edogs: Отсутствие достаточного смысла в этом. Шанс полноценно использовать уязвимость крайне мал, а выгодна от нее призрачна и эфемерна. При этом найдя уязвимость программист явно сможет рассчитывать на дальнейшие вполне конкретные заказы, хотя бы на проверку дыр ту же.
edogs: Программист всегда сможет спрятать зловреда так, что шанс найти его программистом такого же уровня будет где-то 10%
Получается, что отдавать на проверку не эффективно
edogs: Если у Вас по настоящему крупный проект, то берите программиста в долю, что бы он был заинтересован в проекте, это во первых.
Проект не слишком крупный, суммы будут слишком малы, что бы заинтересовать хорошего программиста.
edogs: Во вторых - наймите несколько программистов и ставьте им задачи так, что бы ни один из них в отдельности не имел контроля над проектом достаточного для незаметного причинения ущерба.
Обычно я при заказах, ставил задачи так, что бы программист не понимал, или имел минимальное понимание, того как будут использоваться его работа, но в этом случае скрыть явное было практически не возможно
ivan-lev: Выкладывайте уже ваш код. Мы его быстренько разберём
Милованов Ю.С: Да выкладывайте же, но тока не простыней. Используйте хотя бы pastebin.com
В открытый доступ думаю не стоит :) Если хотите, могу дать Вам Милованов Ю.С и ivan-lev скрипт полезный, думаю и Вам пригодится, главное точно знать, что в нем нет специально сделанных дыр!
edogs: Вряд ли причина вредоносного кода в программисте.
Я вообще надеюсь, что в скрипте специально сделанных дыр не будет, так как программист хороший и хотел бы с ним работать и дальше именно поэтому и хочу его проверить хотя бы один раз.
edogs: Закажите проверку любому другому программисту. Если боитесь "рекурсии", то пусть он выдаст список найденных косяков и сделанных правок. Это будет небольшая порция данных, легко контролируемая. Опять же, у нового программера будет большой стимул найти косяки старого, поэтому на ответственность можно положиться больше, чем при написании нового кода.
Что ему помещает найти уязвимость использовать е е и не сообщить об этом мне еще и взяв деньги за проверку?
Ключевое слово думаю здесь не студия, а личная встреча, можно поговорить, пообещав большие заказы и сообщив о том, (что может быть не правдой) что Вы отдали скрипт еще на проверку в другую студию. Это будет стимулом для них найти дыры.
edogs: Это при условии поиска не слишком хорошо спрятанных, но намеренных "зловредов".
Именно намеренных то я и боюсь, так как скрипт будет работать с партнерскими ссылками, количество трафика большое соответственно мои убытки могут быть значительными и если программист все хорошо замаскировал, увидеть что трафик уходит "налево" я смогу далеко не сразу.
Милованов Ю.С: Попросите знакомого программиста, которому доверяете проверить скрипт.
Думал так же доверить проверку крупной студии, причем той, у которой есть офис в моем городе. С целью заказа данной проверки при личной встрече, не думаю, что крупная студия будет рисковать репутацией. Однако времени на такие походы к сожалению нет.
Милованов Ю.С: Если таких знакомых нет - заведите
С трудом представляю как это сделать, на мамбе дать объявление :)
---------- Добавлено 30.03.2013 в 22:46 ----------
RedOK: нет, шансов не больше. просто времени это займёт намного меньше.
Сколько вообще времени необходимо опытному программисту, что бы проверить на уязвимости такой небольшой, как у меня, скрипт? Это вообще очень трудоемкая работа? В каком диапазоне будут цены на такую услугу?
RedOK: в логах может быть (и скорее всего будет) адрес домена, и злые программисты снова вас поимеют
ivan-lev: а изменения от второго программиста не вносить.. Хотя, и в этом случае он может использовать дырку, оставленную первым программистом (если, конечно, она была)..
Я так и решил сначала, дать сам скрипт на проверку и подумал, если к примеру человек скажет, что есть уязвимость, предостеречь всех людей от работы с нечетсным программистом, однако какие шансы, что человек который найдет уязвимость скажет о ней, а не будет ее использовать?
И уже два программиста, будут использовать дыру в скрипте )))
Либо в скрипт БЕЗ уязвимости, добавит свой код, сказав, что исправил уязвимость.
Вообщем даже не знаю как быть
---------- Добавлено 30.03.2013 в 22:24 ----------
ivan-lev: Либо разбираться (по минимуму)
Не думаю, что я смогу разобраться в программировании на php по быстрому :)
ivan-lev: такое и без "скриптов на заказ от программиста" можно "подцепить"...
Я знаю, что способов "подцепить" очень много, однако сомнения есть, тем более скрипт для работы с партнерскими ссылками, а это хорошие деньги, поэтому и думаю, что дыры могли быть оставлены специально. А редиректы в .htaccess лишь еще один повод для проверки данного скрипта.
ivan-lev: p.s. скрипт-то большой?
Очень маленький, 12 php файлов, css файлы и картинки
Vanich: Запросите у хостера логи доступа к исправленным файлам.
Спасибо, сам как то я об этом сразу не подумал, по идее должно быть видно по логам, в какие файлы были недавно внесены изменения. На одном из сайтов в Wordpress у меня cтоить плагин, который мониторит изменение файлов, но этого зафиксировано не было.
Удаление редиректа из htaccess помогло убрать надпись о небезопасном сайте в яндексе.
Посмотрю логи доступа к исправленным файлам, и если после смены всех паролей и чистки моего пк ситуация повториться, буду думать.
и мне и мне! я тоже хочу
Пожалуйста и Вам отправил :)
Отсутствие достаточного смысла в этом. Шанс полноценно использовать уязвимость крайне мал, а выгодна от нее призрачна и эфемерна. При этом найдя уязвимость программист явно сможет рассчитывать на дальнейшие вполне конкретные заказы, хотя бы на проверку дыр ту же.
Программист всегда сможет спрятать зловреда так, что шанс найти его программистом такого же уровня будет где-то 10%
Получается, что отдавать на проверку не эффективно
Если у Вас по настоящему крупный проект, то берите программиста в долю, что бы он был заинтересован в проекте, это во первых.
Проект не слишком крупный, суммы будут слишком малы, что бы заинтересовать хорошего программиста.
Во вторых - наймите несколько программистов и ставьте им задачи так, что бы ни один из них в отдельности не имел контроля над проектом достаточного для незаметного причинения ущерба.
Обычно я при заказах, ставил задачи так, что бы программист не понимал, или имел минимальное понимание, того как будут использоваться его работа, но в этом случае скрыть явное было практически не возможно
Выкладывайте уже ваш код. Мы его быстренько разберём
Да выкладывайте же, но тока не простыней. Используйте хотя бы pastebin.com
В открытый доступ думаю не стоит :) Если хотите, могу дать Вам Милованов Ю.С и ivan-lev скрипт полезный, думаю и Вам пригодится, главное точно знать, что в нем нет специально сделанных дыр!
Вряд ли причина вредоносного кода в программисте.
Я вообще надеюсь, что в скрипте специально сделанных дыр не будет, так как программист хороший и хотел бы с ним работать и дальше именно поэтому и хочу его проверить хотя бы один раз.
Закажите проверку любому другому программисту. Если боитесь "рекурсии", то пусть он выдаст список найденных косяков и сделанных правок. Это будет небольшая порция данных, легко контролируемая.
Опять же, у нового программера будет большой стимул найти косяки старого, поэтому на ответственность можно положиться больше, чем при написании нового кода.
Что ему помещает найти уязвимость использовать е е и не сообщить об этом мне еще и взяв деньги за проверку?
В случае со столкновением с крупной студией рисковать репутацией будете собственно Вы, а не студия.
Вот по Вашему мнению студия не будет рисковать своей репутацией... проблема в том, что многие так думают. Поэтому при столкновении petya23487 и крупной студии логика включится простая - крупная студия "она же не могла так сделать", "они бы не стали рисковать своей репутацией" и прочее... в результате петя который 100-500 раз прав - сидит и обтекает. При чем со студией Вы еще и договор такой подпишите, по которому будете не правы вообще при любом раскладе даже в суде, да и на форуме Вам тыкнут "ну ты же сам подписал договор". Так что "не сотворите себе кумира"© из крупных студий.
Ключевое слово думаю здесь не студия, а личная встреча, можно поговорить, пообещав большие заказы и сообщив о том, (что может быть не правдой) что Вы отдали скрипт еще на проверку в другую студию. Это будет стимулом для них найти дыры.
Это при условии поиска не слишком хорошо спрятанных, но намеренных "зловредов".
Именно намеренных то я и боюсь, так как скрипт будет работать с партнерскими ссылками, количество трафика большое соответственно мои убытки могут быть значительными и если программист все хорошо замаскировал, увидеть что трафик уходит "налево" я смогу далеко не сразу.
поэтому цены назвать не могу.
Главное, что бы цены на проверку не были выше цен за написание :) Обидно будет, но безопасность, как показывает опыт, того стоит.
не по тысяче строк
Самый большой 169 строк
Попросите знакомого программиста, которому доверяете проверить скрипт.
Думал так же доверить проверку крупной студии, причем той, у которой есть офис в моем городе. С целью заказа данной проверки при личной встрече, не думаю, что крупная студия будет рисковать репутацией. Однако времени на такие походы к сожалению нет.
Если таких знакомых нет - заведите
С трудом представляю как это сделать, на мамбе дать объявление :)
---------- Добавлено 30.03.2013 в 22:46 ----------
нет, шансов не больше. просто времени это займёт намного меньше.
Сколько вообще времени необходимо опытному программисту, что бы проверить на уязвимости такой небольшой, как у меня, скрипт? Это вообще очень трудоемкая работа? В каком диапазоне будут цены на такую услугу?
в логах может быть (и скорее всего будет) адрес домена, и злые программисты снова вас поимеют
а изменения от второго программиста не вносить.. Хотя, и в этом случае он может использовать дырку, оставленную первым программистом (если, конечно, она была)..
Я так и решил сначала, дать сам скрипт на проверку и подумал, если к примеру человек скажет, что есть уязвимость, предостеречь всех людей от работы с нечетсным программистом, однако какие шансы, что человек который найдет уязвимость скажет о ней, а не будет ее использовать?
И уже два программиста, будут использовать дыру в скрипте )))
Либо в скрипт БЕЗ уязвимости, добавит свой код, сказав, что исправил уязвимость.
Вообщем даже не знаю как быть
---------- Добавлено 30.03.2013 в 22:24 ----------
Либо разбираться (по минимуму)
Не думаю, что я смогу разобраться в программировании на php по быстрому :)
такое и без "скриптов на заказ от программиста" можно "подцепить"...
Я знаю, что способов "подцепить" очень много, однако сомнения есть, тем более скрипт для работы с партнерскими ссылками, а это хорошие деньги, поэтому и думаю, что дыры могли быть оставлены специально. А редиректы в .htaccess лишь еще один повод для проверки данного скрипта.
p.s. скрипт-то большой?
Очень маленький, 12 php файлов, css файлы и картинки
Запросите у хостера логи доступа к исправленным файлам.
Спасибо, сам как то я об этом сразу не подумал, по идее должно быть видно по логам, в какие файлы были недавно внесены изменения. На одном из сайтов в Wordpress у меня cтоить плагин, который мониторит изменение файлов, но этого зафиксировано не было.
Удаление редиректа из htaccess помогло убрать надпись о небезопасном сайте в яндексе.
Посмотрю логи доступа к исправленным файлам, и если после смены всех паролей и чистки моего пк ситуация повториться, буду думать.
denis920, Всё сайты на одном хостинге были?
На одном хостинге, но половина в одном аккаунте, вторая половина в другом
Но рас так думаете, то ищите троян.
Я бы 12 и проверил. Доступ ко всем сайтам получают через 1
Доступ ко всем, через 2. На моем ПК были найдены вирусы
Кстати кто в курсе, сканер этот .apk проверяет?
Какой этот сканер? От яндекса, что?