализ "оверхеда" с вычислением длин строк в средней программе на Си делали? Нет. Зато пафоса и апломба - вагон.
| | |
| |
| 5.114, анон (?), 17:58, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Вы этот оверхед видели, замеряли, реализация таких проверок на ассемблере вам знакома,
> сравнительный анализ "оверхеда" с вычислением длин строк в средней программе на
> Си делали? Нет.
А вы, простите, видели, что я делал а что нет?)
Зато баттхерта и агрессии у вас - вагон)
| | |
| |
| 6.134, коксюзер (?), 19:54, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> Вы этот оверхед видели, замеряли, реализация таких проверок на ассемблере вам знакома,
>> сравнительный анализ "оверхеда" с вычислением длин строк в средней программе на
>> Си делали? Нет.
> А вы, простите, видели, что я делал а что нет?)
Вот я и спрашиваю: вы видели, делали? Если нет, к чему эти юления со смайликами?
> Зато баттхерта и агрессии у вас - вагон)
Батхёрт действительно есть, но не по вашей милости. Мне с поделиями на Си ещё работать и работать. Благо, не только с ними. Агрессии? Вы себе льстите.
| | |
| |
| 7.148, анон (?), 20:37, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Батхёрт действительно есть, но не по вашей милости. Мне с поделиями на
> Си ещё работать и работать.
Если вы такой умный и знаете как надо а как ненадо, почему работаете на работе, которая вызывает у вас баттхерт?
| | |
| 7.202, Аноним (-), 02:06, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Вот я и спрашиваю: вы видели, делали?
Вы его не спрашивали, а предположили заранее. Надменность - не лучший способ доказать правоту.
| | |
|
|
| 5.272, User294 (ok), 19:14, 09/03/2011 [^] [^^] [^^^] [ответить] | +/– | Ну вон quicklz - одна и та же либа, при том авторами писаны реализации на сях, с... большой текст свёрнут, показать | | |
| |
| 6.275, paxuser (ok), 19:45, 09/03/2011 [^] [^^] [^^^] [ответить] | +/– | Значит и Ада сольёт в 3 раза Тут к гадалке не ходи В ней же строки тоже немута... большой текст свёрнут, показать | | |
|
|
|
|
| 2.55, анон (?), 14:31, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– | |
Кто вам мешает сделать
struct my_str {
char *ptr;
size_t len;
};
и писать надежно, безопасно, ънтерпрайзно(с)?
| | |
| |
| 3.78, Толстый (ok), 16:16, 08/03/2011 [^] [^^] [^^^] [ответить]
| –4 +/– |
ты очень умный, только почему тогда никто этого не сделал, а вместо этого мы имеем целый зоопарк реализаций контейнеров?
| | |
| |
| 4.84, анон (?), 16:32, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– |
> ты очень умный, только почему тогда никто этого не сделал, а вместо
> этого мы имеем целый зоопарк реализаций контейнеров?
Это сделала например майкрофост в MFC да и много где еще.
Что значит "никто не сделал" и тут же "зоопарк реализаций"? Противоречишь сам себе.
| | |
| |
| 5.86, коксюзер (?), 16:34, 08/03/2011 [^] [^^] [^^^] [ответить]
| –3 +/– |
> Это сделала например майкрофост в MFC да и много где еще.
> Что значит "никто не сделал" и тут же "зоопарк реализаций"? Противоречишь сам
> себе.
Ура, он противоречит сам себе! Наличие проблемы заретушировано претензиями к оппонентам! Всё замечательно!
| | |
| |
| 6.242, Аноним (-), 14:16, 09/03/2011 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Ура, он противоречит сам себе! Наличие проблемы заретушировано претензиями к оппонентам! Всё замечательно!
Проблема у тебя в голове.
| | |
|
|
|
| 3.85, коксюзер (?), 16:33, 08/03/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Кто вам мешает сделать
> struct my_str {
> char *ptr;
> size_t len;
> };
> и писать надежно, безопасно, ънтерпрайзно(с)?
Литерал этого типа в студию, для начала.
| | |
| |
| 4.87, анон (?), 16:34, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Литерал этого типа в студию, для начала.
Что еще за "литерал типа"?
В str указатель, в len длина строки, что непонятного?
| | |
| |
| 5.101, коксюзер (?), 17:09, 08/03/2011 [^] [^^] [^^^] [ответить]
| –2 +/– |
>> Литерал этого типа в студию, для начала.
> Что еще за "литерал типа"?
> В str указатель, в len длина строки, что непонятного?
С вами - всё предельно ясно.
| | |
|
| |
| 5.128, коксюзер (?), 19:36, 08/03/2011 [^] [^^] [^^^] [ответить]
| –2 +/– | |
> struct my_str s = { "abc", 3 };
Ну вот, вычисление длины строки "на глазок" и ошибка на единицу в простейшем примере. Браво.
| | |
| |
| 6.133, gegMOPO4 (ok), 19:52, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
 Чтобы не морочить себе голову и не ошибиться, можно использовать простой макрос.
#define MY_STR(L) { L, sizeof(L)-1 }
struct my_str s = MY_STR("abc");
| | |
| |
| 7.136, коксюзер (?), 20:06, 08/03/2011 [^] [^^] [^^^] [ответить]
| –2 +/– |
> #define MY_STR(L) { L, sizeof(L)-1 }
> struct my_str s = MY_STR("abc");
Это феерический мрак. sizeof(L) вернёт количество элементов в массиве, включая терминирующий '\0'. У len тип size_t, и хранит он размер массива, а не индекс последнего элемента. Единицу зачем отнимаете?
| | |
| |
| 8.144, анон (?), 20:29, 08/03/2011 [^] [^^] [^^^] [ответить] | +1 +/– | Если у вас есть голова, попробуйте воспользоватся ей Тогда, может, дойдет, что ... текст свёрнут, показать | | |
|
|
| 6.139, анон (?), 20:24, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Есть тут ошибка или нет, можно сказать только взглянув на функции, работающие с этой структурой.
| | |
| |
| 7.141, коксюзер (?), 20:26, 08/03/2011 [^] [^^] [^^^] [ответить]
| –1 +/– |
> Есть тут ошибка или нет, можно сказать только взглянув на функции, работающие
> с этой структурой.
Я ждал этой отмазки, но она не катит, поскольку собеседник отвечал на моё замечание об ошибке на единицу. Его макрос совершает ровно ту же ошибку.
| | |
| |
| 8.145, анон (?), 20:30, 08/03/2011 [^] [^^] [^^^] [ответить] | +1 +/– | Где там ошибка-то Строка из 3 трех элементов, нулл не нужен т к указываем н... текст свёрнут, показать | | |
|
|
|
|
| 4.243, Аноним (-), 14:23, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> Кто вам мешает сделать
>> struct my_str {
>> char *ptr;
>> size_t len;
>> };
>> и писать надежно, безопасно, ънтерпрайзно(с)?
> Литерал этого типа в студию, для начала.
my_str s = MY_STR("RTFM!");
| | |
|
|
| 2.59, СуперАноним (?), 14:48, 08/03/2011 [^] [^^] [^^^] [ответить]
| +5 +/– | |
>EPIC FAIL C/C++
Попроси разработчиков ядра FreeBSD, пусть они его на жабе перепишут :))
| | |
| 2.60, Sw00p aka Jerom (?), 14:50, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
+1
чт оприкольно - они не хотят это изменять
мол какая разница проверку сделает программист или данная проверка уже будет в самой функции - ГОВНО ПОДЕЛИЕ - нету уже доверие всяким стандартным библиотекам
| | |
| |
| 3.94, анон (?), 16:47, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> чт оприкольно - они не хотят это изменять
> мол какая разница проверку сделает программист или данная проверка уже будет в
> самой функции - ГОВНО ПОДЕЛИЕ - нету уже доверие всяким стандартным
> библиотекам
Чем будет лучше, если библиотека проверит и обнаружит обращение за границы массива?
Да, по сегфолту не упадем, но ошибка может аукнутся в другом месте.
| | |
| |
| 4.102, коксюзер (?), 17:10, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Да, по сегфолту не упадем, но ошибка может аукнутся в другом месте.
Действительно, ну чем DoS лучше полной компрометации? Да ничем.
| | |
|
|
| 2.132, FFASM (?), 19:49, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– | |
Вот почему OpenBSD написали ядро на C и особых проблем не ощущают? На мой взгляд действует прицнип: новичёк, руки кривые? Не лесь в C/C++.
Чем более низкоуровневый язык, тем больше он даёт свободы реализации алгоритма так, что бы он работал максимально быстро. К примеру на практически любом ассемблере есть множество инструкций, которые не имеют нормальных аналогов в C.
Короч если руки кривые, предоставь возможность компилятору/инторпритатору следить за тобой.
| | |
| |
| 3.135, klalafuda (?), 19:55, 08/03/2011 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> Вот почему OpenBSD написали ядро на C и особых проблем не ощущают?
Джо ты? Тебя так до сих пор и не поймали?
| | |
| |
| 4.213, User294 (ok), 05:00, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Джо ты? Тебя так до сих пор и не поймали?
Напишите востребованную ОС с непозорными параметрами на чем-то еще, фигле. Кто-то не дает?
| | |
| |
| 5.245, klalafuda (?), 15:05, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Напишите востребованную ОС с непозорными параметрами на чем-то еще, фигле. Кто-то не дает?
Зачем? Мне и линуксы вполне хватает.
| | |
|
|
| |
| 4.185, Аноним (-), 22:50, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> классы оптимизаций доступны компиляторам С/С++, дающим на выходе код с традиционным
> рантаймом.
Да, да, да. JIT в теории может, блабла. На практике - а хрен там. Вот когда ядра, библиотеки и все остальное критичное к скорости будут писать на питонах, явах и прочих мегатормозилах - тогда и приходите.
| | |
| 4.203, Аноним (-), 02:13, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Скорость - не единственное требование к программам.
Почему микроядро еще не везде где можно?
Почему ядра ОС, игры с графикой, рендеры, матсофт и т.п. не пишут на безопасных языках? (маргинальных примеров не надо)
| | |
| |
| 5.208, коксюзер (?), 03:08, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> Скорость - не единственное требование к программам.
> Почему микроядро еще не везде где можно?
> Почему ядра ОС, игры с графикой, рендеры, матсофт и т.п. не пишут
> на безопасных языках? (маргинальных примеров не надо)
А кто из крупных игроков на рынке стоит за этими микроядрами, безопасными языками, кто тратит ресурсы на создание и развитие инфраструктуры? Никто. А ядра ОС на безопасных языках пишут.
| | |
| |
| 6.214, User294 (ok), 05:12, 09/03/2011 [^] [^^] [^^^] [ответить] | +/– | Крупные игроки приходят когда видят что получилась нужная штука, лучше других, т... большой текст свёрнут, показать | | |
|
|
|
|
| 2.184, Аноним (-), 22:47, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> EPIC FAIL C/C++.
Имейте совесть! В вашей яве дыры безопасности чинят ДЕСЯТКАМИ в каждом релизе. Сначала перепишите вашу яву на ней самой а потом будете набрасывать. А то пилить сук на котором сидишь - это типичная изеновщина!
| | |
| |
| 3.254, iZEN (ok), 17:04, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> EPIC FAIL C/C++.
> Имейте совесть! В вашей яве дыры безопасности чинят ДЕСЯТКАМИ в каждом релизе.
Пруф или не было!
> Сначала перепишите вашу яву на ней самой а потом будете набрасывать.
The Maxine Virtual Machine Project: http://labs.oracle.com/projects/maxine/
> А то пилить сук на котором сидишь - это типичная изеновщина!
Чегоооо?
| | |
| |
| 4.255, Andrey Mitrofanov (?), 17:12, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
>>> EPIC FAIL C/C++.
>> А то пилить сук на котором сидишь - это типичная изеновщина!
> Чегоооо?
Он конечно же имел в виду, что ты ещё не дописал корректнес-прувер Си[++]-кода на своём Джавве, не доказал _его корректность и не прочекал свои обозаемые бизди коре^Wбеиз систем и джавве веэм.
Ваш К.О.
| | |
|
|
| 2.232, Аноним (-), 11:01, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Ждём от тебя ОС на паскакале, а также компилятор умеющий все те же платформы и оптимизации что и хотя бы gcc.
| | |
|
| 1.2, klalafuda (?), 11:57, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +13 +/– |
Забавно но не более. Ядро - точно такой же обычный код как и любой другой, который пишут самые обычные люди. Имеющие право на ошибку. Нашли-исправили - ну и молодцы.
| | |
| |
| 2.71, Аноним (-), 15:47, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
просто ошибок скорее всего много, усб драйвера писались не очень квалифицированными кадрами на отмашь
| | |
|
| 1.5, Аноним (-), 11:59, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– | |
> связанный с использованием для копирования содержимого строки небезопасной функции strcpy(), вместо учитывающего длину строки варианта strlcpy().
Мдееееееее
| | |
| 1.7, balex (??), 12:07, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
А почему бы ядру предварительно не "подравнять" строку идентификации устройства, а потом отдать драйверью на "самоидентификацию". Я так понимаю тот же udev вполне могбы это делать
| | |
| |
| 2.17, тоже Аноним (ok), 12:36, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Я так понимаю тот же udev вполне могбы это делать
И еще немножечко шить.
Если вы хотите пользоваться системой, которая лучше программ и пользователя знает, что им нужно - могу подсказать один адресок... а то и не один...
| | |
|
| 1.15, Анон (?), 12:29, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +18 +/– | |
Ого, таки к 2011 году они нашли способ как сломать линуху через "флешку" (типа утрирую) всего то нужно уметь программить контроллеры с поддержкой юсб, знать особенности некоторых драйверов встроенных в ядро или модулем к нему, понимать принцип инициализации железа в линукс. Очень легкий способ, прямо-таки виндовый авторан (а это уже сарказм).
Опасно только для тех к чьему компу имеют доступ левые люди.
| | |
| |
| 2.20, caps (?), 12:46, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Ого, таки к 2011 году они нашли способ как сломать линуху через
> "флешку" (типа утрирую) всего то нужно уметь программить контроллеры с поддержкой
> юсб, знать особенности некоторых драйверов встроенных в ядро или модулем к
> нему, понимать принцип инициализации железа в линукс. Очень легкий способ, прямо-таки
> виндовый авторан (а это уже сарказм).
> Опасно только для тех к чьему компу имеют доступ левые люди.
Ну да, в Иране тоже думали, что используя флешку и отключив авторан - все будет ок. Если у тебя нет паранои - это не означает что за тобой не наблюдают... А уязвимость уровня ядра - это всегда серьезно. Что еще раз подтверждает верный выбор архитектуры QNX для своей ОС.
| | |
| |
| 3.24, klalafuda (?), 12:54, 08/03/2011 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> А уязвимость уровня ядра - это всегда серьезно. Что еще раз подтверждает верный выбор архитектуры QNX для своей ОС.
Вообще то это как бы ортогонально. Совершенно похрену, что именно пробивать: ядро или io-usb или как там его. Собственно, usb сервис в QNX4/6 пробить даже легче. В том плане, что, будучи обычным процессом, работая с ним нет необходимости изголяться с ядерными руткитами и пр. специфичными заморочками. Вполне достаточно штатных готовых решений коих в сети вагон с маленькой тележкой.
| | |
|
| 2.52, user455 (?), 14:10, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
так это просто говорит о том, что линукс стал популярнее, не более того. если бы надо было - нашли бы и 10 лет назад
| | |
| 2.89, коксюзер (?), 16:39, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Ого, таки к 2011 году они нашли способ как сломать линуху через
> "флешку" (типа утрирую) всего то нужно уметь программить контроллеры с поддержкой
> юсб, знать особенности некоторых драйверов встроенных в ядро или модулем к
> нему, понимать принцип инициализации железа в линукс. Очень легкий способ, прямо-таки
> виндовый авторан (а это уже сарказм).
Идите на Full-Disclosure и расскажите всем, как сложно, оказывается, адаптировать по чужим инструкциям чужие эксплойты для строковых переполнений в ванильном ядре. Все обрадуются и вздохнут с облегчением.
> Опасно только для тех к чьему компу имеют доступ левые люди.
Для хомячков неопасно, проблема надуманна, вопрос закрыт, ура.
| | |
| 2.109, A1ek (ok), 17:39, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
 интересно сработает уязвимость к виртуалке с проброшенным юсб
| | |
| |
| 3.168, К.О. (?), 21:29, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Скорее, сработает еще в гипервизоре - ибо проброс допустим в том же ESXi осуществляется опосредованно, через Linux DOM0
| | |
|
| 2.219, User294 (ok), 05:59, 09/03/2011 [^] [^^] [^^^] [ответить] | +/– | Не, ну а что, плохо чтоли Пока выпускают патч, куча двуногих отхватит экспериен... большой текст свёрнут, показать | | |
| 2.234, Аноним (-), 11:39, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Опасно только для тех к чьему компу имеют доступ левые люди.
Ога, идешь так по ДЦ, хоп, стойка не закрытая - тык-вытык флеху и дальше идешь, а там уже доступ к тебе на мыло скидывается...
| | |
| |
| 3.244, Аноним (-), 14:40, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> Опасно только для тех к чьему компу имеют доступ левые люди.
> Ога, идешь так по ДЦ, хоп, стойка не закрытая - тык-вытык флеху
> и дальше идешь, а там уже доступ к тебе на мыло
> скидывается...
А видеокамер там типа нету?
| | |
| 3.249, User294 (ok), 16:04, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Ога, идешь так по ДЦ, хоп, стойка не закрытая - тык-вытык флеху
Нормальный такой ДЦ, где посторонние могут безнаказанно тыкать ваш сервер.
| | |
|
|
| 1.23, strange (??), 12:53, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +2 +/– |
Реальность приблизилась к картине из боевика. :) Типа, в бункер проникает группа лиц высочайшей квалификации и 5 сек взламывает корпоративный кластер, втыкая в разъем такую штучку, похожую на флешку. Без перезагрузок и остановки сервера сливают нужные данные и благополучно (или нет) покидают место преступления. :)
| | |
| |
| 2.25, klalafuda (?), 12:57, 08/03/2011 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> Реальность приблизилась к картине из боевика. :) Типа, в бункер проникает группа лиц высочайшей квалификации и 5 сек взламывает корпоративный кластер, втыкая в разъем такую штучку, похожую на флешку. Без перезагрузок и остановки сервера сливают нужные данные и благополучно (или нет) покидают место преступления. :)
Вообще то, это сможет сделать даже уборщица. Будучи предварительно снабжена соответствующей 'флешкой'. Прошел мимо воткнул-выткнул зараза села пошел дальше. Какой уж там боевик..
| | |
| |
| 3.27, strange (??), 13:05, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– |
Не, это конечно да.. Но с перестрелкой и спецэффектами веселее как-то. Не везде ведь уборщиц пускают в серверные. Да и шкафы закрыты.
| | |
| |
| 4.30, klalafuda (?), 13:11, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Не, это конечно да.. Но с перестрелкой и спецэффектами веселее как-то. Не везде ведь уборщиц пускают в серверные. Да и шкафы закрыты.
Не завидую админам, в серверные которых никогда не пускают уборщиц...
| | |
| |
| 5.37, arachnid (ok), 13:25, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– |
 в нашей серверной уборщиц не было лет 5. и почему Вы нам не завидуете?
| | |
| |
| 6.41, klalafuda (?), 13:31, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> в нашей серверной уборщиц не было лет 5. и почему Вы нам не завидуете?
Грязь же, нет? Разве что эта 'серверная' все пять лет была закрыта и работала абсолютно автономно и туда никто не заходил. В противном случае, грязь и пыль все равно заносится.
А если посмотреть на вещи реалистичнее, то среднестатистические адмыны зачастую любят ещё и посидеть в этом адском месте, покурочить что-нить. Кваку погонять. Сутками. Ессно с кофем пивом чипсами печеньками и пр. Со всеми вытекающими (иногда на пол).
| | |
| |
| 7.48, Demo (??), 14:00, 08/03/2011 [^] [^^] [^^^] [ответить]
| +4 +/– |
>> в нашей серверной уборщиц не было лет 5. и почему Вы нам не завидуете?
> Грязь же, нет?
Раз в три месяца подмести и раз в пол-года помыть полы не так уж трудно. Если, конечно, туда не табунами ходят. Сначала уборщицу не пускали потому что в серверной на полу осталось много кабелей после переезда, сейчас валяющихся кабелей нет, всё закрыто в шкафах, но всеравно не пускаем, т. к. бабке трудно объяснить, что в воду нужно добавлять антистатик и менять в ведре воду 3 раза, а не размазывать грязной тряпкой ровным слоем пыль по всей площади.
| | |
| |
| |
| 9.191, Demo (??), 23:16, 08/03/2011 [^] [^^] [^^^] [ответить] | +/– | Нужно Но по поводу брать не ко мне Я лишь винтик в огромной бюрократическо... текст свёрнут, показать | | |
|
|
| 7.229, zazik (ok), 09:35, 09/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
 > А если посмотреть на вещи реалистичнее, то среднестатистические адмыны зачастую любят ещё
> и посидеть в этом адском месте, покурочить что-нить. Кваку погонять. Сутками.
> Ессно с кофем пивом чипсами печеньками и пр. Со всеми вытекающими
> (иногда на пол).
Играть в серверной? Брр, какой ужас, холодно, шумно, неудобно. Неужели не приятнее в уютном кабинете в любимом продавленном кресле с выставленным в "прохладу" кондиционером сидеть?
| | |
|
|
| 5.45, strange (??), 13:52, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– |
Вполне реально, почему нет. Пыли-грязи нет, потому как очистка воздуха и кондюшник. Серверная закрыта плотно, войти можно в сменной обуви и халате. Админы заходят чтоб диск в рейде поменять. Для экспериментов у них свое помещение есть. Ну а я не стану завидовать админам, которые кофе с печеньками на выдвинутом юните пьют. Описываю случай правильный и идеальный. В жизни действительно часто не так, но есть. Често, сам видел. Входил по пропуску. Парень со службы охраны так и мотался за нами, за дверями стоял. Хотя вроде ничего у них особенного такого и не было, инфы никакой. Узел коммутации на область.
| | |
|
|
|
| 2.33, alf (??), 13:14, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
Ога, корпоративный кластер, на корпоративных кластерах этот модуль так необходим.
>/lib/modules/2.6.*/kernel/sound/usb/caiaq/snd-usb-caiaq.ko | | |
| |
| 3.36, klalafuda (?), 13:21, 08/03/2011 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> Ога, корпоративный кластер, на корпоративных кластерах этот модуль так необходим.
Ну если на то пошло, то на корпоративном кластере вообще очень необходимы ядра 2.6.37+ а особенно сегодня...
| | |
| |
| 4.92, коксюзер (?), 16:44, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> Ога, корпоративный кластер, на корпоративных кластерах этот модуль так необходим.
> Ну если на то пошло, то на корпоративном кластере вообще очень необходимы
> ядра 2.6.37+ а особенно сегодня...
Других переполнений в других драйверах нет, да. А все кластеры работают на пересобранных ядрах без лишних драйверов и с отключённой поддержкой автозагрузки модулей, ага.
| | |
|
|
|
| 1.26, Аноним (-), 12:57, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– |
Короче это феерическая уязвимость в вакуме, все бы такие, массово эпидемию цервей и вирусов не вызовет, позволит в общем-то сломать хакеру один конкретный комп, то есть опасна в плане конкуренты подкупят уборщика что бы тот вставил спец устройство в сервер и слил секретную инфу, вопрос чего делает на сервере юсб порт открыт. Короче для серьезных систем серьезные уязвимости, так даже жить как-то интереснее.
| | |
| 1.29, ФФ (ok), 13:09, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– |
 Что делать, если я не использую этот драйвер caiaq? Что делать, как помочь потенциальному злоумышленнику?
| | |
| |
| 2.32, klalafuda (?), 13:13, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Что делать, если я не использую этот драйвер caiaq? Что делать, как помочь потенциальному злоумышленнику?
А его не нужно 'использовать'. Вполне достаточно, чтобы он присутствовал в системе. При появлении в порту соотв. устройства его поднимут автоматически.
| | |
|
| 1.38, Иван Иванович Иванов (?), 13:25, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +5 +/– | |
In order to successfully exploit the vulnerability described in this advisory, an attacker would need to have physical access to the affected system in order to be able to plug in a malicious USB device.
Дальше не читал. Подобных "уязвимостей" вагон и маленькая тележка, особенно у шины FireWire.
| | |
| |
| 2.50, ram_scan (?), 14:05, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Уязвимость класса "а я сервак забутал и вместо инита шелл вписал" :-D Только сложнее делается. Железку надо паять, программизмом занимаццо...
| | |
| 2.68, the joker (ok), 15:39, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
 > In order to successfully exploit the vulnerability described in this advisory, an
> attacker would need to have physical access to the affected system
> in order to be able to plug in a malicious USB
> device.
> Дальше не читал. Подобных "уязвимостей" вагон и маленькая тележка, особенно у шины
> FireWire.
Ну так даже дядя -- не мой! -- Билл сказал, что "если у злоумышленника есть физический доступ к вашему компьютеру, то это уже не ваш компьютер". А уж дядя Билл умеет впарить трояна.
| | |
| 2.224, Andrey (??), 07:30, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> In order to successfully exploit the vulnerability described in this advisory, an
> attacker would need to have physical access to the affected system
> in order to be able to plug in a malicious USB
> device.
> Дальше не читал. Подобных "уязвимостей" вагон и маленькая тележка, особенно у шины
> FireWire.
Hint: ты можешь сам подключить подключить такое устройство. Вредоносное ПО для смартфонов -- это реальность.
| | |
|
| 1.39, Аноним (-), 13:27, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Уязвимость — она, конечно, и в Африке уязвимость, но что-то мне кажется, что autorun.inf на обычной флешке гораздо более опасный, чем уязвимость в модуле ядра для которой нужно
а) иметь вышеуказанный модуль в системе (да, tinycore вряд ли его имеет)
б) иметь разрешение владельца компьютера всунуть в USB какую-то хреновину (не флешку!)
в) иметь эту самую хреновину и запрограммировать ее нужным образом
| | |
| |
| 2.43, segoon (ok), 13:46, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
 После решения (в) обернуть устройство в корпус флешки не составит труда (б).
| | |
| 2.95, коксюзер (?), 16:51, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Уязвимость — она, конечно, и в Африке уязвимость, но что-то мне кажется,
> что autorun.inf на обычной флешке гораздо более опасный, чем уязвимость в
> модуле ядра для которой нужно
> а) иметь вышеуказанный модуль в системе (да, tinycore вряд ли его имеет)
И какой процент линуксов идёт с такими ядрами? Никакой.
> б) иметь разрешение владельца компьютера всунуть в USB какую-то хреновину (не флешку!)
Это запросто. Оставить "флэшку" в курилке и прочая инженерия уже давно откровением не является.
> в) иметь эту самую хреновину и запрограммировать ее нужным образом
Сложно, но возможно. Особенно по чужим инструкциям, с эксплойтом на базе одного из фреймворков.
| | |
| |
| 3.138, segoon (ok), 20:22, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> И какой процент линуксов идёт с такими ядрами?
К примеру, в Owl вообще нет модулей ядра для звука, они там ни к чему.
| | |
| |
| 4.143, коксюзер (?), 20:28, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> И какой процент линуксов идёт с такими ядрами?
> К примеру, в Owl вообще нет модулей ядра для звука, они там
> ни к чему.
Я знаю. И какой процент у Owl? Никакой, хоть и незаслуженно.
| | |
|
| 3.221, User294 (ok), 06:09, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Это запросто. Оставить "флэшку" в курилке и прочая инженерия уже давно откровением
> не является.
Ой, анонимусы вон натянули конторку "безопасностью" методом инженерии без всяких флешек. Они спросили пасс на ссш и попросили выключить фаер. И главное им сказали пасс и вырубили фаер. И затрат сил в 100 раз меньше, и против идиотов - любая ОС бессильна. В итоге куча почты этой кульной конторки теперь вывалена в торентах и читается всеми желающими, конторка ощущает на себе как выглядит EPIC FAIL перерастающий в полярного лиса, ну а анонимусы явно отхватили EPIC WIN... настолько EPIC что вы даже с 10 флехами пожалуй такого не отхватите :)
| | |
|
| 2.97, Аноним (-), 16:58, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
>в) иметь эту самую хреновину и запрограммировать ее нужным образом
контроллер стоит около 3-5$, в корпус флешки умещается на раз, конечное устройство будет стоит не дороже 10$
поповоду программирования: для этих девайсов вагон и маленькая тележка примеров, в том числе усб. ну да, нужна некоторая изобретательность (как и всегда) чтобы всунуть вредноносный код, но это такое
| | |
|
| 1.40, А. Н. Оним (?), 13:28, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 >Драйвер caiaq, разработанный в рамках проекта ALSA для звуковых плат компании Native Instruments, входит в базовую поставку Linux-ядра и загружается автоматически в большинстве Linux-дистрибутивов, включая серверные системы.
Зачем на серверной системе нужна звуковая плата (и вообще поддержка звуковых устройств)?
| | |
| 1.42, segoon (ok), 13:33, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– | |
Чтобы предотвратить загрузку драйвера:
$ echo 0 > /sys/bus/usb/devices/usbX/authorized_default
Documentation/usb/authorization.txt
| | |
| |
| 2.164, crypt (??), 21:11, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Чтобы предотвратить загрузку драйвера:
> $ echo 0 > /sys/bus/usb/devices/usbX/authorized_default
> Documentation/usb/authorization.txt
Сколько понаписали и только один человек догадался написать простое решение. Как вариант можно вообще составить список основных модулей ядра, а потом
sysctl -w kernel.modules_disabled=1
p.s.
У меня почему-то нет Documentation/usb/authorization.txt
| | |
| |
| 3.165, segoon (ok), 21:19, 08/03/2011 [^] [^^] [^^^] [ответить] | +1 +/– | В authorized в некотором смысле более жёсткое разграничение - можно запретить по... большой текст свёрнут, показать | | |
| |
| 4.174, crypt (??), 22:02, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
Ответ оценил. Интересную штуку написал Инакий Перец-Гонзалес из Интел. :-)
> В authorized в некотором смысле более жёсткое разграничение
Скорее более гибкое и скриптовать больше. Но круто однозначно. Если уж размышлять дальше, то может быть так, что ошибка будет в каком-нибудь "соседнем" модуле. Например, в драйвере ФС или еще каком-нибудь обработчике блочного устройства. В примере по ссылке эксплуатация уязвимости возможно в момент монтирования устройства для проверки. В первичном выступление парня из IBM что-то есть на тему, но подробно не помню, а пересматривать лень.
| | |
| |
| 5.179, segoon (ok), 22:23, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Если уж размышлять
> дальше, то может быть так, что ошибка будет в каком-нибудь
> "соседнем" модуле. Например, в драйвере ФС или еще каком-нибудь обработчике блочного
> устройства.
Уже размышляли и не раз. Последний раз тут:
http://www.openwall.com/lists/oss-security/2011/02/23/5
Проблема в том, что в стандартную модель безопасности не вписывается физический доступ к машине. Практически все компоненты системы, работающие с устройствами, не ожидают некорректного ввода и практически не проверены на переполнения и пр. Файловые системы, уровень блочного устройства, партишны, драйвера устройств - целей у атакующего довольно много.
Единственная ИМХО существующая защита - это автоматическое монтирование флешки с nosuid,nodev, но этого, очевидно, недостаточно.
| | |
| |
| 6.186, crypt (??), 22:54, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
 Я верю, что не америку открыл, просто хотел сказать, что пишу одну теорию. Модель безопасности не учитывает физический доступ, вот как? (линк гляну позже) За родину обидно, будут теперь всякие подпорки делать. nosuid, nodev - имхо, совсем бесполезно.
А еще эта новость про ошибку на уровне драйвера, а в видео от IBM все-таки в юзерспейсе убивали скринсейвер (тут я жду, когда полностью весь в дистрибутиве будет собираться с -fPIC и соотв. использовать ASLR).
| | |
|
|
|
|
|
| 1.47, Yuriy (??), 13:55, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
А новость писал чем-то обрадованный пользователь OpenBSD, исходя из имени правильной функции strlcpy()?
| | |
| |
| |
| 3.74, nuclight (ok), 15:54, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
 С критикой, конечно, нельзя не согласиться. А вот с тем, что на основании этой критики функцию не включают в стандартную библиотеку, согласиться уже никак нельзя. По, как минимум, двум причинам:
1) совместимость: strcat/strcpy, очевидно, куда опаснее, и тем не менее они всё же поддерживаются
2) не включать на основании "тупое использование повредит" - это не Unix-way подход, а виндовый. Для того, кто знает, что делает, возможность должна присутствовать. В конце концов, в ядре и glib она есть, а в glibc нету, с какой стати Дреппер считает себя умнее?..
| | |
| |
| |
| 5.96, коксюзер (?), 16:57, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
> вызывающую вполне обоснованные нарекания strlcpy в стандартную, замечу, libc - это
> конечно большой вопрос. В конце-концов, если так хочется strlcpy - берите
> glibc и вперед, с песнею. Иначе уже завтра (злая) половина гнутых
Glibc - единственная мейнстримная libc, в которой нет strl-функций.
| | |
| 5.98, nuclight (ok), 17:02, 08/03/2011 [^] [^^] [^^^] [ответить] | +1 +/– | А подумать В стандарте оно до сих пор именно по причине совместимости Дядя Дре... большой текст свёрнут, показать | | |
| |
| |
| 7.111, nuclight (ok), 17:48, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– |
klalafuda, вот не надо FUDа. В этом сообщении нет ни одного аргумента, одна херота. Ответить можно только на абзац о самбе: в приводившейся статье на википедии есть такое: "Many application packages and libraries include their own copies of these functions, including glib, rsync, Samba, KDE, and the Linux kernel itself."
| | |
|
|
|
|
|
|
| 1.56, Марат (??), 14:44, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
А скажите мне не посвященному, какая проблема админу отключать и включать драйвер USB скриптом? Само собой включать по делу когда без этого никак? Домашним пользователям я думаю все это монопенисуально. Тем кому нужна защита аж прямо досмерти этого USB, втыкайте флешку в другой комп соединенный с первым по сети. Сейчас они стоят копейки Соответственно держите только один LAN порт открытым
| | |
| |
| 2.58, klalafuda (?), 14:47, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> А скажите мне не посвященному, какая проблема админу отключать и включать драйвер USB скриптом? Само собой включать по делу когда без этого никак? Домашним пользователям я думаю все это монопенисуально. Тем кому нужна защита аж прямо досмерти этого USB, втыкайте флешку в другой комп соединенный с первым по сети. Сейчас они стоят копейки Соответственно держите только один LAN порт открытым
Ээээ... И что же должно стоять на этом, другом, компе? Что туда можно совершенно безопасно втыкать флешки?
| | |
| |
| 3.65, Марат (??), 15:17, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Ээээ... И что же должно стоять на этом, другом, компе? Что туда
> можно совершенно безопасно втыкать флешки?
Я понимаю что вы мне намекаете что второй комп тоже будет взломан с пом. этой тулзы по USB, а я хотел сказать, что взломаный линукс, не делает проблем с передачей файла через LAN на "чистый компьютер".
Кроме того малый комп, я подчеркиваю, если все уже так очень сурово, может иметь линукс загружаемый с SD, карточки у которой стоит защелка на защиту от записи на саму эту SD. При перезагрузке вся хрень с малого компа умрет. Ну а если вирусятина делает невозможным работу малого компа, (хотя это редко когда было целью вирусописателей), то тот кто принес такую флешку, должен быть поимет. Чем не вариант?
| | |
|
|
| 1.70, Аноним (-), 15:45, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
это же победа!
/me достал свою плату на at91sam7s128 и пошел писать усб
| | |
| |
| 2.211, User294 (ok), 04:53, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> это же победа!
> /me достал свою плату на at91sam7s128 и пошел писать усб
И правда - победа :)). Попрактиковаться в програминге sam7 - всяко не вредно. Хотя cortex'ы уже актуальнее :P. Вот такое вот отличие: виндузятники матерятся на авторан и выгребают вири. А *никсоиды програминг юсб в микроконтроллерах осваивают :)). Так держать!
| | |
| |
| 3.238, crypt (??), 13:25, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
>от такое вот отличие: виндузятники
> матерятся на авторан и выгребают вири.
M$ официально запатчил авторан.
| | |
| |
| 4.258, User294 (ok), 17:21, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> M$ официально запатчил авторан.
Ага, не прошло и 20 лет как до них все-таки дошло, что у юзеров от этого оказывается вирусы бывают! А сколько там лет до этого вирусня автоматом попадала с mp3 плееров, фотоаппаратов и прочих флешек и винчей юзерам на компы? Заметьте, со стандартной флехи/фотоаппарата/плеера/прочего являющегося стандартным mass storage. Что "немного" серьезнее чем поимение системы путем создания кастомной железки. Ну вот и посмотрим, смогут ли пингвиноиды повторить такой антирекорд. Я готов поспорить что не смогут :)
| | |
|
|
|
| 1.72, anthonio (ok), 15:48, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
 Если есть физический доступ к серваку, то и без всяких USB-приблуд можно получить root-доступ.
| | |
| |
| 2.76, uldus (ok), 16:10, 08/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– |
 > Если есть физический доступ к серваку, то и без всяких USB-приблуд можно
> получить root-доступ.
Без клавиатуры и монитора ??? И вероятность быть пойманным и замеченным при этом почти 100%. Попробуйте получить доступ к системе, пока сотрудник на 20 секунд отошел налить себе кофе или сделать ксерокопию.
PS. Сдается мне, что strcpy там не случайно и об этой уязвимости уже давно кто нужно знал. Информация для размышления: http://hbgary.anonleaks.ch/greg_hbgary_com/21960.html
| | |
| |
| |
| 4.260, User294 (ok), 17:27, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
ЗЫ кстати судя по планам конторы HBGary - у них там сплошные Наполеоны работают. Эх, анонимусы такое гнездо Наолеонов разогнали :).Они бы и дальше отжигали с своими требованиями из разряда "мы не знаем как это сделать но надо чтобы было зашибись, желательно по нажатию 1 большой кнопки".
| | |
|
|
|
| 1.137, deadless (ok), 20:15, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| –6 +/– |
 даа зачетная такая дырень, слепить usb хреновину и по пути к своей циске незаметно так воткнуть девайс в пару линупсовых сервачков самое оно.
и что характерно User294 по обычаю в таких темах не отписывается, павлинтус тихо молчит в тряпочку, а Мишу Шигорина ваще не видать. Где вы поборники БЫСТРОГО линукса? по?й на дыры, главное же быстро!
А учитывая последние тенденции разработчегов скрывать причины патчей, скоро можно ожидать разоблачения великого мифа линуксов как безопасных систем.
| | |
| |
| 2.150, botman (ok), 20:38, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
 > скоро можно ожидать разоблачения великого мифа линуксов как безопасных систем
вначале подождём пока ломающие драйвера появятся... а то что Линукс может работать даже на помойном аппаратном шлаке мы и без вас знаем
| | |
| 2.151, klalafuda (?), 20:42, 08/03/2011 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> и что характерно User294 по обычаю в таких темах не отписывается, павлинтус тихо молчит в тряпочку, а Мишу Шигорина ваще не видать. Где вы поборники БЫСТРОГО линукса? по?й на дыры, главное же быстро!
Ващето сегодня, если конечно кто не заметил - 8е марта. Праздник типа на дворе. Что привязался к людям? Празднуют они. Как закончат - отпишутся. Хорошо если не с бодуна. Иначе пожалеешь, что вспомнил..
| | |
| |
| 3.198, Michael Shigorin (ok), 00:46, 09/03/2011 [^] [^^] [^^^] [ответить]
| –3 +/– |
 Я день выступлений проституток, импортированный кларой цеткин, не праздную и другим не советую.
А по заданному вопросу -- дырка и дырка, если у кого-то в типа trusted environment шатаются люди со своими девайсами и мимо камер их суют во включенные порты -- видимо, что-то недодумано. Потому как с 1394 (которого на серверах пока не встречал вроде, правда) доступ к памяти хоста вообще является неотъемлемой фичей by design и никаким обновлением драйвера это не заткнуть, только отключением подсистемы.
| | |
| |
| 4.200, коксюзер (?), 01:06, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
Тут новость об эксплуатации ошибки, а не фичи. А доступ к памяти в том же 1394 по умолчанию в линуксе всегда была отключён, в отличие от винды.
| | |
| |
| 5.257, коксюзер (?), 17:21, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Линукс дыряв by design иначе бы не появлялись все эти SE-Linux (который
> большинство сразу вырубает), hardened версии и прочее. Торвальдс никогда не ставил
Как ярый пользователь Hardened Gentoo, подтверждаю. :)
> безопасность во главу угла, его всегда устраивал уровень качества и безопасности
> линукса, поэтому аппелировать вы можете только к вашему кормчему, а не
> рассказывать тут сказки про людей в серверных.
Всё так.
| | |
|
|
|
| 2.190, Аноним (-), 23:03, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> даа зачетная такая дырень,
Сэр, поищите тут посты некоего paxuser, он доступно рассказывал у кого как с дырками. В частности он очень низкого мнения о freebsd, и на то у него были причины. А те у кого с секьюрити хорошо - почему-то малопригодны для практического использования.
| | |
| 2.204, User294 (ok), 02:35, 09/03/2011 [^] [^^] [^^^] [ответить] | +/– | Ну, расскажите тогда в какой системе таких дыреней нет и быть не может Ну, наве... большой текст свёрнут, показать | | |
| |
| |
| 4.241, crypt (??), 13:45, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> в OpenBSD ляпов секурного плана горааааздо меньше, что-то я не припоминаю, чтоб
> еженедельно проблемы безопасности находили в опёнке.
User-friendly
Secure
Functional
Pick any two...
| | |
| 4.278, User294 (ok), 22:34, 09/03/2011 [^] [^^] [^^^] [ответить] | +/– | Ну, количество если потребное для успешного взлома линуха через этот баг не ме... большой текст свёрнут, показать | | |
| |
| |
| 6.293, paxuser (ok), 00:58, 11/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> почитал я пакса твоего, на мое имхо просто больной причем на всю
А я здесь и всё вижу. ;)
> один Фюрер ибн Торльвадс весь в белом. Да и вообще если
По диагонали вы меня почитали-то, любезный.
| | |
| |
| 7.294, iZEN (ok), 01:18, 11/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> почитал я пакса твоего, на мое имхо просто больной причем на всю
> По диагонали вы меня почитали-то, любезный.
Я тоже тебя почитал. Ты больной на голову параноик. Лучше иди читай Криса Касперски в "Системном администраторе", он правильную мысль проводит: неуязвимых систем не бывает, и даже процессоры не защищены от ошибок выполнения.
| | |
|
| 6.296, paxuser (ok), 09:11, 11/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Как извесно техники аля dep и aslr далеко не гарантия от взлома,
> усложняет да, но обходятся таки. Да и вообще если уж рассказывать
> правду, то рассказывать надо всю, а не выборочно. http://www.slideshare.net/sciosecurity/linux-kernel-exploitation.
Бтв, что-то я в вашем надрывном потоке сознания не досчитался некоторой доли этой "всей правды". Ну я процитирую, да.
> • Administrators
>
> – Distros are conservative, poke them!
> – Lots of hardening you can do on your own
> – grsecurity / PaX / KERNHEAP patchsets [26,14]
> – Most importantly, support/sponsor these guys for
> their hard work
Тут афтар просто вас не спросил про безопасность FreeBSD, "количество дыр" и паранойю.
> • Message is not: “Don't use Linux, it's insecure, lolz!”
Message is: “Don't use Linux, it's insecure, lolz, use FreeBSD!” Очевидно же. ;)
> • Security is not measured in absolutes
> – Risk management → uncertainty management
Такой х%нёй страдают только больные на голову параноики.
> Or, more concisely:
> “Now you know, and knowing is half the battle!” -- GI JOE
Фигню сказал, очевидно же.
> График особо показателен, и нае%%алово от торвальства 6 лет назад что
Да график вообще самый главный в презентации, чо уж там. :)
> лучше спокойно ночью спать, чем в ужасе просыпаться от очередной zero-day
> уязвимости. Как-то так.
Меньше знаешь - лучше спишь, ога.
| | |
|
|
|
|
|
| 1.182, Гентушник (ok), 22:44, 08/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– |
 $ find /lib/modules/'uname -r'/ -name snd-usb-caiaq.ko -o -name iowarrior.ko
$
Ну вот опять надо чего-то доставлять, собирать и паять для того чтобы поломать этот ваш линукс... Всё как не у людей!
| | |
| |
| 2.195, pavlinux (ok), 23:40, 08/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
 > $ find /lib/modules/'uname -r'/ -name snd-usb-caiaq.ko -o -name iowarrior.ko
> $
Модули ищутся через modprobe -an, через find это как-то по-слакваревски,
а настоящий Гентушник мегагерц бережёт!!! :)
# modprobe -an snd-usb-caiaq iowarrior
WARNING: Module snd_usb_caiaq not found.
WARNING: Module iowarrior not found.
| | |
| |
| 3.223, Гентушник (ok), 06:45, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Модули ищутся через modprobe -an, через find это как-то по-слакваревски,
> а настоящий Гентушник мегагерц бережёт!!! :)
Спасибо, схоронил в памяти.
| | |
|
| 2.205, User294 (ok), 02:39, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– | |
> Этот Daniel Mack, спеки ваще читает?!
Мне вот интересно другое :). А *ты* осилил их целиком прочесть? И как тебе этот талмудец? :)
| | |
| |
| 3.207, pavlinux (ok), 03:07, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
>> Этот Daniel Mack, спеки ваще читает?!
> Мне вот интересно другое :). А *ты* осилил их целиком прочесть? И
> как тебе этот талмудец? :)
Ну я их давно изучал. Ща ковырнул, чтоб уж точно глянуть размер.
А самом деле там много не нужно, для работы вполне хватает USB 1.1,
ну а остальное это уже оптимизация.
| | |
| |
| 4.217, User294 (ok), 05:46, 09/03/2011 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> Ну я их давно изучал. Ща ковырнул, чтоб уж точно глянуть размер.
И как, мозг не опух? :))). Для сравнения - иди вон драйвер UART какогонить заэйсплойть? ;) Там все просто слишком просто для того чтобы можно было эксплойтировать ремотно сам драйвер. Может, старина D.J. Berstein был не так уж и неправ, рассуждая о том как можно уменьшить число багов в софте? Самое веселое что его рассуждения никак не привязаны к ЯП и он умудрился написать несколько довольно секурных программ на обычном си :)
> А самом деле там много не нужно, для работы вполне хватает USB
> 1.1, ну а остальное это уже оптимизация.
Не, ну понятно что если знаешь что долбить - достаточно в конкретное место доки глянуть. А если как скрипткидди - то и вообще думать не надо: взял в руки девайс - получил результат. Все, теперь ты кульхакер! Просто потому что умеешь втыкать девайс в разъем, во! :)
А так - попрограммить сие в микроконтроллере - неплохая зарядка для мозга. Придет понимание некоторых сущностей с которыми работает юсб и как сие выглядит со стороны девайса, а полученные скиллы пригодятся для массы иных, более полезных применений. К сожалению, на это способен очень небольшой процент двуногих. Остальные почему-то слишком тупые :)
| | |
|
| 3.228, guest (??), 09:32, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
 Что вы глупости такие спрашиваете?
Если б он не то чтоб читал, а хотя бы посмотрел включив мозг, то глупостей про "а почему в ядре 80байт когда в доке 0xff" не писал бы (наверное)
| | |
| |
| 4.240, pavlinux (ok), 13:41, 09/03/2011 [^] [^^] [^^^] [ответить]
| +/– |
> Если б он не то чтоб читал, а хотя бы посмотрел включив мозг,
> то глупостей про "а почему в ядре 80байт когда в доке 0xff" не писал бы (наверное)
Ну давай дальше, вместе посмеёмся....
подсказка: char[80], char[0xff]
| | |
|
|
|
| 1.303, lucentcode (ok), 00:16, 12/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 Не страшно, можно сконфигурировать и собрать ядро без этого драйвера. А вот что делают в такой ситуации пользователи проприетарных ОС, лучше не думать:)
| | |
| 1.305, Slot (?), 11:17, 12/03/2011 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Аааааааа линух уязвим с любым ядром! ААааааа - я нашел уязвимость - это винчестер!
Вот ....!!!
Если перечислять все способы взлома при ФИЗИЧЕСКОМ доступе к серваку О_О а? Тут тогда страница не загрузится!
Или физдоступа к серваку нет или из ядра все не нужные модули долой или вааще все :)
| | |
|
