Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в приложениях на базе HTTP-библиотеки Hyper, opennews (??), 06-Янв-23, (0) [смотреть все] Скрыто модератором, Аноним (1), 21:28 , 06-Янв-23, (1) +5 // Скрыто модератором, Прохожий (??), 01:46 , 07-Янв-23, (54) –1 // Скрыто модератором, Аноним (-), 06:03 , 07-Янв-23, (154) –1 // Скрыто модератором, Прохожий (??), 12:27 , 07-Янв-23, (189) Скрыто модератором, Аноним (72), 02:30 , 07-Янв-23, (72) –1 // Скрыто модератором, Свидетель ржавоговы (?), 02:33 , 07-Янв-23, (74) // Скрыто модератором, Прохожий (??), 02:36 , 07-Янв-23, (77) +1 Скрыто модератором, Свидетель ржавоговы (?), 02:37 , 07-Янв-23, (79) Скрыто модератором, Прохожий (??), 02:39 , 07-Янв-23, (82) +1 Скрыто модератором, Свидетель ржавоговы (?), 02:40 , 07-Янв-23, (84) Скрыто модератором, Прохожий (??), 02:42 , 07-Янв-23, (88) Скрыто модератором, Свидетель ржавоговы (?), 02:41 , 07-Янв-23, (86) +1 Скрыто модератором, Прохожий (??), 02:43 , 07-Янв-23, (91) –1 Скрыто модератором, Аноним (-), 06:04 , 07-Янв-23, (155) –1 Скрыто модератором, Прохожий (??), 11:33 , 07-Янв-23, (172) +1 Скрыто модератором, Прохожий (??), 02:53 , 07-Янв-23, (102) Скрыто модератором, Свидетель ржавоговы (?), 03:22 , 07-Янв-23, (129) –1 Скрыто модератором, Прохожий (??), 03:26 , 07-Янв-23, (130) Скрыто модератором, Аноним (133), 03:41 , 07-Янв-23, (133) Скрыто модератором, Аноним (138), 03:57 , 07-Янв-23, (138) –1 Скрыто модератором, Прохожий (??), 04:07 , 07-Янв-23, (144) Скрыто модератором, YetAnotherOnanym (ok), 11:23 , 07-Янв-23, (170) +1 Скрыто модератором, Прохожий (??), 11:31 , 07-Янв-23, (171) Скрыто модератором, Свидетель ржавоговы (?), 02:39 , 07-Янв-23, (83) Скрыто модератором, Аноним (72), 02:48 , 07-Янв-23, (94) Скрыто модератором, Аноним (133), 03:15 , 07-Янв-23, (124) Скрыто модератором, Sw00p aka Jerom (?), 09:09 , 07-Янв-23, (158) Скрыто модератором, Свидетель ржавоговы (?), 02:36 , 07-Янв-23, (78) Скрыто модератором, Прохожий (??), 02:40 , 07-Янв-23, (85) Скрыто модератором, Свидетель ржавоговы (?), 02:42 , 07-Янв-23, (89) Скрыто модератором, Прохожий (??), 02:48 , 07-Янв-23, (95) Скрыто модератором, Ананимаз (?), 11:53 , 07-Янв-23, (180) Скрыто модератором, Прохожий (??), 12:02 , 07-Янв-23, (185) Скрыто модератором, Аноним (233), 16:45 , 07-Янв-23, (233) Скрыто модератором, Аноним (72), 02:49 , 07-Янв-23, (96) Скрыто модератором, Свидетель ржавоговы (?), 02:34 , 07-Янв-23, (76) +1 // Скрыто модератором, Прохожий (??), 02:37 , 07-Янв-23, (81) Скрыто модератором, Аноним (228), 16:18 , 07-Янв-23, (228) Скрыто модератором, Аноним (233), 16:47 , 07-Янв-23, (234) Скрыто модератором, Аноним (90), 02:43 , 07-Янв-23, (90) // Скрыто модератором, Аноним (138), 04:00 , 07-Янв-23, (139) // Скрыто модератором, Прохожий (??), 12:33 , 07-Янв-23, (192) Ожидаемое поведение, в документации все описано JFrog решили в очередной раз поп, ПомидорИзДолины (?), 21:35 , 06-Янв-23, (2) +16 // Второй параграф в документации, ПомидорИзДолины (?), 21:38 , 06-Янв-23, (3) +7 // Делают комбайн со 100500 возможностей - фуфуфу гигантская кодовая база, сложно п, НяшМяш (ok), 22:35 , 06-Янв-23, (17) +2 // Можешь как угодно называть уязвимость ниже уже назвали задокументированным пов, Аноним (25), 23:24 , 06-Янв-23, (25) Проблема этой ветки обсуждения в том, что некоторые комментаторы пытаются экстра, Прохожий (??), 12:40 , 07-Янв-23, (194) +5 Проблема этой ветки в том что раст преподносился и преподносится как язык реша, keydon (ok), 23:21 , 07-Янв-23, (261) –1 Ложь Решает бОльшую часть Решает 70 ошибок 30 70 Новые не создвал Прос, Аноним (90), 00:10 , 08-Янв-23, (273) +1 Давай посчитаем Какие конкретно ошибки в твоих программах с использованием совр, keydon (ok), 01:00 , 08-Янв-23, (284) –1 Зачем обмазываться линтерами, анализаторами и распухшим до безобразия новым стан, Анимус (?), 18:58 , 10-Янв-23, (362) Так ты и в расте ими обмазываешься, только выбора у тебя нет в отличии от плюсов, keydon (ok), 12:50 , 11-Янв-23, (370) Вот только не было обещаний, что он решит их все , Аноним (300), 13:43 , 08-Янв-23, (300) Я еще с первых форсов раста писал что чуда не случится и все имеет свою цену, да, keydon (ok), 14:38 , 08-Янв-23, (306) Если ты бездумно используешь метод я буду сохранять все байтики в память , кото, НяшМяш (ok), 17:45 , 07-Янв-23, (240) У них там с башкой проблема Remote is always implicitly untrusted , Аноним (72), 02:32 , 07-Янв-23, (73) +3 // Нет Remote может быть nginx в режиме reverse proxy, который сделает все проверк, ПомидорИзДолины (?), 03:15 , 07-Янв-23, (125) Это же библиотека для сборки из кирпичиков, а не полнофункциональный сервер А л, Аноним (148), 04:13 , 07-Янв-23, (148) +8 Так и в си UB описаны, необходимость проверок тоже Но почему-то в си это фаталь, Аноним (25), 23:26 , 06-Янв-23, (27) +1 // Правда, сам ты весь список не читал, просто слышал звон Никаких почему-то не б, Аноним (35), 23:40 , 06-Янв-23, (35) +2 В расте или в имплементации какой-то библиотеки на расте Ты чем читал Молодец,, Аноним (90), 02:55 , 07-Янв-23, (104) +4 // Ну пошли отмазки Лет 9 назад вас, растоманов, не волновало что ещё и библиотеки, Аноним (25), 08:55 , 07-Янв-23, (157) –1 Это не отмазки Это попытка объяснить слабым разумом, что данная конкретная ошиб, Прохожий (??), 11:41 , 07-Янв-23, (175) Библиотека на чем написана Значит обгадился раст , Аноним (228), 17:05 , 07-Янв-23, (236) –2 Попытка выделить большой кусок памяти не является небезопасной операцией Safe R, freecoder (ok), 22:13 , 07-Янв-23, (249) +2 хе, представляю Пишет кто-то какой-нибудь хайлоад для суперкомпа с терабайтом о, Аноним (90), 00:08 , 08-Янв-23, (272) Об этом сишники писали 10 лет назад Что ЯП не исправит человеческие ошибки, даж, keydon (ok), 23:29 , 07-Янв-23, (264) наглая ложь И ты это понимаешь Троллишь наверное Всем понятно и тебе тоже , , Аноним (90), 23:57 , 07-Янв-23, (268) НетТак это и заявлялось противниками раста и лично мной ЕМНИП даже примерпривод, keydon (ok), 00:46 , 08-Янв-23, (281) +2 Так почему так и не решили , Аноним (300), 13:48 , 08-Янв-23, (301) +1 Так в основном и решили , keydon (ok), 12:47 , 11-Янв-23, (369) Дополню Запросы со слишком большим телом почикает nginx Расходимся, kai3341 (ok), 02:14 , 07-Янв-23, (68) +1 // Почикает нгиннкс на С, Аноним (228), 02:34 , 07-Янв-23, (75) а че с чанками делать и крывыми размерами контента в заголовках , Sw00p aka Jerom (?), 09:13 , 07-Янв-23, (160) Я бы сказал безмозглое поведение - выделять оперативную память под запрос целико, MaleDog (?), 04:07 , 07-Янв-23, (145) +1 // Еще поди можно так - кидаем много запросов с небольшим Content-Length, но с тело, MaleDog (?), 04:15 , 07-Янв-23, (149)   // в смысле освобождает ровно столько сколько выделил, Sw00p aka Jerom (?), 09:15 , 07-Янв-23, (161)   Выделяет столько сколько сказали Затем он по какому-то таймауту должен понять, , MaleDog (?), 12:02 , 07-Янв-23, (184)   overcommitЛимит по времени на запрос, Аноним (330), 19:44 , 08-Янв-23, (330)   Но при этом на лимит времени память будет занята Притом атакующий затратит го, MaleDog (?), 11:01 , 10-Янв-23, (359)   В данном случае упоролись всё же Воины Борьбы Супротив Раста, раз и после нескол, Прохожий (??), 11:44 , 07-Янв-23, (176) // упоролись растоманы которые всегда утверждали, что раст решает все проблемы безо, Аноним (245), 19:40 , 07-Янв-23, (245) Приведите доказательства, что растоманы утверждали, будто Rust решает ВСЕ пробле, freecoder (ok), 22:16 , 07-Янв-23, (250) Давненько я лично писал на опеннете что раст не решает всех проблем, а только не, keydon (ok), 00:04 , 08-Янв-23, (271) +2 Rust решает некоторые проблемы, но большие и очень важные Линтерами на плюсах о, freecoder (ok), 00:52 , 08-Янв-23, (283) Так это специальная функция для чтения запроса целиком Когда он заведомо неболь, Аноним (267), 23:40 , 07-Янв-23, (267) Безопасность не поместилась в оперативную память, Аноним (4), 21:39 , 06-Янв-23, (4) +13 // боров-чекер оказался слишком жирным боровым и не влез в оперативку, Аноним (228), 21:54 , 06-Янв-23, (10) +2 // борров чекер проверяется и работает на этапе компиляции в скомпилированном коде , Alladin (?), 22:29 , 06-Янв-23, (15) // Я знаю что это такое, просто мне слово нравится боров, Аноним (228), 23:07 , 06-Янв-23, (19) Проверяльщик боровов, дядь Который при компиляции бегает между каждым боровом и, Dzen Python (ok), 23:57 , 06-Янв-23, (43) я может что-то не понимаю, но раст с кучей не умеет что ли работать Если на эта, Аноним (228), 23:16 , 06-Янв-23, (23) Компилятор не проверяет, сколько именно памяти есть в системе - это не его задач, Прохожий (??), 01:18 , 07-Янв-23, (49) способствует программисту потерять бдительность, Проффесор (?), 01:45 , 07-Янв-23, (53) –1 Не способствует, а освобождает программиста от слежения за определённым классом , Прохожий (??), 01:48 , 07-Янв-23, (56) +1 Способствует Более того создает впечатление у новичков что программирование - , Проффесор (?), 01:55 , 07-Янв-23, (60) Скажем так, у слабых разумом такое может случиться Но мы ж о нормальных, правда, Прохожий (??), 02:11 , 07-Янв-23, (67) Какой же ты тупой Это не архитектурный изъян Такими словами можно сказать инте, Свидетель ржавоговы (?), 03:12 , 07-Янв-23, (121) Отсутствие возможности контролировать работу с памятью, когда тебе это нужно - э, Прохожий (??), 03:41 , 07-Янв-23, (134) what В Си контроллировать память можно когда угодно и как угодно Про какой изъ, Аноним (228), 17:11 , 07-Янв-23, (237) +1 Так таким значит надо писать на Java, Go, Dart, C , JS наконец с Питоном -- вы ж, Свидетель ржавоговы (?), 03:15 , 07-Янв-23, (123) –1 Каким таким Все люди подвержены ошибкам Исключений нет И это, как я уже сказа, Прохожий (??), 03:48 , 07-Янв-23, (135) Добывай огонь трением, мало ли, спички закончатся, Анимус (?), 19:08 , 10-Янв-23, (363) Ок, ясно, Аноним (228), 21:47 , 06-Янв-23, (6) // Не думаю, что тебе стало что-либо ясно Но ок , Прохожий (??), 13:14 , 07-Янв-23, (204) +3 Скрыто модератором, Аноним (228), 21:49 , 06-Янв-23, (7) +2 // Скрыто модератором, Аноним (24), 23:22 , 06-Янв-23, (24) +6 // Скрыто модератором, Аноним (36), 23:41 , 06-Янв-23, (36) –1 // Скрыто модератором, Аноним (47), 00:39 , 07-Янв-23, (47) +2 Скрыто модератором, псевдонимус (?), 16:25 , 07-Янв-23, (231) –1 Всё правильно Ещё со времён Юниксов и Си правильно Программа или библиотечная , pashev.ru (?), 21:51 , 06-Янв-23, (8) +1 // Всё верно,товарищ Проверки выхода за границы массива - тоже отдельная задача Эту, Аноним (133), 22:10 , 06-Янв-23, (12) –10 // В современных крестах это уже реализовано Но раст не дотягивает до крестов А Си, Свидетель ржавоговы (?), 02:53 , 07-Янв-23, (101) –3 // Тыкну тебя в единственный по-настоящему системный язык программирования Он назы, Аноним (133), 03:31 , 07-Янв-23, (132) –2 Это уже давно есть Открой для себя санитайзеры наконец , Вы забыли заполнить поле Name (?), 09:16 , 07-Янв-23, (162) –3 Ты понимаешь разницу между специализированным ПО которое, несмотря на все усили, Прохожий (??), 13:19 , 07-Янв-23, (206) –1 А ты понимаешь, что компилятор раста - это тоже специализированное ПО А компилят, Вы забыли заполнить поле Name (?), 23:23 , 07-Янв-23, (262) Чего не хватает Rust, о гуру системного программирования В Rust всего этого нет , Прохожий (??), 04:20 , 07-Янв-23, (150) +3 Прибитость гвоздями к LLVM Обработки ошибок аллокации памяти Float-free libc, Вы забыли заполнить поле Name (?), 00:31 , 08-Янв-23, (277) Craneliftset_alloc_error_hookзачем естьестьможно использовать C ABI, идет работа, Andrewpotam (?), 00:46 , 08-Янв-23, (280) +1 Судя по описанию это еще сырой проект и нацелен в первую очередь на WASM Это ni, Вы забыли заполнить поле Name (?), 01:23 , 08-Янв-23, (285) +2 Ты бы не позорился У Раст так же стандарты выходят раз в три года , Анимус (?), 19:15 , 10-Янв-23, (364) –2 Ссылкой на стандарт поделишься , Вы забыли заполнить поле Name (?), 21:34 , 10-Янв-23, (366) +1 Так если подумать и реализовано неправильно Если заведомо нет проверок на длину, Dzen Python (ok), 23:48 , 06-Янв-23, (42) // А если не только подумать, тыкая пальчиком в небо, а ещё почитать доку, например, Прохожий (??), 01:39 , 07-Янв-23, (52) +3 // В стандартах на протоколы не пишут, что можно делать use-after-free, что память , Аноним (228), 02:15 , 07-Янв-23, (69) –2 Претензии к сишникам очень простые Они делают слишком много ошибок в сложных пр, Прохожий (??), 02:28 , 07-Янв-23, (71) +1 Претензии к растоманам, питонистам и JS TypeScript-ам не всем простые - они к, Аноним (72), 02:42 , 07-Янв-23, (87) Какой-то поток сознания, не распарсил, сорри , Прохожий (??), 02:56 , 07-Янв-23, (106) –1 свайпай дальше, Свидетель ржавоговы (?), 03:09 , 07-Янв-23, (117) –1 Предлагаешь, каждую вспышку больного сознания комментировать Сорри, это не ко м, Прохожий (??), 11:49 , 07-Янв-23, (178) дебилизм какой-то, давайте напишем в документации ядра линукс, что хакеры не дол, Аноним (245), 19:46 , 07-Янв-23, (246) –2 Функция выделяет памяти столько, сколько её попросили Никаких UB при этом нет , freecoder (ok), 22:24 , 07-Янв-23, (251) Там написали, что ты не должен это выставлять наружу, в недоверенное окружение , Аноним (90), 00:36 , 08-Янв-23, (278) –1 как же тупо, тупо никаких ограничений на выделение по Content-Length , Alladin (?), 21:53 , 06-Янв-23, (9) –1 // И каким должно быть универсальное ограничение на выделение памяти для универсаль, Аноним (29), 23:28 , 06-Янв-23, (29) +1 // Очевидно, так как растоманы решили - чтоб отказ в обслуживании , Аноним (228), 23:33 , 06-Янв-23, (31) –1 // Очевидно, открыта перепись Ыкспердов опеннета Правда, Ыксперды не знали а так , Аноним (44), 23:59 , 06-Янв-23, (44) +1 я и сам никогда не ориентировался на content-length, прислушивался но не ориенти, Alladin (?), 00:37 , 07-Янв-23, (46) –2 Очевидно библиотека должна посмотреть размер свободной памяти на машине, помнож, Аноним (72), 02:37 , 07-Янв-23, (80) –2 // А что если на машине 64гб рам, а в слайсе сигруппы приложению выделили всего 256, Аноним (330), 02:46 , 07-Янв-23, (93) +1 а приложение в этой группе, когда дёрнет API, увидит, что у неё доступно для выд, Аноним (72), 02:52 , 07-Янв-23, (99) –1 Какая нахрен разница, в С libc Linux нет реального выделения памяти Выделяй, Аноним (133), 03:49 , 07-Янв-23, (136) +3 Адекватные люди отключают оверкоммит И тут же выясняется, что говно и линукс и , Аноним (297), 13:17 , 08-Янв-23, (297) Очевидно чтение реквеста должно быть блочным, а не запихать всё в память и отд, Омномним (?), 12:27 , 07-Янв-23, (190) –1 Ты про такой протокол, как UDP и на нем основанных слышал Знаешь, как там всё р, Прохожий (??), 12:57 , 07-Янв-23, (197) Дед, ты таблетки забыл принять на ночь Что ты, блин, несешь, старый идиот Ты дл, Аноним (228), 18:29 , 07-Янв-23, (243) Если оно по HTTP - то да HTTP 3 включает в себя свой TCP поверх UDP Протоколы,, Аноним (297), 13:29 , 08-Янв-23, (299) И вообще, дед, причем тут UDP или TCP Это нижележащий уровень, транспортные про, Аноним (228), 19:22 , 07-Янв-23, (244) Добавить рандом в либу И привязать его к параметру окружения Да ты просто з, Анонн (?), 17:16 , 07-Янв-23, (238) –1 Документацию читать надо, а ошибки - писать в лог вместе с причинами Рандом нуж, Аноним (297), 13:13 , 08-Янв-23, (296) Э-э Выделить небольшой буфер на проверку заголовков Передать их обработчику, ч, MaleDog (?), 12:58 , 07-Янв-23, (198) +1 // Ну а chunked-запрос - это извращение Насколько я помню изначально chunked был т, MaleDog (?), 13:33 , 07-Янв-23, (208) Почему извращение Допустим мы хотим залить контент заранее не известного объёма , Омномним (?), 20:47 , 08-Янв-23, (339) Потому, что заранее не известно когда закончится запрос Теоретически я хоть цел, MaleDog (?), 22:28 , 10-Янв-23, (367) –1 Тем более, что часто люди просто не думают Вот к примеру реальный случай Мне п, MaleDog (?), 22:56 , 10-Янв-23, (368) Про read timeout что-нибудь слышал Ну и да - чанк не обязательно читать целиком,, Омномним (?), 15:07 , 11-Янв-23, (371) Тут вся суть в том Как отличить добросовестное использование от недобросовестно, MaleDog (?), 23:15 , 12-Янв-23, (372) –1 Чичиго , Омномним (?), 00:45 , 13-Янв-23, (373) Э-э, там, в той самой библиотеке, для этого есть aggregate - читает в буфер, раз, Аноним (248), 21:27 , 07-Янв-23, (248) +2 Можно посмотреть как эту проблему решили высокооплачиваемые программисты из Sun , Аноним (241), 18:00 , 07-Янв-23, (241) –2 // и вообще смог понять что за проблема, Аноним (307), 14:50 , 08-Янв-23, (307) Это норм Просто макакинг-девелопмент, Свидетель ржавоговы (?), 02:55 , 07-Янв-23, (103) Чудесное определение 8212 особенность работы с памятью Запомню , Аноним (20), 23:11 , 06-Янв-23, (20) // ой как интересно получилось, Проффесор (?), 01:48 , 07-Янв-23, (55) // Ой какой длинный список получается, Прохожий (??), 01:59 , 07-Янв-23, (62) –1 Программы на Rust текут из-за особенности работы с памятью , Аноним (351), 15:11 , 09-Янв-23, (351) +1 // Нет, зато опеннетные экспертусы-по-всему не владеют даже элементарной терминолог, Аноним (355), 20:20 , 09-Янв-23, (355) Сишник забывает очистить память в указателерастоман диды писали, надо переписат, Аноним (228), 23:12 , 06-Янв-23, (21) +2 // Питонист, расскажи куда его еще копировать, заодно выдай, каким должен быть раз, Аноним (29), 23:25 , 06-Янв-23, (26) +5 // UB в ANSI C тоже задокументировано , Аноним (228), 23:27 , 06-Янв-23, (28) –1 // А в огороде бузина , Аноним (248), 00:00 , 07-Янв-23, (45) Да нее, тут опять сишники виноваты, Свидетель ржавоговы (?), 02:57 , 07-Янв-23, (107) –1 // Не тут Но виноваты, конечно , Прохожий (??), 13:44 , 07-Янв-23, (211) Помнится си критиковали за то что программисту нужно слишком много думать и знат, Аноним (25), 23:16 , 06-Янв-23, (22) –2 // Очередная перепись не читающих дальше заголовка , Аноним (30), 23:32 , 06-Янв-23, (30) +3 // Это уже новая риторика Изначально было раст все порешает и программисты не б, Аноним (25), 09:51 , 07-Янв-23, (164) –2 // Где это заявлялось , Аноним (300), 11:48 , 07-Янв-23, (177) +3 Ой звездуны-ы-ы-ы Вкладывать свои слова и мысли в уста оппонента и потом с па, Аноним (90), 23:01 , 07-Янв-23, (258) –1 У Си уязвимости, а у Раста ОСОБЕННОСТИ работы с памятью, понимать надо , Аноним (38), 23:42 , 06-Янв-23, (38) +1 // Говори толерантнее, иначе к тебе приедет айнзац-команда и до реанимации будет уч, Dzen Python (ok), 23:44 , 06-Янв-23, (41) // Эх, видимо, рано я порадовался за питониста Эй, питонист Не у Раста, а в станд, Прохожий (??), 01:57 , 07-Янв-23, (61) // Способность обращаться по любому адресу памяти это нормальное поведение кода, ис, Свидетель ржавоговы (?), 03:01 , 07-Янв-23, (112) –2 С точки зрения процессора - да, нормальное А с точки зрения программиста, котор, Прохожий (??), 03:13 , 07-Янв-23, (122) Не любого кода Подавляющая часть программ состоящих из данных и кода категори, Аноним (90), 23:12 , 07-Янв-23, (259) Тебе сказали - работающего на процессоре, а не под ОС, работающей на процессоре , Аноним (228), 00:27 , 08-Янв-23, (276) кем не выделенной, куда не выделенной Вот есть у меня ядро, оно стартует, и , Аноним (228), 00:42 , 08-Янв-23, (279) от слова док , как в док-станции , раст переусложнён (?), 11:12 , 07-Янв-23, (169) –1 // Тебе далеко пока до Евгения Вагановича Тренируйся ещё , Прохожий (??), 11:53 , 07-Янв-23, (179) Уязвимость, но не в Rust и даже не в библиотеке Hyper, а в тех серверах, которые, freecoder (ok), 22:32 , 07-Янв-23, (252) +2 // В Си тоже нету уязвимостей, они могут встречаться в софте на нем написаном , Аноним (228), 00:01 , 08-Янв-23, (270) +2 Мда, это даже смешно Это поведение не только записано в доке, там даже пример ес, Анонн (?), 00:57 , 07-Янв-23, (48) +6 // Кондуит конечный продукт, естественно у него будет меньше загрузок с сайта 171, Аноним (-), 12:49 , 07-Янв-23, (196) Да ну ладно , Аноним (-), 04:04 , 07-Янв-23, (141) // Ещё один подражатель Евгения Вагановича Такая популярная на Опеннете личность, , Прохожий (??), 04:12 , 07-Янв-23, (147) +1 // Но как, Холмс , Аноним (-), 06:05 , 07-Янв-23, (156) –1 Галустян, залогинься , псевдонимус (?), 16:31 , 07-Янв-23, (232) –1 Скрыто модератором, Аноним (138), 04:06 , 07-Янв-23, (143) –1 // Скрыто модератором, Прохожий (??), 04:12 , 07-Янв-23, (146) +2 Скрыто модератором, Аноним (90), 23:19 , 07-Янв-23, (260) Вот она победа раста над древней сишкой Растоманы накосячили с памятью и все лиш, Анонимусс (?), 10:38 , 07-Янв-23, (165) // Ну и развивали бы дальше свой победоносный redox Нафига в сишный linux полезли , An (??), 10:50 , 07-Янв-23, (166) –1 // Потому что это будет просто преступлением оставить линукс таким дырявым какой он, Анонимусс (?), 11:09 , 07-Янв-23, (168) +1 Да, просто за драйверами зашли Сейчас с ними и уйдут обратно , Аноним (173), 11:36 , 07-Янв-23, (173) // Никто уже никуда не уйдёт, не переживай Учить язык придётся Хотя для некоторых, Прохожий (??), 12:17 , 07-Янв-23, (187) Но дрова то на небезопасном Си, все равно их переписывать с нуля надо, Аноним (294), 11:45 , 08-Янв-23, (294) Redox - это почти домашний проект, просто чтобы убедиться, на данном языке можно, Прохожий (??), 12:15 , 07-Янв-23, (186) +1 А можно написать еще хотя бы одну библиотеку для работы с HTTP, а то что-то свет, Аноним (173), 11:37 , 07-Янв-23, (174) Бугагашно, чанк по частям мегабезопастные кодеры читать не научились D, Омномним (?), 11:54 , 07-Янв-23, (181) –1 // так-то вообще школьная ошибка, чтение из сети по заданному размеру без лимитов , Омномним (?), 11:55 , 07-Янв-23, (183) –1 О великий эксперт А где ты потом собирать будешь эти чанки Почитай на досуге п, Прохожий (??), 13:03 , 07-Янв-23, (201) –1 // Никогда не останавливайся на полпути, позорься до конца Ты хотя бы посмотри как , Аноним (228), 13:38 , 07-Янв-23, (210) –1 // Упоминание UDP - это была попытка намекнуть, что не все так просто, как сишники , Прохожий (??), 13:56 , 07-Янв-23, (212) Хорошее упоминание Ты собрался весь поток UDP за неизвестный период в память та, Омномним (?), 16:01 , 07-Янв-23, (223) –1 Собственно об чём и речь УНИВЕРСАМНАЯ либлиотека оказалась ни фига не универсал, Омномним (?), 16:02 , 07-Янв-23, (224) –1 Если ты туда всунешь какой-то лимит на размер буфера она перестанет быть универс, Аноним (90), 23:35 , 07-Янв-23, (266) +1 Ты в курсе, что лимит может быть конфигурируемым со стороны клиента , Омномним (?), 11:56 , 08-Янв-23, (295) https docs rs hyper latest hyper body fn aggregate htmlhttps docs rs hyper l, Аноним (269), 23:57 , 07-Янв-23, (269) +1 Жаборастера видно издалека, да Собирать будет клиентский код - там, где ему на, Омномним (?), 16:00 , 07-Янв-23, (222) –1 И чего У меня сейчас допустим есть асинхронная корутинная реализация HTTP на PHP, Омномним (?), 16:04 , 07-Янв-23, (225) –1 // А для универсальности там же есть - readAllHeaders readFullContent , первое, Омномним (?), 16:11 , 07-Янв-23, (226) –1 Бугагашно, читать дальше заголовка местные Воены Супротив Раста так и не научили, Аноним (248), 21:21 , 07-Янв-23, (247) +1 А ты по ссылочке-то пробовал пройти This may require copying the data into a sin, Аноним (267), 23:32 , 07-Янв-23, (265) Пациенты клиники Кащенко в комментах в полном сборе Но вы же гаварили что в рас, анон (?), 12:29 , 07-Янв-23, (191) +3 // Ну то, что си по умолчанию не проверяет границы массивов тоже задокументировано , Вы забыли заполнить поле Name (?), 13:02 , 07-Янв-23, (200) –4 // Ещё один сравниватель Си с реализацией конкретной библиотеки Как-то много вас р, Прохожий (??), 13:05 , 07-Янв-23, (202) +2 // Подозрительно много тут только твоих комментариев , Вы забыли заполнить поле Name (?), 01:24 , 08-Янв-23, (286) –1 Ты читать умеешь Проблема в библиотеке ебтвм, можешь форкнуть и поправить если , анон (?), 13:07 , 07-Янв-23, (203) // Новаторство в борьбе с уязвимостями , Аноним (205), 13:16 , 07-Янв-23, (205) Очевидно, и читать, и писать он умеет А вот с осмысливанием прочитанного у него, Прохожий (??), 13:36 , 07-Янв-23, (209) +2 Строго говоря, это не проблема библиотеки Hyper, это проблема тех нескольких сер, freecoder (ok), 22:46 , 07-Янв-23, (256) У чтения в один присест должны быть лимиты Потому что всем, кроме хрустоманов, о, Омномним (?), 20:49 , 08-Янв-23, (340) –1 Еще скажите, что у обращения по индексу всегда должна быть проверка выхода за гр, freecoder (ok), 15:27 , 09-Янв-23, (353) Только в случае, если индекс зависит от пользовательского ввода Проверять границ, Омномним (?), 10:44 , 18-Янв-23, (374) В цикле и так будет проверка на каждом шаге условия достижения конца цикла Чтоб, freecoder (ok), 12:31 , 20-Янв-23, (375) Проверка на каждом шаге условия Ну удачки, чего , Омномним (?), 21:02 , 20-Янв-23, (376) Есть допустим у меня кадр 7680x4320 Мне его надо вдоль и поперёк обработать, с, Омномним (?), 21:13 , 20-Янв-23, (377) Ваше предыдущее сообщение было про цикл Как вы себе представляете цикл без пров, freecoder (ok), 21:23 , 21-Янв-23, (378) Между проверкой условия выхода и проверкой границ есть небольшая разница, не , Омномним (?), 09:39 , 22-Янв-23, (379) Мы пациенты смеемся не с новости, а с ваших попыток оправдаться Особенно смешн, Аноним (214), 14:38 , 07-Янв-23, (214) // Понятно Этого пока рано выписывать , анон (?), 14:46 , 07-Янв-23, (215) // А разве это не так Происходит жирный наброс в духе Ха, самый безопастный язык н, Аноним (214), 14:51 , 07-Янв-23, (216) –1 Какие оправдания Это безуспешные попытки объяснить недалеким, что вообще-то т, Анонимусс (?), 16:15 , 07-Янв-23, (227) +4 Которые ты написал , Аноним (214), 16:23 , 07-Янв-23, (230) –2 Чтобы убедиться, что в том случае растоманы действительно были неправы если они, freecoder (ok), 22:43 , 07-Янв-23, (255) А у тебя как всегда сишники виноваты , Аноним (219), 15:49 , 07-Янв-23, (219) Тут согласен, пациенты клиники Кащенко пишут, что чтобы избегать какой-то тип ош, Аноним (294), 11:41 , 08-Янв-23, (292) +2 // То ли дело молиться, что всё порешают линтеры, санитайзеры, да прямые руки , Аноним (300), 14:16 , 08-Янв-23, (304) –1 // Толи дело написать язык, на котором ничего невозможно написать , Аноним (314), 16:01 , 08-Янв-23, (314) Хах растобезопасность снова превратилась в тыкву, Аноним (217), 14:55 , 07-Янв-23, (217) // Безопасность Rust а Или безопасность Hyper Или безопасность Axum, Salvo и cond, freecoder (ok), 22:37 , 07-Янв-23, (254) Какая именно безопасность Боров-чекер перестал работать , freecoder (ok), 17:23 , 08-Янв-23, (324) Кстати, новость написана правильно А вот комментаторы неверно интерпретируют ск, freecoder (ok), 22:35 , 07-Янв-23, (253) // Ваш растопроект вылетел в DoS из-за непроверки входных данных Знаете кто винова, anonymous (??), 18:21 , 08-Янв-23, (328) // Rust и растоманы нигде не обещают избавления от логических ошибок Те гарантии, , freecoder (ok), 20:09 , 08-Янв-23, (332) // Прикол в том, что в Расте вероятность совершить логическую ошибку повышается из-, Аноним (294), 16:12 , 09-Янв-23, (354) +2 Код раздувается из-за того, что развитая строгая типизация требует больше явных , freecoder (ok), 20:28 , 09-Янв-23, (356) Я говорю о ЛОГИЧЕСКИХ ошибках, Аноним (294), 20:33 , 09-Янв-23, (357) –1 Так я тоже о них говорю Обработка не всех вариантов - в общем случае ведет к ло, freecoder (ok), 14:01 , 10-Янв-23, (361) 1 Причём растаманить на их неуклюжем языке в 2 раза сложнее и они это оправд, Аноним (349), 14:03 , 09-Янв-23, (349) +1 Вызвать команду на загрузку всех данных в память и обвинять язык в том что памят, Аноним (307), 11:31 , 09-Янв-23, (346) +1 // болобол, Аноним (228), 12:37 , 10-Янв-23, (360) Когда новость про ошибки в программах на расте не связаны с самим растом, у наСИ, Аноним (90), 00:49 , 08-Янв-23, (282) –1 // Это не очень на пятилетку похоже удивительно как много ошибок в стандартной библ, Аноним (287), 01:50 , 08-Янв-23, (287) +2 // Конечно верим, потому что сразу видно админа локалхоста Тебе будет легче если , Аноним (47), 11:43 , 08-Янв-23, (293) +1 // А что мешает это сделать из под раста, если возможность получения рут-доступа ни, Аноним (318), 16:57 , 08-Янв-23, (318) Как получить рут-доступ, если сервер замедлился или упал из-за перерасхода памят, freecoder (ok), 17:21 , 08-Янв-23, (323) https www opennet ru opennews art shtml num 55607https www opennet ru openne, Аноним (318), 17:37 , 08-Янв-23, (325) –1 Эти случаи уже много раз обсудили, обмусолили и сделали выводы Давайте здесь об, freecoder (ok), 20:05 , 08-Янв-23, (331) Классика , Аноним (341), 23:35 , 08-Янв-23, (341) +1 Нужен новый язык Раст решает не все проблемы, Аноним (294), 11:39 , 08-Янв-23, (291) +2 // Новый будет создан на основе Раста и с учетом его преимуществ и недостатков Ещё, freecoder (ok), 17:20 , 08-Янв-23, (322) // Rust with classes, Objective-Rust, Rust , Аноним (351), 15:03 , 09-Янв-23, (350) Ты ещё в сортах уязвимость разбираешься Типа когда тебя взломают через неправил, Аноним (314), 16:00 , 08-Янв-23, (312) Скрыто модератором, Аноним (294), 11:38 , 08-Янв-23, (290) +1 // Скрыто модератором, Аноним (314), 15:57 , 08-Янв-23, (311) Скрыто модератором, Вы забыли заполнить поле Name (?), 16:17 , 08-Янв-23, (316) Скрыто модератором, freecoder (ok), 17:18 , 08-Янв-23, (321) –1 // Скрыто модератором, Ыыыыыы (?), 20:25 , 08-Янв-23, (337) –1 // Скрыто модератором, freecoder (ok), 15:23 , 09-Янв-23, (352) Когда же вы поймёте что самый безопасный язык это Carbon, Карбон лучший (?), 14:35 , 08-Янв-23, (305) –2 // Когда пройдет фанатизм никогда , Аноним (314), 15:56 , 08-Янв-23, (309) +1 Не ври, most wanted лучше , Ыыыыыы (?), 20:27 , 08-Янв-23, (338) Что и требовалось доказать баги полностью зависят от криворуких погромиздов, яз, Аноним (349), 14:00 , 09-Янв-23, (348) +1 2,4,6,8,9,20,21,22,38,48,141,165,174,181,191,217,253,282,305,348

Сообщения

[Сортировка по времени | RSS]

	149. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	+/–
	Сообщение от MaleDog (?), 07-Янв-23, 04:15
	Еще поди можно так: - кидаем много запросов с небольшим Content-Length, но с телом усеченным до нуля и одного байта. - сервер выделяет под них память, но освобождает ее с лагом, так как ждет нужное количество байт которых нет.
	Ответить | Правка | Наверх | Cообщить модератору

	161. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	+/–
	Сообщение от Sw00p aka Jerom (?), 07-Янв-23, 09:15
	>так как ждет нужное количество байт которых нет. в смысле? освобождает ровно столько сколько выделил
	Ответить | Правка | Наверх | Cообщить модератору

	184. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	+/–
	Сообщение от MaleDog (?), 07-Янв-23, 12:02
	Выделяет столько сколько сказали. Затем он по какому-то таймауту должен понять, что столько байт ему никто передавать столько не собирается. Думаю не меньше нескольких секунд. К примеру, открыл какой-нибудь бот 1000 соединений, в каждом попросил принять 10M, и ... добрый сервер выделил боту 10G оперативной памяти? А если столько нет? Да и затраты на выделение не нулевые. Допустим через секунду бот отвалился и все соединения сброшены, а память освобождена, но что мешает боту еще "медленной записью" заняться передавая эти 10M по паре байт в секунду, тогда и таймаут не сработает и у сервера 10G оперативки будут заняты на неопределенный срок. Выделять под буфер нужно столько памяти, чтобы обработчик запроса успевал обрабатывать без задержек(к примеру парсер JSON успевал обработать ключ и привести его значение к нужному типу), а не помещать весь запрос в оперативную память, а потом обрабатывать.
	Ответить | Правка | Наверх | Cообщить модератору

	330. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	+/–
	Сообщение от Аноним (330), 08-Янв-23, 19:44
	> добрый сервер выделил боту 10G оперативной памяти? А если столько нет? overcommit > что мешает боту еще "медленной записью" заняться передавая эти 10M по паре байт в секунду Лимит по времени на запрос
	Ответить | Правка | Наверх | Cообщить модератору

	359. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	+/–
	Сообщение от MaleDog (?), 10-Янв-23, 11:01
	Но при этом на "лимит времени" память будет занята. Притом атакующий затратит гораздо меньше ресурсов. Так ему нужна память только на заголовки одного запроса, а в качестве тела будет "мусор". Нет, так дела не делаются. Выделяем буфер на заголовки. Парсим проверяем. Далее либо буферизуем тело небольшим буфером передавая по частям обработчику, либо просто пробрасываем TCP-соединение ему - пусть сам разбирается.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема