Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Около 390 тысяч сайтов оставили открытыми каталоги .git с кодом, opennews (??), 04-Сен-18, (0) [смотреть все] Во всем виноват git При SVN такого не было , Аноним (1), 19:18 , 04-Сен-18, (1) +10 // было же, anonn (?), 19:38 , 04-Сен-18, (5) +4 // Отродясь такого не было и вот опять же, ну , Владимир (??), 19:41 , 04-Сен-18, (6) +20 // сколько раз за сегодня эту фразу уже слышал , ыпр (?), 19:39 , 12-Сен-18, (146) При SVN было хуже в несколько раз https habr com post 70330 , Дуплик (ok), 19:57 , 04-Сен-18, (11) +3 // моя сорказм ни панемать, ano (??), 11:14 , 05-Сен-18, (104) +1 С каких пор 3 тысячи в несколько раз хуже 390 тысяч Хотя я не понимаю напоркуа т, КО (?), 13:07 , 11-Сен-18, (141) конечно, не было Directory svn 124 RCS 124 CVS Satisfy All O, пох (?), 20:19 , 04-Сен-18, (18) –3 // Всё ещё проше Directory Require all denied Directory Files , Ilya Indigo (ok), 21:14 , 04-Сен-18, (32) –1 // Не самое худшее Дурпал куда противнее , Аноним (136), 08:19 , 08-Сен-18, (136) Доооо И нгинкс фронтендом , Аноним (44), 21:58 , 04-Сен-18, (44) // не, это анахронизм же Во времена svn , когда писали такие конфиги, nginx был, пох (?), 09:56 , 05-Сен-18, (89) +2 Я как ламо люблю собирать всякую фигню из git - доставляет удовольствие, греет Ч, Аноним (-), 22:18 , 04-Сен-18, (51) хостинг во всём виноват Он должен был блокировать доступ к git, Аноним (91), 10:12 , 05-Сен-18, (91) // На хостинг надейся, а сам не плошай , Аноним (108), 13:43 , 05-Сен-18, (108) 171 Но похапе тут нипричом Это погромисты плохие 187 , Аноним (7), 19:47 , 04-Сен-18, (7) +2 // Кто-то забыл служебную информацию от системы контроля версий виноват ПХП , A.Stahl (ok), 20:05 , 04-Сен-18, (13) +12 // Это просто показывает, что среди лопухов, выставляющих git в общий доступ, пыхе, Аноним (25), 20:39 , 04-Сен-18, (25) +7 // Как и среди остальных сайтов, Crazy Alex (ok), 20:55 , 04-Сен-18, (31) Типичная ошибка выжившего Сколько там сайтов не на похапэ , anonymous (??), 21:15 , 04-Сен-18, (33) +4 это показывает настоящую популярность языка, а не нахайпленное инфомесиво , Gemorroj (ok), 21:17 , 04-Сен-18, (34) +1 А ничего что подавляющие большинство сайтов на php, Аноним (36), 21:19 , 04-Сен-18, (36) Ну да 96 с дырами, и 83 в среднем по миру https w3techs com technologies det, Maxim (??), 22:56 , 04-Сен-18, (55) –1 Ну хоть ты не такой Скорее покажи примеры своего кода, а мы поучимся , Аноним (108), 13:44 , 05-Сен-18, (109) +1 у меня в корне лежит hg, только ты его не вытащишьпотому что модель что вижу, , бедный буратино (ok), 23:15 , 04-Сен-18, (58) // Расшаренный наружу git к php ортогонален, он в принципе не может быть ошибкой p, qrKot (?), 08:13 , 05-Сен-18, (77) +2 Проблема здесь не в самом git, а в php-программистах, которые часто не программи, anonimous (?), 19:39 , 06-Сен-18, (135) то есть сайт у тебя отдается напрямую через неэффективный, гнилой и дырявый pyth, нах (?), 09:23 , 05-Сен-18, (83) Как бе нормальная практика - это когда приложение может само выдать все свои рес, Аноним (124), 23:32 , 05-Сен-18, (124) ну вот да, охрененная ж нормальная практика - видеоролик в пять гигабайт отдават, нах (?), 10:34 , 06-Сен-18, (130) +1 пхп всегда виноват, потому что гладиолус, Sfinx (ok), 06:12 , 05-Сен-18, (71) +5 Accidentally open source , Аноним (8), 19:48 , 04-Сен-18, (8) +16 SUSE совсем загнулась , anonymous (??), 19:48 , 04-Сен-18, (9) –2 // Статистика лишь показывает то, что у нубов популярна убунта и дебиан, а не реаль, Аноним (147), 02:47 , 01-Окт-18, (147) Апача же запрещает по-умолчанию доступ к файлам начинающимся с точки, значит во , Аноним (10), 19:55 , 04-Сен-18, (10) –3 // git это не файл, а каталог , Аноним (14), 20:06 , 04-Сен-18, (14) // Около 390 тысяч сайтов оставили открытыми каталоги .git с ко..., soarin (ok), 20:10 , 04-Сен-18, (16) +2 В каждой новости про релиз Апача обязательно найдётся несколько человек вопрошаю, A.Stahl (ok), 20:08 , 04-Сен-18, (15) // IIS , koblin (ok), 21:44 , 04-Сен-18, (42) +5 По-умолчанию запрещает он только доступ к ht Ты, вероятно, путаешь с дефолтом, имя (?), 20:15 , 04-Сен-18, (17) +1 Действительно, зачем переходить по ссылкам на оригинал статьи, если можно сразу , Необъективный_ (ok), 20:52 , 04-Сен-18, (30) +2 а к каталогам , Аноним (59), 23:18 , 04-Сен-18, (59) –1 Объяснение сайты на других языках не держат код в DocumentRoot, поскольку это н, Аноним (21), 20:21 , 04-Сен-18, (21) // Типа Application Server держат файлы в руте , Аноним (22), 20:27 , 04-Сен-18, (22) так и на пхп не требуется , Gemorroj (ok), 21:18 , 04-Сен-18, (35) +1 Нода из коробки вообще ничего не показывает наружу, как эти 1 ухитрились простр, Аноним (1), 20:28 , 04-Сен-18, (23) –1 // Фронтенд поставил, для той же самой статики Да, от корня - я ничего не понимаю в, Админ (?), 10:55 , 05-Сен-18, (100) –1 тупые девопсики виноваты, 146 , тигар (ok), 20:33 , 04-Сен-18, (24) // ну так деплойчик же удобненький, гитпулл и гатоооова, можно смузи пить, Аноним (26), 20:44 , 04-Сен-18, (26) +4 // Даже если неосилятор rsync, ну положи ты сайт в какой-нибудь www index html , user (??), 23:14 , 04-Сен-18, (57) Писать html руками - это удобненько только девопсикам, которые на всём готовом А, user (??), 01:42 , 05-Сен-18, (67) +1 Если бы админы были виндузятниками, то они бы этого не допустили Потому что для, Аноним (27), 20:45 , 04-Сен-18, (27) –2 // Существо, которое поднимает сайт на Linux и не знает о скрытых файлах - это не а, Аноним (94), 10:17 , 05-Сен-18, (94) Очень уж короткая новость получилась и результаты исследования из статьи надерга, Необъективный_ (ok), 20:47 , 04-Сен-18, (28) +2 Сервера на федоре Как бы я не любил федору на десктопе, для сервера это очень св, DerRoteBaron (?), 20:48 , 04-Сен-18, (29) –1 // ну то есть убунта на сервере вас уже совсем не смущает странно, где же gentoo , фёдор (?), 21:24 , 04-Сен-18, (37) +1 // Гитом умеем пользоваться , Аноним (39), 21:33 , 04-Сен-18, (39) У убунты LTS-ветка к концу первого года с релиза становится более-менее стабильн, DerRoteBaron (?), 22:07 , 04-Сен-18, (49) // Молодец Как всегда поделил людей на быдло и небыдло Сам-то ты из какого лагеря,, анонимный психотерапевт (?), 22:28 , 04-Сен-18, (53) –2 запустят убунту в окружении windows server - , Аноним (80), 08:39 , 05-Сен-18, (80) +1 Gentoo - 152 Написано же И да, как бы я не любил этот дистрибутив - для product, Аноним (85), 09:27 , 05-Сен-18, (85) А что не так с федорой У меня все сервера на федоре, нарадоваться не могу , turbo2001 (ok), 04:40 , 05-Сен-18, (70) –1 // Слабоумие и отвага, например , qrKot (?), 08:16 , 05-Сен-18, (78) +5 а как часто обновляешь , Gemorroj (ok), 08:56 , 05-Сен-18, (82) –1 // Каждый день, обожаю обновления , turbo2001 (ok), 16:01 , 05-Сен-18, (114) +3 1С-Битрикс в десятке , Аноним (38), 21:32 , 04-Сен-18, (38) +2 // Ага, плакать надо, Аноним (137), 07:43 , 09-Сен-18, (137) Я крайне удивлен, что лишь один ответ был с угрозой , ОнАнон (?), 21:40 , 04-Сен-18, (41) +8 // Коля, звони в полицию 1111, htower (ok), 06:34 , 05-Сен-18, (72) Я так понимаю, что следует папку git размещать уровнем выше чем корневую Apache, Штунц (?), 21:47 , 04-Сен-18, (43) –1 // В одной директории с index, Аноним (47), 22:06 , 04-Сен-18, (47) Вообще-то git умеет разделять голый репозиторий и собственно рабочую директорию , angra (ok), 23:04 , 04-Сен-18, (56) Нет, нужно просто не давать доступ к git, Аноним (137), 07:45 , 09-Сен-18, (138) это реклама безопасности через неясность , Аноним (45), 22:03 , 04-Сен-18, (45) +1 Это все враньё Пыхеры не пользуются гитом - они редактируют либо сразу на сервак, Аноним (47), 22:05 , 04-Сен-18, (46) +3 // Кстати, кроме шуток Был в чатике одной довольно модной ныне cms, многие чуваки,, Василий (??), 23:41 , 04-Сен-18, (61) +1 // через ftp отдаются права доступа и их можно менять И как если не через ftp , Аноним (91), 10:18 , 05-Сен-18, (95) +1 // scp , КО (?), 13:14 , 11-Сен-18, (142) Ну а что делать, если хостер не умеет rsync Не заливать же через веб-морду врук, user (??), 01:45 , 05-Сен-18, (69) // через sftp наверное , Аноним (91), 10:17 , 05-Сен-18, (93) Что мешает сделать нормальную сборку с одним архивом и ее деплоить , КО (?), 13:16 , 11-Сен-18, (143) вывсеврети Вчера аутсорсер столкнулся у нас с неодолимыми проблемами - не сумел , пох (?), 07:22 , 05-Сен-18, (74) // Чот не совсем понял, он не смог ВЫЛОЖИТЬ продукт на ваш сервер, или ЗАБРАТЬ прод, qrKot (?), 08:34 , 05-Сен-18, (79) +3   // выложить У него-то на этот сервер есть доступ по ssh не нам же за его животным, пох (?), 09:32 , 05-Сен-18, (86) –1   лолшто С другой стороны, может оно и хорошо, что вы не понимаете, как заливается, Аноним (94), 10:32 , 05-Сен-18, (98) +1   можно через git через https загружать https никто в здравом уме блокировать не , Аноним (91), 10:20 , 05-Сен-18, (96) // не, нельзя Во-первых, таки заблокирован этим конкретно я разрешил, предвидя, х, пох (?), 11:08 , 05-Сен-18, (102) –1 Эх, бросить бы всё и уехать в Урюпинск , user (??), 11:16 , 05-Сен-18, (105) А вот и мифическая рука RHEL вам Где-то в глубокой опе на порядок за Windows , Аноним (-), 22:16 , 04-Сен-18, (50) –1 // или они умеют настраивать свои сайты , пох (?), 07:23 , 05-Сен-18, (75) // Они конкретно умеют, согласен Или, погодите 378 - примерно правдоподобная цифр, qrKot (?), 08:39 , 05-Сен-18, (81) // я, конечно, свечку не держал, но что-то мне подсказывает, что за rh учитывая чт, пох (?), 09:47 , 05-Сен-18, (87) у них есть в redhat software collection За отдельные деньги конечно же , Аноним (91), 10:28 , 05-Сен-18, (97) ну этож отстойник для неосиляторов самим собрать - с тем же успехом можно исполь, пох (?), 10:41 , 05-Сен-18, (99) Где он взял столько доменов , Аноним (54), 22:36 , 04-Сен-18, (54) +1 // alexa, Аноним (62), 23:52 , 04-Сен-18, (62) +1 // не угадали So, I used DNS log from the OpenData Rapid 7 project This was a 3 5, пох (?), 10:15 , 05-Сен-18, (92) +1 уфф, мне писем от него не приходило , Аноним (60), 23:24 , 04-Сен-18, (60) –1 // ваш почтовый сервер считает почту из чехии - спамом , Vladim237r Smitka (?), 07:24 , 05-Сен-18, (76) +1 Сказочные программисты Зачем их только с локалхоста выпустили , pda (?), 01:12 , 05-Сен-18, (65) +2 лежит себе, никому не мешает, люди пользуются 8230 нет, обязательно найдётся в, arisu (ok), 06:56 , 05-Сен-18, (73) +1 Я один не понимаю, откуда на сайтах, написанных на Java вообще взялась папка gi, Аноним (85), 09:23 , 05-Сен-18, (84) +3 // ты хочешь статику отдавать томкэтом Нет Ну, вот Ничего такого ужасного-ценно, нах (?), 10:22 , 06-Сен-18, (129) // Сколько человек думают, что удалив файл с настройками читай паролями они сдела, КО (?), 13:19 , 11-Сен-18, (144) Ммм А тот же war унзипнуть по scp на сервер с nginx apache религия не позволяет, КО (?), 13:24 , 11-Сен-18, (145) интересно, каким образом чешский исследователь безопасности Владимир Смитка опре, Нанобот (ok), 09:48 , 05-Сен-18, (88) –2 // https ru wikipedia org wiki Honeypot, user (??), 11:19 , 05-Сен-18, (106) Я же надеюсь это сарказм Иначе сразу в цитатник потому что людям нечего скрыва, SubGun (ok), 23:32 , 05-Сен-18, (123) на самом деле не плачьте, фанаты редкоупоминаемых дистрибутивов - есть и у вас , пох (?), 10:11 , 05-Сен-18, (90) Давно пора ввести вход в Интернет по паспортам для всех - чтобы не шлялись про, iZEN (ok), 11:06 , 05-Сен-18, (101) –2 // погоди, как это подменить Мы ж паспорта и так всех заставили проверять и этих , товарищ майор (?), 11:11 , 05-Сен-18, (103) Если бы не быть знакомым с тобой, то можно было бы подумать, что это лихая шутка, Аноним (-), 08:57 , 06-Сен-18, (127) А что этому помешает, интересно Или ты думаешь, что хомяки токен будут содержат, Аноним (-), 03:38 , 11-Сен-18, (140) впихивайте в разные местаmap query_string block default 0 , Аноним (110), 13:56 , 05-Сен-18, (110) +1 // дружище, погугли mod_security и не позорься, занимаясь бесполезной неэффективной, пох (?), 15:27 , 05-Сен-18, (113) // вот ещё всякой хренью заниматься ставя всякие модули и тратя моё время на чтени, Аноним (110), 17:09 , 05-Сен-18, (116) –1 // и действительно, вот еще всякой хренью заниматься, доки какие-то там читать - на, пох (?), 18:00 , 05-Сен-18, (118) Ты идиот что-ли Решать проблему запрета одного локейшена с точками mod_securit, Аноним (110), 18:26 , 05-Сен-18, (119) +2 да-да, гораздо правильней решать эту проблему простыней анонимовых регекспов , пох (?), 18:46 , 05-Сен-18, (121) +3 И да - для остальных глупых недоадминов типа тебя - этот велосипед описан в ос, Аноним (110), 18:31 , 05-Сен-18, (120) Я аж прям насторожился А зачем тебе локейшины, начинающиеся с точки , cutlass (?), 09:51 , 06-Сен-18, (128) // да как-то так исторически сложилось для технических адресов и механизмов - набир, пох (?), 13:34 , 06-Сен-18, (131) –1 Многа непанятных букаф Но выглядит завораживающе , SubGun (ok), 23:36 , 05-Сен-18, (125) +1 // говорят же вам - товарищ переизобрел mod_security, с опозданием на пятнадцать ле, пох (?), 13:39 , 06-Сен-18, (132) // Дык в чём-годно zero-day может быть - а очередное автообновление правил и под мо, Аноним (110), 14:53 , 06-Сен-18, (133) может, конечно, вон, даже меганз отметилась - но сравни, что более вероятно - уд, пох (?), 17:34 , 06-Сен-18, (134) вот ещё всякой хренью заниматься ставя всякие модули и тратя моё время на чтени, Аноним (110), 17:09 , 05-Сен-18, (115) –1 Кажется спамеры пополнят свои базы , Аноним (-), 03:31 , 11-Сен-18, (139) 1,7,8,9,10,21,23,24,27,28,29,38,41,43,45,46,50,54,60,65,73,84,88,90,101,110,115,139

Сообщения

[Сортировка по времени | RSS]

	79. "Около 390 тысяч сайтов оставили открытыми каталоги .git с ко..."	+3 +/–
	Сообщение от qrKot (?), 05-Сен-18, 08:34
	Чот не совсем понял, он не смог ВЫЛОЖИТЬ продукт на ваш сервер, или ЗАБРАТЬ продукт с вашего сервера? Потому что в случае http-транспорта он может его только забрать оттуда. Да и git clone ровно на то же намекает. Тем более, что вы сами олени, вместо нормальной ссылки на репозиторий http://domain.name/yourproject.git отдали человеку какую-то хрень. git clone http://domain.name/yourproject.git как раз сработает совершенно "прозрачно" для пользователя, он даже не заметит, что это не по ssh. Дело в том, что на сервере может быть несколько больше одного урла, и при host=gitserver100500 урла может быть вполне себе http://git.myawesome.org. Т.е. вы человеку дали логин/пароль, что в подавляющем числе случаев означает ssh-доступ, сами ssh-доступ отключили, а потом злорадствуете? У меня для вас плохие новости! Или вы его в ssh пустили на сервер, с которого исходящие ssh-соединения запрещены? Типа так? >> ну да, ssh наружу закрыт, даже с хоста в dmz, нам рассадник червей не нужен В целях борьбы с червями, однако, как правило, запрещают доступ по ssh извне, а не наружу. Иначе это называется "пусть у нас будет рассадник червей, главное - соседям не навредить". Похвально, конечно, но "слабоумие и отвага". >> будем делать ставки, получу я содержимое http://этахрень/.git/config с первой попытки, когда они все же победят выкладку? Прикол в том, что если вы git по http открыли, вы получите, как раз доступ к конфигу. Доступ к репе по ssh - это "показать папочку как есть наружу, со всеми вложениями". Иначе работать не будет.
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Около 390 тысяч сайтов оставили открытыми каталоги .git с ко..."	–1 +/–
	Сообщение от пох (?), 05-Сен-18, 09:32
	выложить. У него-то на этот сервер есть доступ по ssh (не нам же за его животными лоток выносить). А обратно ему никто вообще-то и не обещал (поскольку он и не просил ;) > Прикол в том, что если вы git по http открыли о, вы достойны работать у этого аутсорсера (кстати, ему пригодился бы админ). Разница между доступом к repository для деплоя (раз уж не продуманы более приличные варианты, впрочем, это немодно, continious development/delivery наше всьо) - возможно, не кому попало, и возможно, не по голому http даже (хотя ни нам, ни провайдеру нафиг не нужен неуловимый джо, а вот ssh-то я бы и не стал использовать, слишком много умеет лишнего) и оставленным без присмотра клоном уже в задеплоенном проекте вам, очевидно, неведома?
	Ответить | Правка | Наверх | Cообщить модератору

	98. "Около 390 тысяч сайтов оставили открытыми каталоги .git с ко..."	+1 +/–
	Сообщение от Аноним (94), 05-Сен-18, 10:32
	> Да и git clone ровно на то же намекает. лолшто? С другой стороны, может оно и хорошо, что вы не понимаете, как заливается сайт через git: есть вероятность, что вы случайно выбрали безопасный для ваших "продуктов" вариант. Хотя вот о качестве "продукта" думать даже как-то не хочется, с такими-то познаниями.
	Ответить | Правка | К родителю #79 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема