Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Атака на Node.js через манипуляции с прототипами объектов JavaScript, opennews (?), 27-Июл-22, (0) [смотреть все] Это не тот который тут вчера панельку создал для kde на этом г Обезьянки такие о, истина в последней инстанции (?), 16:21 , 27-Июл-22, (1) +16 // У него на божественном typescript, а тут дырявый javascript, ананоша (?), 16:25 , 27-Июл-22, (2) –4 // Аксиома Эскобара , Аноним (4), 16:28 , 27-Июл-22, (4) // ШОК Если атакующий может выполнить код, чтобы изменить прототип, то он может не, Аноним (48), 18:53 , 27-Июл-22, (48) +7 Говорят, в архитектуре фон Неймана код ничем не отличается от данных передаваем, Аноним (88), 11:01 , 28-Июл-22, (88) Говорят, лекции по CS прогуливать не надо хотя сельпошному кодеру и так сойде, Аноним (-), 20:03 , 28-Июл-22, (106) Скрипт на ba sh, lua, js, sql, postscript, и т д , в том числе на Тьюринг-полно, Аноним (109), 20:19 , 28-Июл-22, (109) А на тайпскрипте что-то такое не прокатит , Аноним (-), 16:34 , 27-Июл-22, (7) Вот ещё почему typesciprt - зло Человек начинает думать, что его код безопасен,, th3m3 (ok), 16:36 , 27-Июл-22, (9) +9 // Это не только в typescript, ещё и rust туда-же, истина в последней инстанции (?), 18:27 , 27-Июл-22, (40) +3 Только бездарные дилетанты и дешевые бросуны сравнивают TS и Rust Если понимать , Аноним (114), 11:22 , 29-Июл-22, (114) +2 А ещё в JavaScript и C , и вообще в любом ЯП И , burjui (ok), 14:07 , 31-Июл-22, (120) А, может, это человек, который не читает документацию и безопасность спихивает н, burjui (ok), 14:06 , 31-Июл-22, (119) Выше вы прочитали переписку людей без чувства юмора , Аноним (35), 17:50 , 27-Июл-22, (35) +2 // Или пример закона По , Аноним (65), 22:03 , 27-Июл-22, (65) Это вряд ли, не тот сайт Ты тут напиши, что консоль DOS лучше консоли Linux пот, Аноним (68), 22:52 , 27-Июл-22, (68) Всегда радует как люди без фантазии изящно называют свой неприкрытый дебилизм т, мевин (?), 08:53 , 28-Июл-22, (78) +1 Не, это не только отсутствие ч ю , но еще и чрезмерная серьезность Ядреная ком, Аноним (68), 09:25 , 28-Июл-22, (84) +1 Знаменитая Фракталова дырень , Владимир (??), 19:22 , 27-Июл-22, (52) +6 То ли дело remote дырень в ядре линукса на православной сишечке Там вообще root, Аноним (17), 16:54 , 27-Июл-22, (17) // ну перепиши linux kernel на JS, посмотрим какие там будут уязвимости И переписа, Аноним (20), 16:59 , 27-Июл-22, (20) +2 // Ну перепиши web приложение на C, посмотрим какие там будут уязвимости и сколько , Аноним (27), 17:22 , 27-Июл-22, (27) –8 Как где У тебя, баклан Ты бы без сишечки сюда на опеннетик вообще пискнуть не , Аноним (-), 17:28 , 27-Июл-22, (28) +3 Я спросил где твой софт на нём То, что умные американские дяди написали и ядро, , Аноним (27), 18:10 , 27-Июл-22, (36) –4 Мой - у меня и организаций, в которых я работал Немножечко на гитхабе - то, что, YetAnotherOnanym (ok), 18:39 , 27-Июл-22, (46) Например в микроконтроллерах А если по мелочи то я патчей довольно много куда з, Аноним (-), 19:57 , 28-Июл-22, (104) Не поверишь Вагон И качество куда получше , истина в последней инстанции (?), 18:30 , 27-Июл-22, (43) –1 они все в закрытой репе у Intel в виде патчей для yocto linux , Аноним (20), 18:40 , 27-Июл-22, (47) –1 Норм такая подмена понятия Сначала вебприложения, потом просто приложения , мимо (?), 19:03 , 27-Июл-22, (51) буквально пару мес назад вебманки нахимичили в сайте ПР так, что мне показывалис, Без аргументов (?), 19:23 , 27-Июл-22, (53) –1 а когда глянул в json-чики, там и имейлы других пользователей спалили с другими , Без аргументов (?), 19:24 , 27-Июл-22, (54) Где-то с год назад на довольно популярном в России сайте изучения английского яз, qwe (??), 20:11 , 27-Июл-22, (57) +1 А я вообще уронил вон тому вебмакакеру его чудо-код первым же реквестом Пора йо, Аноним (-), 20:01 , 28-Июл-22, (105) Накинулись на мальчонку лол Малыш, ты будешь немного удивлен, узнав чуть получше, мевин (?), 08:58 , 28-Июл-22, (79) Пофиксил , Аноним (50), 18:59 , 27-Июл-22, (50) А что за дырень Посвяти на нее, может ссылка есть , Аноним II Великолепный (?), 17:03 , 27-Июл-22, (23) Тут нет никакой дырени, если приложение разрешает менять свой код то это проблем, Аноним (25), 17:05 , 27-Июл-22, (25) +1 Толи дело раст Ни одного проекта законченного так и не появилось Мертвячина , истина в последней инстанции (?), 18:28 , 27-Июл-22, (41) +1 // Один аноним при упоминании Си не смог не стригерится и не написать про раст И у , Анонн (?), 19:27 , 27-Июл-22, (55) +1 Другое дело растоман с враждённым растоманским ДЦП И без жопы перманентное нед, истина в последней инстанции (?), 21:30 , 27-Июл-22, (61) Всем бы дцпшникам такого дцп Всяко лучше жсной микроцефалии , НяшМяш (ok), 13:37 , 29-Июл-22, (116) Параноики, что сказать , Аноним (86), 10:40 , 28-Июл-22, (86) Казалось бы какое дело до rust, анонимным opennet экспертам, они ни на Раст не п, Аноним (102), 17:44 , 28-Июл-22, (102) Что ещё ждать от так называемых программистов Сколько бы на опеннетные эксперты , Аноним (102), 10:49 , 28-Июл-22, (87) Прекратите кибербулить мой любым JavaScript b , Аноним (3), 16:28 , 27-Июл-22, (3) –6 // дни жабыскрипта сочтены, такой удар еще не переживал ни один язык погроммирован, Аноникалипсатор7 (?), 16:39 , 27-Июл-22, (12) +1 Пиши сразу на webassembly Или не асилил , Аноним (56), 19:28 , 27-Июл-22, (56) +2 // Его и не надо осиливать, если надо выдавать результат относительно быстро при , Аноним (76), 08:23 , 28-Июл-22, (76) // Ты предложил язык от мелко мягких и фрейм от мразософт А ты хитрый Мелкосовт п, мевин (?), 09:01 , 28-Июл-22, (80) я же сразу предложил в ассортименте опережая твою следующую ремарку - не г вна , Аноним (76), 09:56 , 28-Июл-22, (85) ужас, как все запущено, надо срочно переписывать ноду на раст, Аноникалипсатор5 (?), 16:31 , 27-Июл-22, (5) // Так уже Называется deno , Quarck (?), 16:39 , 27-Июл-22, (10) +3 // Это какое-то DeNo Надо было и интерпретировать синтакс хруста Кстати до чег, Аноним (-), 17:30 , 27-Июл-22, (29) уже давно переписали https deno land , Ф1 (?), 16:40 , 27-Июл-22, (13) +1 // тогда надо переписать еще раз, дважды, Аноникалипсатор7 (?), 16:43 , 27-Июл-22, (14) // Так уже https bun sh, Bun.sh (?), 21:10 , 27-Июл-22, (60) Там ещё V8 на мерзких крестах, его теперь надо переписать s, НяшМяш (ok), 16:50 , 27-Июл-22, (15) // Так уже https bun sh , Аноним (83), 09:15 , 28-Июл-22, (83) –2 Эмм JavaScriptCore на чем написан, Карл , Вы забыли заполнить поле Name (?), 11:32 , 28-Июл-22, (89) +1 Говорят за этим языком все операционные системы будущего Ах да, забыл уже 9, Анна Нист (?), 16:34 , 27-Июл-22, (6) –1 // Все операционные системы ботнетов будущего 8 , Аноним (-), 16:35 , 27-Июл-22, (8) // если всё будет ботнет, то смысл тогда в ботнете как таковом , pork chop suey (?), 16:39 , 27-Июл-22, (11) // После узнаете , Ботнет (?), 17:30 , 27-Июл-22, (30) Майнить крипту на каждом утюге планеты Больше узлов - больше сатошиков , Аноним (76), 08:27 , 28-Июл-22, (77) Анна Нист забыл или забыла , Аноним (33), 17:33 , 27-Июл-22, (33) // какая разница и те и те дрочат , Sw00p aka Jerom (?), 21:39 , 27-Июл-22, (64) Врут безбожно, мевин (?), 09:02 , 28-Июл-22, (81) // Оскорбление чувств верующих в отсутствие единственного бога , Аноним (109), 20:33 , 28-Июл-22, (111) это ведь нельзя выполнить с клиента, правильно в частности require bytes , olegz (ok), 16:53 , 27-Июл-22, (16) // Выполнить то много что можно но суть в выполнении именно на стороне сервака, Бывалый смузихлёб (?), 18:20 , 27-Июл-22, (38) +2 // если только на сервере, то не вижу большой проблемы Просто надо следить за зави, olegz (ok), 16:17 , 28-Июл-22, (99) // Ты же сейчас пошутил В среднем проекте от 1000 - 4000 зависимостей Ты или созда, Аноним (118), 03:34 , 31-Июл-22, (118) Да ладно, говно можно сотворить на любом языке В сях есть define true false, в, Аноним (18), 16:55 , 27-Июл-22, (18) +1 // Ух, да, только ты в рантайм define true false не передашь при всем желании, ибо, Аноним (-), 17:34 , 27-Июл-22, (34) // А теперь шаг 2 вообще-то с него и стоило начать - попробуй добиться исполнен, Бывалый смузихлёб (?), 18:25 , 27-Июл-22, (39) // Речь как я понял речь тут о том, что при определенной комбинации кода пакетов , qwe (??), 20:43 , 27-Июл-22, (58) Ровно точно так же, как в комплируемых языках, если код одного из модулей может , Аноним (71), 05:07 , 28-Июл-22, (71) Что, вот прям так, через манипуляцию свойством объекта можно изменить код всего , qwe (??), 13:37 , 28-Июл-22, (92) Блин, там весь мой чудо-код сломался Сорри , qwe (??), 13:39 , 28-Июл-22, (93) Точно так же, как можно в любом одном месте сделатьint offset get_offset_from_, Аноним (18), 14:49 , 28-Июл-22, (97) Оно как бы да, но вон там все же забавный фокус придумали Сколько еще таких неж, Аноним (-), 20:11 , 28-Июл-22, (107) Так не ходи во враждебную вебню Ходи в гофер , Аноним (42), 18:30 , 27-Июл-22, (42) // А я им даже пользуюсь Поприятене вебни так то - делает то что заявлено, без пот, Аноним (-), 20:16 , 28-Июл-22, (108) Неверно понимаешь Матрикс блочит, мевин (?), 09:06 , 28-Июл-22, (82) Браузерное поделие пустили в сервера, что теперь делать как жить как спать ка, Аноним II Великолепный (?), 16:59 , 27-Июл-22, (19) Очередной цирк безопасности , Аноним (25), 17:01 , 27-Июл-22, (21) Prototype-based programming, кушайте 3, Аноним (24), 17:03 , 27-Июл-22, (24) –1 // Вообще не в тему , Аноним (25), 17:07 , 27-Июл-22, (26) +1 Они последние 10 лет под камнем пролежали Атака на прототип это ж классика 8230, Аноним (31), 17:32 , 27-Июл-22, (31) +4 // https cve mitre org cgi-bin cvekey cgi keyword prototype pollution, Аноним (31), 17:33 , 27-Июл-22, (32) +1 Гранты сами себя не выдадут, надо статьи клепать и постить на arxiv org, Аноним (25), 18:11 , 27-Июл-22, (37) +2 // А чего сам не написал статью Получил бы грант, пожил бы с размахом , Аноним (42), 18:31 , 27-Июл-22, (44) –2 Эммм Доброе утро , Аноним (45), 18:35 , 27-Июл-22, (45) Уж сколько раз твердили миру new Map , Аноним (50), 18:56 , 27-Июл-22, (49) +1 // поправил, не благодари , истина в последней инстанции (?), 21:32 , 27-Июл-22, (62) –2 // Зачем тебе new с std map Он сам внутри память выделяет, а его обычно выделяют , Вы забыли заполнить поле Name (?), 14:09 , 28-Июл-22, (94) Object create null хватит всем , Аноним (73), 07:12 , 28-Июл-22, (73) +2 // Только json parse возвращает объекты с __proto__, Аноним (102), 15:56 , 28-Июл-22, (98) Просто JSON parse возвращает объект, а не Map Плюс вложенные ключи не сохранить, Вы забыли заполнить поле Name (?), 14:12 , 28-Июл-22, (95) +1 Победили Flash, Аноним (63), 21:39 , 27-Июл-22, (63) Придется __proto__ фильтровать во всем что пришло от пользователя Уязвимость уро, Аноним (102), 00:00 , 28-Июл-22, (70) –1 Желтый заголовок какой-то Причем тут сам Node js То есть есть модули, которые , Вы забыли заполнить поле Name (?), 11:35 , 28-Июл-22, (90) // Проблема не в отсутствии проверки данных от пользователя Не должен разраб знать, Аноним (96), 14:26 , 28-Июл-22, (96) Насколько я помню свойство __proto__ вообще deprecated было https developer mo, Вы забыли заполнить поле Name (?), 12:06 , 28-Июл-22, (91) +1 // Чего ж ты не влез в комитет и не показал всем, как надо , Аноним (65), 16:32 , 28-Июл-22, (101) –1 // Мне не интересен js А надо ввести версионирование js по аналогии со стандартами, Вы забыли заполнить поле Name (?), 09:33 , 29-Июл-22, (112) +1 // Так хотели сделать в ECMAScript 4 ещё сто лет назад - но хомяки пролоббировали о, НяшМяш (ok), 13:33 , 29-Июл-22, (115) С каких это пор блоки кода стали называться гаджетами Хоть бы дали точное оп, Аноним (65), 16:27 , 28-Июл-22, (100) // Примерно вечность Просто этот сленг практикуется в немного другой тусовочке неж, Аноним (-), 20:19 , 28-Июл-22, (110) Это такие блоки кода, которые можно использовать в своих целях как отдельный эле, Аноним (117), 20:55 , 29-Июл-22, (117) +1 Прототипное наследование хорошо говорили они Только забыли что все объекты насл, fuggy (ok), 17:53 , 28-Июл-22, (103) –3   // Прототипное наследование тут не при чем В питоне точно также можно этого добить, Вы забыли заполнить поле Name (?), 10:57 , 29-Июл-22, (113) +1   // Сперва добейся, Че769 (?), 09:06 , 01-Авг-22, (121) –1   // class A x 1 class B A pass class C A def __init__ sel, Вы забыли заполнить поле Name (?), 17:13 , 01-Авг-22, (122) +2   лол, то, что ты можешь сделать теж же сях на уровне доступа к памяти ни в какое , Аноним (127), 02:06 , 03-Авг-22, (127)   https github com nodejs node issues 31951, мяя (?), 23:49 , 02-Авг-22, (124) 1,3,5,6,16,18,19,21,24,31,45,49,63,70,90,91,100,103,124

Сообщения

[Сортировка по времени | RSS]

103. "Атака на Node.js через манипуляции с прототипами объектов Ja..."	–3 +/–
Сообщение от fuggy (ok), 28-Июл-22, 17:53
Прототипное наследование хорошо говорили они. Только забыли что все объекты наследуются от object клоаки. И то есть получается, что через класс Dog я могу поменять класс Cat — отлично.
Ответить | Правка | Наверх | Cообщить модератору

	113. "Атака на Node.js через манипуляции с прототипами объектов Ja..."	+1 +/–
	Сообщение от Вы забыли заполнить поле Name (?), 29-Июл-22, 10:57
	> Прототипное наследование хорошо говорили они. Только забыли что все объекты наследуются > от object клоаки. И то есть получается, что через класс Dog > я могу поменять класс Cat — отлично. Прототипное наследование тут не при чем. В питоне точно также можно этого добиться.
	Ответить | Правка | Наверх | Cообщить модератору

	121. "Атака на Node.js через манипуляции с прототипами объектов Ja..."	–1 +/–
	Сообщение от Че769 (?), 01-Авг-22, 09:06
	Сперва добейся
	Ответить | Правка | Наверх | Cообщить модератору

	122. "Атака на Node.js через манипуляции с прототипами объектов Ja..."	+2 +/–
	Сообщение от Вы забыли заполнить поле Name (?), 01-Авг-22, 17:13
	> Сперва добейся class A:         x = 1          class B(A): pass          class C(A):         def __init__(self):             self.__class__.__bases__[0].x = 2                                                                                                          b = B()     assert b.x == 1     c = C()     assert b.x == 2
	Ответить | Правка | Наверх | Cообщить модератору

	127. "Атака на Node.js через манипуляции с прототипами объектов Ja..."	+/–
	Сообщение от Аноним (127), 03-Авг-22, 02:06
	лол, то, что ты можешь сделать теж же сях на уровне доступа к памяти ни в какое сравнение не идет с этим
	Ответить | Правка | К родителю #103 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема