pragmatik, ты не соскакивай. Ты начал не в тему топика меня (лично!) задевать, что-де нашли дырку в ВП (??!!), и любой школьник сможет ею воспользоваться.
Ты считаешь себя далеко не школьником, значит сможешь. Так докажи или не балаболь!
pragmatik: Вы точно уверены в надежности WP?
На сегодняшний момент - да. (И да, я никогда не говорил "все уязвимости WP давно пофиксили". Я говорил "на сегодня в ядре ВП нет (известных) критичных уязвимостей" и "на сегодня ВП - один из самых безопасных движков")
Какого ты вообще притянул в топик ВП? К тому же показав пофикссенные проблемы не в нём.
pragmatik: после чего их уже используют всякие скрипт-кидс, не обладающие специальными познаниями.
Для тебя и не понимающих с двух раз повторяю в 3-й и последний:
SeVlad: 99% успешных взломов производит из-за некачественной прокладки между креслом и клавиатурой. И двиг тут абсолютно не причём.
pragmatik: Поэтому длительность такого спора должна быть исключительно бессрочной.
Ага, за 50 лет научишь говорить осла :) Нашелся, тут Ходжа.. :)
Так что, мне искать хостинг с тестом на месяц? Покажешь как это школота сможет воспользоваться опубликованной уязвимостью?
pragmatik: для реалистичности эксперимента этот спор должен быть бессрочным
Ты, видимо, меня попутал с необразованным клиентом. Бессрочного ничего не бывает. Тем более в IT.
Одного дня вполне достаточно, что бы воспользоваться опубликованной уязвимостью. Ок, дам 10 дней. А то и месяц (ща, только найду хостинг с таким тест периодом).
RiDDi: показывают бяку только тем, кто заведомо простой пользователь,
А как они определят "заведомо простого пользователя" по ИП? Соберут ИП всех провайдеров? Это не реально. Ну предположим что им абсолютно всех и не надо и они довольствуются небольшим списком. Так те же сканеры вполне могут использовать ИП провайдеров-хоумланщиков.
Но это всё теоретические фантазии. В реальности я как-то не встречал столь масштабных выборок. Как правило они (злоумыленники) используют определение ЮА и рефферера. Возможно более умные вскоре будут набирать "интересы юзера" (это я ща о зловредных плагинах в браузерам) и подкладывать\редеректить_на более релевантные цели.
mon0: Почему не искать на сервере сразу в этом логе исполняя его?
Можно я за RiDDi (что бы он лишний раз не психовал ;)) в 10й раз покажу проблему? В стартпосте он давал ссылки, побудившие его создать этот "антивирус".
RiDDi: никак не могу объяснить
Мб, правда, как-то не так объясняешь? ;) Я правда не вижу ни ЦА твоего проекта (если не считать тех, кто работает на развод клиентов красивыми фразами), ни смысла, кроме как борьбы с плагинами. При этом считаю, что "борьба с плагинами" если не преждевременна, то скоро станет бесполезна - производители должны будут это пификсить (как минимум удалить такие плаги из репо и заблокировать их использование).
RiDDi: Я предлагал банить не все ссылки, а лишь несанкционированные.
А кстати,как однозначно отличить несанкционированные от правильных, если последние могут быть сделаны по "методу бурундука" (условно так назовём ;), ссылка выше). Ну т.е. догружаемые яаксом в зависимости от условий юзера (тот же ЮА, ИП\регион и тп)? Анриал ИМХО. А значит есть потенциальный риск похерить нужное.
Школота не способна взломать и по опубликованным уязвимостям :) Но при одном условии - админ сайта дружит с головой и соблюдает элементарные требования безопасности. А если у него пароль на суперадмина - 123, то тут и брутера не надо. (а есть такие, что вообще в паблик выкладывают доступы не только в админку сайта, а и в биллинг хостера)
Единственная проблема популярного паблик-ПО - его популярность. Поэтому на него и производят атаки. Но это же не значит что ПО дырявое. Надо просто уметь отбивать эти атаки.
99% успешных взломов производит из-за некачественной прокладки между креслом и клавиатурой. И двиг тут абсолютно не причём. :)
pragmatik, ты не соскакивай. Ты начал не в тему топика меня (лично!) задевать, что-де нашли дырку в ВП (??!!), и любой школьник сможет ею воспользоваться.
Ты считаешь себя далеко не школьником, значит сможешь. Так докажи или не балаболь!
Вы точно уверены в надежности WP?
На сегодняшний момент - да. (И да, я никогда не говорил "все уязвимости WP давно пофиксили". Я говорил "на сегодня в ядре ВП нет (известных) критичных уязвимостей" и "на сегодня ВП - один из самых безопасных движков")
Какого ты вообще притянул в топик ВП? К тому же показав пофикссенные проблемы не в нём.
после чего их уже используют всякие скрипт-кидс, не обладающие специальными познаниями.
Для тебя и не понимающих с двух раз повторяю в 3-й и последний:
99% успешных взломов производит из-за некачественной прокладки между креслом и клавиатурой. И двиг тут абсолютно не причём.
Поэтому длительность такого спора должна быть исключительно бессрочной.
Ага, за 50 лет научишь говорить осла :) Нашелся, тут Ходжа.. :)
Так что, мне искать хостинг с тестом на месяц? Покажешь как это школота сможет воспользоваться опубликованной уязвимостью?
для реалистичности эксперимента этот спор должен быть бессрочным
Ты, видимо, меня попутал с необразованным клиентом. Бессрочного ничего не бывает. Тем более в IT.
Одного дня вполне достаточно, что бы воспользоваться опубликованной уязвимостью. Ок, дам 10 дней. А то и месяц (ща, только найду хостинг с таким тест периодом).
ЗЫ. со спасибой - то ошибка. Промахнулся.
Ага, конечно. Вы еще забыли добавить своё любимое "все уязвимости WP давно пофиксили".
ЗЫ: https://vk.com/wall-37695705_668
Вот ты меня поражаешь... Вроде местами не дурак, а как что-то отморозишь...
Тимтумб - давно гугловская разработка (и никогда не была ВПшной). Используется не только в ВП, а ещё в сотне др движков, включая самописы.
ОК, я тебе дам ВП*- сломаешь? Если да - обещаю написать что ВП дыврявый и ссылаться на это каждый раз. А если нет - будем считать тебя балаболкой?
По рукам или сливаешься?
АПД. * Обещаю даже не ставить ни одного плагина для безопасности. Да и вообще ни одного.
АПД2. Для всех. К вопросу о публикациях уязвимостей и каждых школьников.
1. Обратите внимание на даты публикования уязвимости и версий тимтумба. r219.
2. Ждём сводок с фронтов, что кто-то воспользовался этой уязвимостью :)
Если ПО не дырявое - атак на ПО не будет (именно на ПО).
А если голову включить? Наличие хороших дверей может гарантировать отсутствий попыток взлома\обхода?
Так же и по остальному.. Думать не хочешь. Ты начитался пугалок (навтирали разработчики самописов?), а главного не усвоил. Повторяю и закругляюсь:
99% успешных взломов производит из-за некачественной прокладки между креслом и клавиатурой. И двиг тут абсолютно не причём.
Самопис же проще ддосить,
ДДОСить движок не возможно :) Учи-таки матчасть, что бы участвовать в подобных дискуссиях. Хотя бы определения хуизху надо знать.
и пример кода делающего это?
Я говорил - кодов давать не буду. Могу лишь показать творения бурундука (в тч. см исходный код морды сайта)
показывают бяку только тем, кто заведомо простой пользователь,
А как они определят "заведомо простого пользователя" по ИП? Соберут ИП всех провайдеров? Это не реально. Ну предположим что им абсолютно всех и не надо и они довольствуются небольшим списком. Так те же сканеры вполне могут использовать ИП провайдеров-хоумланщиков.
Но это всё теоретические фантазии. В реальности я как-то не встречал столь масштабных выборок. Как правило они (злоумыленники) используют определение ЮА и рефферера. Возможно более умные вскоре будут набирать "интересы юзера" (это я ща о зловредных плагинах в браузерам) и подкладывать\редеректить_на более релевантные цели.
Почему не искать на сервере сразу в этом логе исполняя его?
Можно я за RiDDi (что бы он лишний раз не психовал ;)) в 10й раз покажу проблему? В стартпосте он давал ссылки, побудившие его создать этот "антивирус".
никак не могу объяснить
Мб, правда, как-то не так объясняешь? ;) Я правда не вижу ни ЦА твоего проекта (если не считать тех, кто работает на развод клиентов красивыми фразами), ни смысла, кроме как борьбы с плагинами. При этом считаю, что "борьба с плагинами" если не преждевременна, то скоро станет бесполезна - производители должны будут это пификсить (как минимум удалить такие плаги из репо и заблокировать их использование).
Я предлагал банить не все ссылки, а лишь несанкционированные.
А кстати,как однозначно отличить несанкционированные от правильных, если последние могут быть сделаны по "методу бурундука" (условно так назовём ;), ссылка выше). Ну т.е. догружаемые яаксом в зависимости от условий юзера (тот же ЮА, ИП\регион и тп)? Анриал ИМХО. А значит есть потенциальный риск похерить нужное.
Самые обычные темные шампиньены.
Кому обычные, а я так первый раз о таких слышу :)
масло для казана
Спецальное какое-то масло?
Да, ты не сказал что за грибы.
Ида, тебе пора заводить свой кулинарный блог (если чо, я помогу ;) )
и вообще - я иногда готовлю сам!
Эта.. ломтик лимона на бокал или вишенку на мороженку - это не то "готовить".
Шутю, канешна. Не ожидал 🍻
В форме регистрации должна быть каптча, которую сложно прочитать.
100% вариант отсечь людей :)
Чтобы боты не смогли ее "прочитать".
Боты "читают" капчи гораздо быстрее и эффективней, чем люди.
Только школота не тратит время на самопис
Школота не способна взломать и по опубликованным уязвимостям :) Но при одном условии - админ сайта дружит с головой и соблюдает элементарные требования безопасности. А если у него пароль на суперадмина - 123, то тут и брутера не надо. (а есть такие, что вообще в паблик выкладывают доступы не только в админку сайта, а и в биллинг хостера)
Единственная проблема популярного паблик-ПО - его популярность. Поэтому на него и производят атаки. Но это же не значит что ПО дырявое. Надо просто уметь отбивать эти атаки.
99% успешных взломов производит из-за некачественной прокладки между креслом и клавиатурой. И двиг тут абсолютно не причём. :)