| 1.1, Аноним (1), 08:56, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> компания фиксирует миллионы попыток эксплуатации уязвимостией PHP2Shell, при том, что за 10 часов до анонса наличия уязвимостей таких попыток уже были тысячи, а через 2 часа после официального раскрытия информации достигли сотен тысяч
Какие они быстрые, ух
| | |
| |
| 2.9, Анонимно (ok), 09:43, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
 > Какие они быстрые, ух
> нет информации о подтверждённых фактах взлома через уязвимости PHP2Shell.
но бесполезные
| | |
|
| 1.3, Аноним (3), 09:06, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– | |
> фиксирует миллионы попыток эксплуатации уязвимостией PHP2Shell
Ах, прекрасные шышные дыpeни!
Интересно, сколько сайтов взломали без следов, просто выкачав все полезное?
| | |
| 1.5, Андрюха (??), 09:28, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –3 +/– |
чёт пых совсем в дуршлаг превращается. чё случилось-то, команда разрабов сменилась или фактивных манагеров понабирали?
| | |
| |
| 2.6, Tron is Whistling (?), 09:32, 23/10/2026 [^] [^^] [^^^] [ответить]
| –2 +/– |
Искусственный идиот случился.
Погоди, это ещё так, даже не цветочки, бутончики.
Всё по-чесноку, всё опубликовано.
Но пора принять, что такой подход - скорее исключение, чем правило.
| | |
| |
| 3.7, Tron is Whistling (?), 09:36, 23/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
И проблемы две с половиной:
- Теперь каждое школоло, постигшее дзен и осознавшее, что в софте есть ошибки - может почитать школьный форум единомышленников и с помощью оного коллективным разумом найти себе дырочку для развлечения
- Вторая - с половиной: кто реально занимался этим всерьёз, за деньги и для денег - получил в руки очень продвинутый статический анализатор (как раз то, что нынешнее "ии" и есть), да ещё с человечески оформленным выхлопом (ллм) для упрощения понимания
| | |
| 3.8, Tron is Whistling (?), 09:43, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
И хуже всего то, что наивно полагать, что искуственный балбес поможет все дыры закрыть - это слишком наивно. Поле настолько непаханое, что сам поиск затянется на столетия, даже с помощью.
Причём дыры будут всплывать такие, которые человек сам не смог бы эксплуатировать - слишком много условий, которые найти надо. А статическому анализатору пофиг.
Ну и да, с применением искусственного балбеса для написания дыр - их станет ещё больше, потому что ему пофиг, он генерит, как умеет, без сути, цели и смыла.
| | |
| 3.11, Tron is Whistling (?), 09:44, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
Вот то, что в пыхе обнаружилось - как раз пример такой дыры.
Там надо очень здорово изгольнуться, чтобы это эксплуатировать.
Но большой статический анализатор - смог.
| | |
| 3.16, Tron is Whistling (?), 10:00, 23/10/2026 [^] [^^] [^^^] [ответить]
| +1 +/– |
Я всегда сравниваю этот эффект от появления искусственного идиота с лечением ртутью.
Да, массированный иммунный ответ на повреждения действительно оказывает "целебное действие" - это то, что сейчас и происходит, ищем-затыкаем.
Вот только вопрос в том, что эти самые накапливающиеся повреждения тебя убивают быстрее, чем то, что ты вылечить этим пытался.
Итог какой? Лечение ртутью как-то из моды вышло, а ртуть перешла в разряд вещей строго контролируемых.
| | |
| 3.20, Аноним (20), 10:36, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– |
А он здесь причем? Баг отрепортили ещё в 24 году. Проблема в разрабах php. Они за два года(!) не смогли решить как лучше фиксить этот баг. Одна из причин в том, что долгое время баг считался теоретическим и приоритет у него был не высокий, а все предложенные фиксы требовали какого-то компромисса. Дальше, когда оказалось что баг не теоретический и его эксплуатация возможна, видимо сработала инерция отношения
| | |
|
| 2.18, Аноним (18), 10:30, 23/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
Берут в разрабы первого встречного кто работает за еду, вот к ним и приходят правительственные хакеры и просят помочь протолкнуть уязвимость за мзду малую.
| | |
|
| 1.12, фывыфв (?), 09:46, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> Для обходного пути блокирования утечки информации о раскладке адресов следует выставить в php.ini параметр "display_errors=off"
Мне кажется, или этот параметр на проде должен быть всегда выключен?
| | |
| |
| 2.14, Tron is Whistling (?), 09:47, 23/10/2026 [^] [^^] [^^^] [ответить]
| –1 +/– |
depends
Если прод внутренний - да, проще логи собирать.
Если прод внешний on-prem - проще показать клиенту и получить от него жалобу.
| | |
| |
| 3.17, фывыфв (?), 10:29, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
> проще показать клиенту и получить от него жалобу
Серьезно? Хотя для PHP разработчиков может и нормально нормально.
Ты же в курсе что в такого типа ошибках отображается внутрянка, которая помогает искать дырки? Часто раньше видел sql код, например, что помогает искать sql инъекции.
| | |
| 3.21, Аноним (20), 10:42, 23/10/2026 [^] [^^] [^^^] [ответить]
| +/– | |
Эва как. А в официальной документации сказано что
> The bundled php.ini-development sets this to On; php.ini-production sets it to Off.
>> Note:
>> This is a feature to support your development and should never be used on production systems (e.g. systems connected to the internet).
> | | |
|
|
| 1.15, Аноним (10), 09:48, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
> обходящего механизм рандомизации адресов
Всегда собираю ядро без рандомизации, шах и мат хакиры!
| | |
| 1.19, Аноним (18), 10:31, 23/10/2026 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
Вывод закрытый проприетарный софт лучше потому что ИИ в нем не может ничего найти.
| | |
|
