Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Атака на Node.js через манипуляции с прототипами объектов JavaScript"	+/–
Сообщение от opennews (?), 27-Июл-22, 16:21
Исследователи Центра Гельмгольца по информационной безопасности (CISPA) и Королевского технологического института (Швеция) проанализировали применимость техники засорения прототипа объектов  JavaScript ("prototype pollution") для создания атак на платформу  Node.js и популярные приложения на её основе, приводящих к выполнению кода... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=57562
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от истина в последней инстанции (?), 27-Июл-22, 16:21	+16 +/–
Это не тот который тут вчера панельку создал для kde на этом г? Обезьянки такие обезьянки.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #2, #17, #87

2. Сообщение от ананоша (?), 27-Июл-22, 16:25	–4 +/–
У него на божественном typescript, а тут дырявый javascript
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #4, #7, #9, #35, #52

3. Сообщение от Аноним (3), 27-Июл-22, 16:28	–6 +/–
Прекратите кибербулить мой любым JavaScript!!! // b.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12, #56

4. Сообщение от Аноним (4), 27-Июл-22, 16:28	+/–
Аксиома Эскобара..
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #48

5. Сообщение от Аноникалипсатор5 (?), 27-Июл-22, 16:31	+/–
ужас,  как все запущено,  надо срочно переписывать ноду на раст
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10, #13

6. Сообщение от Анна Нист (?), 27-Июл-22, 16:34	–1 +/–
Говорят за этим языком все операционные системы будущего. Ах.. да, забыл.. уже! 99,9% пользователей пк используют браузеры
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #8, #33, #81

7. Сообщение от Аноним (-), 27-Июл-22, 16:34	+/–
А на тайпскрипте что-то такое не прокатит?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

8. Сообщение от Аноним (-), 27-Июл-22, 16:35	+/–
Все операционные системы ботнетов будущего 8)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #11

9. Сообщение от th3m3 (ok), 27-Июл-22, 16:36	+9 +/–
>божественном typescript Вот ещё почему typesciprt - зло. Человек начинает думать, что его код безопасен, а это может быть совсем не так.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #40, #119

10. Сообщение от Quarck (?), 27-Июл-22, 16:39	+3 +/–
Так уже. Называется deno.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #29

11. Сообщение от pork chop suey (?), 27-Июл-22, 16:39	+/–
если всё будет ботнет, то смысл тогда в ботнете как таковом?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #30, #77

12. Сообщение от Аноникалипсатор7 (?), 27-Июл-22, 16:39	+1 +/–
дни жабыскрипта сочтены,  такой удар еще не переживал ни один язык погроммирования
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3

13. Сообщение от Ф1 (?), 27-Июл-22, 16:40	+1 +/–
уже давно переписали https://deno.land/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #14, #15

14. Сообщение от Аноникалипсатор7 (?), 27-Июл-22, 16:43	+/–
тогда надо переписать еще раз,  дважды
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #60

15. Сообщение от НяшМяш (ok), 27-Июл-22, 16:50	+/–
Там ещё V8 на мерзких крестах, его теперь надо переписать /s
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #83

16. Сообщение от olegz (ok), 27-Июл-22, 16:53	+/–
это ведь нельзя выполнить с клиента, правильно? в частности require ("bytes");
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #38

17. Сообщение от Аноним (17), 27-Июл-22, 16:54	+/–
То ли дело remote дырень в ядре линукса на православной сишечке! Там вообще root получают, но так, по-доброму! И да, разумеется это другое))
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #20, #23, #25, #41

18. Сообщение от Аноним (18), 27-Июл-22, 16:55	+1 +/–
Да ладно, говно можно сотворить на любом языке. В сях есть #define true false, в расте процедурные макросы вообще во время компиляции могут в сеть сходить и биткойны помайнить. Всегда есть к чему докапаться.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #34

19. Сообщение от Аноним II Великолепный (?), 27-Июл-22, 16:59	+/–
Браузерное поделие пустили в сервера, что теперь делать? как жить? как спать? как спать теперь?
Ответить | Правка | Наверх | Cообщить модератору

20. Сообщение от Аноним (20), 27-Июл-22, 16:59	+2 +/–
ну перепиши linux kernel на JS, посмотрим какие там будут уязвимости. И переписать надо так, чтоб запускался на голом железе и можно было в нем запустить эту твою нодужыэс
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #27, #50

21. Сообщение от Аноним (25), 27-Июл-22, 17:01	+/–
> Для успешного совершения атаки требуется, чтобы в приложении поступающие извне данные могли использоваться для создания нового свойства в корневом прототипе объекта Очередной цирк безопасности.
Ответить | Правка | Наверх | Cообщить модератору

23. Сообщение от Аноним II Великолепный (?), 27-Июл-22, 17:03	+/–
А что за дырень? Посвяти на нее,  может ссылка есть?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

24. Сообщение от Аноним (24), 27-Июл-22, 17:03	–1 +/–
Prototype-based programming, кушайте :3
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #26

25. Сообщение от Аноним (25), 27-Июл-22, 17:05	+1 +/–
Тут нет никакой дырени, если приложение разрешает менять свой код то это проблема конкретного приложения, просто ребята из Центра Гельмгольца набивают себе индекс цитирования для грантов или ещё для чего.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17

26. Сообщение от Аноним (25), 27-Июл-22, 17:07	+1 +/–
Вообще не в тему.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24

27. Сообщение от Аноним (27), 27-Июл-22, 17:22	–8 +/–
Ну перепиши web приложение на C, посмотрим какие там будут уязвимости и сколько 😂😂😂 Слабо? Хейтеры JavaScript только языком чесать умеют? Где все ваши тысячи классных приложений на С и С++?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20 Ответы: #28, #43, #47, #51, #53, #79

28. Сообщение от Аноним (-), 27-Июл-22, 17:28	+3 +/–
Как где? У тебя, баклан. Ты бы без сишечки сюда на опеннетик вообще пискнуть не смог. А вот JS здесь таки наглухо опционален, у меня он тут зарублен вообще совсем.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #36

29. Сообщение от Аноним (-), 27-Июл-22, 17:30	+/–
Это какое-то DeNo! Надо было и интерпретировать синтакс хруста :). Кстати до чего-то наподобие даже кто-то вроде додумался.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

30. Сообщение от Ботнет (?), 27-Июл-22, 17:30	+/–
После узнаете.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

31. Сообщение от Аноним (31), 27-Июл-22, 17:32	+4 +/–
Они последние 10 лет под камнем пролежали? Атака на прототип это ж классика…
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #32, #37

32. Сообщение от Аноним (31), 27-Июл-22, 17:33	+1 +/–
https://cve.mitre.org/cgi-bin/cvekey.cgi?keyword=prototype+p...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

33. Сообщение от Аноним (33), 27-Июл-22, 17:33	+/–
Анна Нист : "забыл" или "забыла"?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #64

34. Сообщение от Аноним (-), 27-Июл-22, 17:34	+/–
Ух, да, только ты в рантайм #define true false не передашь при всем желании, ибо нет там никакого препроцессора уже. А вот яваскрипт в этом плане позволяет неиллюзорно поприкалываться. Я так понимаю некоторые штуки типа umatrix на этом по сути половину своей работы строят, делая невероятный оверлоад большей части браузерных кишок и .. ... .. вот враждебная вебня уже получает вообще совсем не то что оно там себе думало :). И хотя в данном случае это даже как бы фича, но так и в обратную сторону по идее можно, для создания хреновой кучи нежданчиков воооон тому коду с менее мирными целями. О чем вроде бы сабж и есть.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #39, #42, #82

35. Сообщение от Аноним (35), 27-Июл-22, 17:50	+2 +/–
Выше вы прочитали переписку людей без чувства юмора.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #65

36. Сообщение от Аноним (27), 27-Июл-22, 18:10	–4 +/–
Я спросил где твой софт на нём? То, что умные американские дяди написали и ядро, и браузер, и ОС когда и в помине JS не было, это я в курсе. Но при чём тут ты, хейтерок?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #46, #104

37. Сообщение от Аноним (25), 27-Июл-22, 18:11	+2 +/–
Гранты сами себя не выдадут, надо статьи клепать и постить на arxiv.org
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #44

38. Сообщение от Бывалый смузихлёб (?), 27-Июл-22, 18:20	+2 +/–
Выполнить то много что можно но суть в выполнении именно на стороне сервака
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #99

39. Сообщение от Бывалый смузихлёб (?), 27-Июл-22, 18:25	+/–
А теперь шаг 2 ( вообще-то с него и стоило начать ) - попробуй добиться исполнения нужного кода на стороне сервера Ладно ещё кто-то в какой-то пакет «паленый» что-то понатолкал и кто-то что-то подхватил при его запуске А вот как добиться исполнения этого на совершенно конкретном серваке, вот тут и начинаются вопросы Ведь если уже можешь исполнить код на стороне сервера( чего и требует «уязвимость» ), то в принципе многое сильно проще. А если нет - то это не поможет
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #58, #107

40. Сообщение от истина в последней инстанции (?), 27-Июл-22, 18:27	+3 +/–
> Человек начинает думать, что его код безопасен, а это может быть совсем не так. Это не только в typescript, ещё и rust туда-же
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #114, #120

41. Сообщение от истина в последней инстанции (?), 27-Июл-22, 18:28	+1 +/–
Толи дело раст. Ни одного проекта законченного так и не появилось. Мертвячина.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #55, #102

42. Сообщение от Аноним (42), 27-Июл-22, 18:30	+/–
> враждебная вебня Так не ходи во враждебную вебню. Ходи в гофер.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34 Ответы: #108

43. Сообщение от истина в последней инстанции (?), 27-Июл-22, 18:30	–1 +/–
Не поверишь. Вагон. И качество куда получше.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

44. Сообщение от Аноним (42), 27-Июл-22, 18:31	–2 +/–
А чего сам не написал статью? Получил бы грант, пожил бы с размахом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

45. Сообщение от Аноним (45), 27-Июл-22, 18:35	+/–
Эммм. Доброе утро.
Ответить | Правка | Наверх | Cообщить модератору

46. Сообщение от YetAnotherOnanym (ok), 27-Июл-22, 18:39	+/–
Мой - у меня и организаций, в которых я работал. Немножечко на гитхабе - то, что я счёл полезным для людей и нашёл время причесать. Ссылку не дам, извини, я там под своим реальным именем.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

47. Сообщение от Аноним (20), 27-Июл-22, 18:40	–1 +/–
> Где все ваши тысячи классных приложений на С и С++? они все в закрытой репе у Intel в виде патчей для yocto linux.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

48. Сообщение от Аноним (48), 27-Июл-22, 18:53	+7 +/–
ШОК! Если атакующий может выполнить код, чтобы изменить прототип, то он может не только изменить прототип, но и выполнить код!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #88

49. Сообщение от Аноним (50), 27-Июл-22, 18:56	+1 +/–
>Если в коде приложения встречается присвоение "obj[a] = value" Уж сколько раз твердили миру: new Map().
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #62, #73, #95

50. Сообщение от Аноним (50), 27-Июл-22, 18:59	+/–
>ну перепиши linux kernel на JS, посмотрим, кто этим тормознутым жрущим говном пользоваться сможет Пофиксил.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

51. Сообщение от мимо (?), 27-Июл-22, 19:03	+/–
>Ну перепиши web приложение на C >Где все ваши тысячи классных приложений на С и С++? Норм такая подмена понятия. Сначала вебприложения, потом просто приложения.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

52. Сообщение от Владимир (??), 27-Июл-22, 19:22	+6 +/–
Знаменитая Фракталова дырень ...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

53. Сообщение от Без аргументов (?), 27-Июл-22, 19:23	–1 +/–
буквально пару мес назад вебманки нахимичили в сайте ПР так, что мне показывались разные чужие посылки при каждом обновлении страницы.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27 Ответы: #54

54. Сообщение от Без аргументов (?), 27-Июл-22, 19:24	+/–
а когда глянул в json-чики, там и имейлы других пользователей спалили с другими их данными
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #53 Ответы: #57, #105

55. Сообщение от Анонн (?), 27-Июл-22, 19:27	+1 +/–
Один аноним при упоминании Си не смог не стригерится и не написать про раст. И у него отвалились жoпа :(
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #61, #86

56. Сообщение от Аноним (56), 27-Июл-22, 19:28	+2 +/–
Пиши сразу на webassembly. Или не асилил?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #76

57. Сообщение от qwe (??), 27-Июл-22, 20:11	+1 +/–
Где-то с год назад на довольно популярном в России сайте изучения английского языка также наткнулся на то, что в API обсуждений заданий возвращалось гораздо больше информации, чем это нужно было для отображения участников дискуссии. Причем не рандомных пользователей, а всех пользователей дискуссии, включая модераторов. Просто рай для конкурентов и спамеров. Сообщил, исправили по-тихому, довольно быстро. Потом решил посмотреть более внимательно на сей сайт и уже через полчаса окончательно уверился, что я правильно делаю, стараясь не указывать реальных данных на сайтах, где это возможно. Больше не смотрел и сообщать не стал. С SQL инъекциями современные кодеры хоть как-то справились используя фреймворки разного качества, то дырявое API, по моим наблюдениям - у каждого второго. Причем не только на чтение но и на запись.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

58. Сообщение от qwe (??), 27-Июл-22, 20:43	+/–
Речь как я понял речь тут о том, что при определенной комбинации кода (пакетов) на сервере, клиент может менять код на сервере посредством передачи специально оформленных входных данных. Причем именно не поведение кода, а сам код. Конечно, такое можно провернуть и на других платформах (привет глобальным переменным PHP и функциям типа eval), но JS тут всех переплюнул: он дает возможность поменять поведение всех экземпляров уязвимого класса, а не только того, которому "повезло" обработать данные с инъекцией.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #71

60. Сообщение от Bun.sh (?), 27-Июл-22, 21:10	+/–
Так уже https://bun.sh
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

61. Сообщение от истина в последней инстанции (?), 27-Июл-22, 21:30	+/–
Другое дело растоман с враждённым растоманским ДЦП. И без жопы (перманентное недержание) и без мозгов (вытекли до того как запустился)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #116

62. Сообщение от истина в последней инстанции (?), 27-Июл-22, 21:32	–2 +/–
> Уж сколько раз твердили миру: new std::map(). поправил, не благодари.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49 Ответы: #94

63. Сообщение от Аноним (63), 27-Июл-22, 21:39	+/–
Победили Flash
Ответить | Правка | Наверх | Cообщить модератору

64. Сообщение от Sw00p aka Jerom (?), 27-Июл-22, 21:39	+/–
какая разница и те и те дрочат:)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33

65. Сообщение от Аноним (65), 27-Июл-22, 22:03	+/–
Или пример закона По.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #68

68. Сообщение от Аноним (68), 27-Июл-22, 22:52	+/–
Это вряд ли, не тот сайт. Ты тут напиши, что консоль DOS лучше консоли Linux потому что экономно расходует память - увидишь как радостно поведутся на троллинг в ветке на сотню комментариев.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65 Ответы: #78

70. Сообщение от Аноним (102), 28-Июл-22, 00:00	–1 +/–
Придется __proto__ фильтровать во всем что пришло от пользователя. Уязвимость уровня php phar
Ответить | Правка | Наверх | Cообщить модератору

71. Сообщение от Аноним (71), 28-Июл-22, 05:07	+/–
Ровно точно так же, как в комплируемых языках, если код одного из модулей может посредством удаленных команд читать и писать из указанных удаленно адресов памяти, можно, при некоторой осторожности, точно так же крутить и вертеть всем приложением и делать все что угодно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58 Ответы: #92

73. Сообщение от Аноним (73), 28-Июл-22, 07:12	+2 +/–
Object.create(null) хватит всем.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49 Ответы: #98

76. Сообщение от Аноним (76), 28-Июл-22, 08:23	+/–
Его и не надо осиливать, если надо выдавать результат (относительно) быстро при худо-бедно приемлемом качестве. Ты же на ассемблере большой и сложный проект писать не будешь (а если и будешь то ты или фрик или хобби у тебя такое). Так и тут, выбирай свой любимый язычок, в котором есть поддержка компиляции в вебассембли и соответствующий фреймворк - "и вперьод!". Ну например возьмешь какой-нибудь Blazor от мелкомягких или раст :) с одним из пары-тройки растовских веб-фреймворков.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56 Ответы: #80

77. Сообщение от Аноним (76), 28-Июл-22, 08:27	+/–
Майнить крипту на каждом утюге планеты. Больше узлов - больше сатошиков.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

78. Сообщение от мевин (?), 28-Июл-22, 08:53	+1 +/–
Всегда радует как люди без фантазии изящно называют свой неприкрытый дебилизм "троллинг". Маркетологи хорошо постарались, втянув 80% смотреть интернет-рекламу.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68 Ответы: #84

79. Сообщение от мевин (?), 28-Июл-22, 08:58	+/–
Накинулись на мальчонку лол. Малыш, ты будешь немного удивлен, узнав чуть получше о жизненном цикле своих прекрасных дам файликов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

80. Сообщение от мевин (?), 28-Июл-22, 09:01	+/–
Ты предложил язык от мелко мягких и фрейм от мразософт. А ты хитрый:) Мелкосовт проиграл войну браузеров и решил зайти в веб с черного хода.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76 Ответы: #85

81. Сообщение от мевин (?), 28-Июл-22, 09:02	+/–
> говорят Врут безбожно
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #111

82. Сообщение от мевин (?), 28-Июл-22, 09:06	+/–
> так понимаю Неверно понимаешь. Матрикс блочит
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

83. Сообщение от Аноним (83), 28-Июл-22, 09:15	–2 +/–
Так уже https://bun.sh/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #89

84. Сообщение от Аноним (68), 28-Июл-22, 09:25	+1 +/–
Не, это не только отсутствие ч. ю., но еще и чрезмерная серьезность. Ядреная комбинация.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #78

85. Сообщение от Аноним (76), 28-Июл-22, 09:56	+/–
я же сразу предложил в ассортименте (опережая твою следующую ремарку - не г.вна!), сказал же:  "...или раст :) с одним из пары-тройки растовских веб-фреймворков". Выбирай на вкус или ищи/пиши веб-фреймворк для своего любимого язычка с "канпелятором в LLVM" чтобы в вебассембли было проще перегонять.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80

86. Сообщение от Аноним (86), 28-Июл-22, 10:40	+/–
Параноики, что сказать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

87. Сообщение от Аноним (102), 28-Июл-22, 10:49	+/–
Что ещё ждать от так называемых программистов. Сколько бы на опеннетные эксперты не объясняли им, что они просто "Обезьянки", они все равно продолжают писать свои так называемые программы, на так называемых языках программирования
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

88. Сообщение от Аноним (88), 28-Июл-22, 11:01	+/–
Говорят, в архитектуре фон Неймана код ничем не отличается от данных (передаваемых через http-запрос).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #106

89. Сообщение от Вы забыли заполнить поле Name (?), 28-Июл-22, 11:32	+1 +/–
> extending JavaScriptCore, the engine Эмм. JavaScriptCore на чем написан, Карл?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #83

90. Сообщение от Вы забыли заполнить поле Name (?), 28-Июл-22, 11:35	+/–
Желтый заголовок какой-то. Причем тут сам Node.js? То есть есть модули, которые не проверяют ввод пользователя и если их использовать то можно получить уязвимость? Ок. Вообще сама уязвимость стара как мир. Еще на CTF 18 года ее юзал.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #96

91. Сообщение от Вы забыли заполнить поле Name (?), 28-Июл-22, 12:06	+1 +/–
Насколько я помню свойство __proto__ вообще deprecated было https://developer.mozilla.org/en-US/docs/Web/JavaScript/Refe... Но его все же в стандарт добавили, чтобы не ломать сильно интернет. Вообщем как обычно: сделали глупость, глупость заиспользовали макаки, глупость добавили в стандарт (facepalm)
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #101

92. Сообщение от qwe (??), 28-Июл-22, 13:37	+/–
Что, вот прям так, через манипуляцию свойством объекта можно изменить код всего класса, причем вполне легитимными для языка методами? Переполнения буфера, стека и т.д. я знаю, но это немного другое, скорее управление неопределенным поведением программы, а не "все нормально, так и должно быть". По мне так когда я пишу такое: let a = {}; a = c; при этом не слежу ни за 'b' ни за 'c', и получаю уязвимость - это нормально, это стандартный механизм языка, сам дурак. А вот когда результат моего головотяпства выходит за пределы *локальной* переменной 'a' и это считается нормальным, стандартным механизмом языка, то сие начинает немного напрягать: как так, теперь нужно следить не только за глобальными и локальными переменными в коде но и за всем ядром языка. Но зато гибко и порой удобно. Да и вообще, чего переживать, ведь весь код мой и все это не выходит за пределы браузера пользователя... Подождите, что? Это теперь на серверах? Какой еще NPM?!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71 Ответы: #93

93. Сообщение от qwe (??), 28-Июл-22, 13:39	+/–
Блин, там весь мой чудо-код сломался. Сорри.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #92 Ответы: #97

94. Сообщение от Вы забыли заполнить поле Name (?), 28-Июл-22, 14:09	+/–
>> Уж сколько раз твердили миру: new std::map(). > поправил, не благодари. Зачем тебе new с std::map? Он сам внутри память выделяет, а его обычно выделяют на стеке (как и std::vector и прочие контейнеры).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62

95. Сообщение от Вы забыли заполнить поле Name (?), 28-Июл-22, 14:12	+1 +/–
>>Если в коде приложения встречается присвоение "obj[a] = value" > Уж сколько раз твердили миру: new Map(). Просто JSON parse возвращает объект, а не Map. Плюс вложенные ключи не сохранить, optional chaining нельзя использовать. То есть да, Map правильно, но также поощрают использовать обычные объекты.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

96. Сообщение от Аноним (96), 28-Июл-22, 14:26	+/–
Проблема не в отсутствии проверки данных от пользователя. Не должен разраб знать и фильтровать все эти служебные слова с подчёркиваниями __ __
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #90

97. Сообщение от Аноним (18), 28-Июл-22, 14:49	+/–
Точно так же, как можно в любом одном месте сделать int offset = get_offset_from_inet(); int val = get_val_from_inet(); my_arr[offset] = val; и поиметь проблем во всем приложении. Чем отсутвие валидации входных в одном языке, отличаются от другого? А уж тем более, если будет саботаж в коде самого приложения. Я не защищаю js. Подобные вещи меня в нем всегда напрягали. Но, я думаю, и в какой-нибудь джаве через рефлексию можно подобное наворотить. Тут разговор идет скорее о том, насколько это легко делается в js, но принципиально это не меняет ситуацию.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #93

98. Сообщение от Аноним (102), 28-Июл-22, 15:56	+/–
Только json.parse возвращает объекты с  __proto__
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73

99. Сообщение от olegz (ok), 28-Июл-22, 16:17	+/–
если только на сервере, то не вижу большой проблемы. Просто надо следить за зависимостями проекта
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #118

100. Сообщение от Аноним (65), 28-Июл-22, 16:27	+/–
С каких это пор "блоки кода" стали называться "гаджетами"? Хоть бы дали точное определение, что имели в виду, а то гугол выдаёт всякую хрень
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #110, #117

101. Сообщение от Аноним (65), 28-Июл-22, 16:32	–1 +/–
Чего ж ты не влез в комитет и не показал всем, как надо?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #91 Ответы: #112

102. Сообщение от Аноним (102), 28-Июл-22, 17:44	+/–
Казалось бы какое дело до rust, анонимным opennet экспертам, они ни на Раст не пишут, ни на js, ни на java, ни на Си, но в каждой новости наваливают целые кучи своего ценного мнения
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

103. Сообщение от fuggy (ok), 28-Июл-22, 17:53	–3 +/–
Прототипное наследование хорошо говорили они. Только забыли что все объекты наследуются от object клоаки. И то есть получается, что через класс Dog я могу поменять класс Cat — отлично.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #113, #127

104. Сообщение от Аноним (-), 28-Июл-22, 19:57	+/–
> Я спросил где твой софт на нём? Например в микроконтроллерах. А если по мелочи то я патчей довольно много куда закидывал так то. > Но при чём тут ты, хейтерок? При том что я с этими дядями совместно работаю над некоторыми вещами при случае? А что до хейта, ты начал безблаголатный понт с синдромом утенка сам, какое к тебе отношение после этого должно быть?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

105. Сообщение от Аноним (-), 28-Июл-22, 20:01	+/–
А я вообще уронил вон тому вебмакакеру его чудо-код первым же реквестом. Пора йогой заняться - двойного фэйспалма уже недостаточно!!!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #54

106. Сообщение от Аноним (-), 28-Июл-22, 20:03	+/–
Говорят, лекции по CS прогуливать не надо... хотя сельпошному кодеру и так сойдет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #88 Ответы: #109

107. Сообщение от Аноним (-), 28-Июл-22, 20:11	+/–
> А теперь шаг 2 ( вообще-то с него и стоило начать ) - попробуй добиться > исполнения нужного кода на стороне сервера Оно как бы да, но вон там все же забавный фокус придумали. Сколько еще таких нежданчиков в JS зарыто - вопрос интересный.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

108. Сообщение от Аноним (-), 28-Июл-22, 20:16	+/–
> Так не ходи во враждебную вебню. Ходи в гофер. А я им даже пользуюсь. Поприятене вебни так то - делает то что заявлено, без потуг майнить коины и шпионить для полпланеты, мегалибы на 2 метра для валидации пары полей в форме не грузит, все дела. Вебню реально использовать только с очень кастомными настройками браузера, жестким адблокером и веб-файрволом. Без всего этого - оно столь же круто и безопасно как иметь портовую б-дь без презика. Потом заманаешься лечить последствия.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

109. Сообщение от Аноним (109), 28-Июл-22, 20:19	+/–
Скрипт на (ba)sh, lua, js, sql, postscript, и т.д., в том числе на Тьюринг-полном css - это код или данные?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #106

110. Сообщение от Аноним (-), 28-Июл-22, 20:19	+/–
> Так не ходи во враждебную вебню. Ходи в гофер. Примерно вечность. Просто этот сленг практикуется в немного другой тусовочке нежели вебмакаки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #100

111. Сообщение от Аноним (109), 28-Июл-22, 20:33	+/–
> Врут безбожно Оскорбление чувств верующих в отсутствие (единственного) бога.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #81

112. Сообщение от Вы забыли заполнить поле Name (?), 29-Июл-22, 09:33	+1 +/–
> Чего ж ты не влез в комитет и не показал всем, как > надо? Мне не интересен js. А надо ввести версионирование js по аналогии со стандартами в с++. В старых версиях убрать все упячки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #101 Ответы: #115

113. Сообщение от Вы забыли заполнить поле Name (?), 29-Июл-22, 10:57	+1 +/–
> Прототипное наследование хорошо говорили они. Только забыли что все объекты наследуются > от object клоаки. И то есть получается, что через класс Dog > я могу поменять класс Cat — отлично. Прототипное наследование тут не при чем. В питоне точно также можно этого добиться.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #103 Ответы: #121

114. Сообщение от Аноним (114), 29-Июл-22, 11:22	+2 +/–
> Это не только в typescript, ещё и rust туда-же Только бездарные дилетанты и дешевые бросуны сравнивают TS и Rust. Если понимать что делаешь, то да, Rust гораздо безопаснее, потому что экономит кучу времени на рутинные повторяющиеся проверки. А если не понимать, то конечно, ни Rust, и ничто вообще ничего не гарантирует И такие бездари обычно наезжают на Rust просто от бессильной зависти, потому что у них вообще нигде ничего не получается, хоть вероятноть неудачи в Rust гораздо меньше, но они стабильно и неизбежно умудряются напороться каждый раз именно на эту вероятность, а потом свой дилетантский обиженный опыт выдают якобы за истину. Поэтому они и выбирают что похуже, боясь в страхе позора приблизиться к чему получше, чтобы в общей массовке дилетантов не так было обидно, и из общей кучи потом уже злобно тявкают по сторонам, в своем бессилии на что-то повлиять и что-то самим путное сделать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

115. Сообщение от НяшМяш (ok), 29-Июл-22, 13:33	+/–
> Мне не интересен js. А надо ввести версионирование js по аналогии со > стандартами в с++. В старых версиях убрать все упячки. Так хотели сделать в ECMAScript 4 ещё сто лет назад - но хомяки пролоббировали оставить все упячки.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #112

116. Сообщение от НяшМяш (ok), 29-Июл-22, 13:37	+/–
> Другое дело растоман с враждённым растоманским ДЦП. Всем бы дцпшникам такого дцп. Всяко лучше жсной микроцефалии.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

117. Сообщение от Аноним (117), 29-Июл-22, 20:55	+1 +/–
Это такие блоки кода, которые можно использовать в своих целях как отдельный элемент. Слово гаджет в русском языке засижено маркетологами и означает то же, что смартфон или ещё какая-нибудь техника, но в английском это более общее понятие. В словарях все есть.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #100

118. Сообщение от Аноним (118), 31-Июл-22, 03:34	+/–
> Просто надо следить за зависимостями проекта Ты же сейчас пошутил? В среднем проекте от 1000 - 4000 зависимостей. Ты или создаешь свою вселенную с нуля или просто нет смысла использовать NodeJS.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #99

119. Сообщение от burjui (ok), 31-Июл-22, 14:06	+/–
А, может, это человек, который не читает документацию и безопасность спихивает на язык - зло?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

120. Сообщение от burjui (ok), 31-Июл-22, 14:07	+/–
А ещё в JavaScript и C++, и вообще в любом ЯП. И?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

121. Сообщение от Че769 (?), 01-Авг-22, 09:06	–1 +/–
Сперва добейся
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #113 Ответы: #122

122. Сообщение от Вы забыли заполнить поле Name (?), 01-Авг-22, 17:13	+2 +/–
> Сперва добейся class A:         x = 1          class B(A): pass          class C(A):         def __init__(self):             self.__class__.__bases__[0].x = 2                                                                                                          b = B()     assert b.x == 1     c = C()     assert b.x == 2
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #121

124. Сообщение от мяя (?), 02-Авг-22, 23:49	+/–
https://github.com/nodejs/node/issues/31951
Ответить | Правка | Наверх | Cообщить модератору

127. Сообщение от Аноним (127), 03-Авг-22, 02:06	+/–
лол, то, что ты можешь сделать теж же сях на уровне доступа к памяти ни в какое сравнение не идет с этим
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #103

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема