Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Уязвимость в приложениях на базе HTTP-библиотеки Hyper, opennews (??), 06-Янв-23, (0) [смотреть все] Скрыто модератором, Аноним (1), 21:28 , 06-Янв-23, (1) +5 // Скрыто модератором, Прохожий (??), 01:46 , 07-Янв-23, (54) –1 // Скрыто модератором, Аноним (-), 06:03 , 07-Янв-23, (154) –1 // Скрыто модератором, Прохожий (??), 12:27 , 07-Янв-23, (189) Скрыто модератором, Аноним (72), 02:30 , 07-Янв-23, (72) –1 // Скрыто модератором, Свидетель ржавоговы (?), 02:33 , 07-Янв-23, (74) // Скрыто модератором, Прохожий (??), 02:36 , 07-Янв-23, (77) +1 Скрыто модератором, Свидетель ржавоговы (?), 02:37 , 07-Янв-23, (79) Скрыто модератором, Прохожий (??), 02:39 , 07-Янв-23, (82) +1 Скрыто модератором, Свидетель ржавоговы (?), 02:40 , 07-Янв-23, (84) Скрыто модератором, Прохожий (??), 02:42 , 07-Янв-23, (88) Скрыто модератором, Свидетель ржавоговы (?), 02:41 , 07-Янв-23, (86) +1 Скрыто модератором, Прохожий (??), 02:43 , 07-Янв-23, (91) –1 Скрыто модератором, Аноним (-), 06:04 , 07-Янв-23, (155) –1 Скрыто модератором, Прохожий (??), 11:33 , 07-Янв-23, (172) +1 Скрыто модератором, Прохожий (??), 02:53 , 07-Янв-23, (102) Скрыто модератором, Свидетель ржавоговы (?), 03:22 , 07-Янв-23, (129) –1 Скрыто модератором, Прохожий (??), 03:26 , 07-Янв-23, (130) Скрыто модератором, Аноним (133), 03:41 , 07-Янв-23, (133) Скрыто модератором, Аноним (138), 03:57 , 07-Янв-23, (138) –1 Скрыто модератором, Прохожий (??), 04:07 , 07-Янв-23, (144) Скрыто модератором, YetAnotherOnanym (ok), 11:23 , 07-Янв-23, (170) +1 Скрыто модератором, Прохожий (??), 11:31 , 07-Янв-23, (171) Скрыто модератором, Свидетель ржавоговы (?), 02:39 , 07-Янв-23, (83) Скрыто модератором, Аноним (72), 02:48 , 07-Янв-23, (94) Скрыто модератором, Аноним (133), 03:15 , 07-Янв-23, (124) Скрыто модератором, Sw00p aka Jerom (?), 09:09 , 07-Янв-23, (158) Скрыто модератором, Свидетель ржавоговы (?), 02:36 , 07-Янв-23, (78) Скрыто модератором, Прохожий (??), 02:40 , 07-Янв-23, (85) Скрыто модератором, Свидетель ржавоговы (?), 02:42 , 07-Янв-23, (89) Скрыто модератором, Прохожий (??), 02:48 , 07-Янв-23, (95) Скрыто модератором, Ананимаз (?), 11:53 , 07-Янв-23, (180) Скрыто модератором, Прохожий (??), 12:02 , 07-Янв-23, (185) Скрыто модератором, Аноним (233), 16:45 , 07-Янв-23, (233) Скрыто модератором, Аноним (72), 02:49 , 07-Янв-23, (96) Скрыто модератором, Свидетель ржавоговы (?), 02:34 , 07-Янв-23, (76) +1 // Скрыто модератором, Прохожий (??), 02:37 , 07-Янв-23, (81) Скрыто модератором, Аноним (228), 16:18 , 07-Янв-23, (228) Скрыто модератором, Аноним (233), 16:47 , 07-Янв-23, (234) Скрыто модератором, Аноним (90), 02:43 , 07-Янв-23, (90) // Скрыто модератором, Аноним (138), 04:00 , 07-Янв-23, (139) // Скрыто модератором, Прохожий (??), 12:33 , 07-Янв-23, (192) Ожидаемое поведение, в документации все описано JFrog решили в очередной раз поп, ПомидорИзДолины (?), 21:35 , 06-Янв-23, (2) +16 // Второй параграф в документации, ПомидорИзДолины (?), 21:38 , 06-Янв-23, (3) +7 // Делают комбайн со 100500 возможностей - фуфуфу гигантская кодовая база, сложно п, НяшМяш (ok), 22:35 , 06-Янв-23, (17) +2 // Можешь как угодно называть уязвимость ниже уже назвали задокументированным пов, Аноним (25), 23:24 , 06-Янв-23, (25) Проблема этой ветки обсуждения в том, что некоторые комментаторы пытаются экстра, Прохожий (??), 12:40 , 07-Янв-23, (194) +5 Проблема этой ветки в том что раст преподносился и преподносится как язык реша, keydon (ok), 23:21 , 07-Янв-23, (261) –1 Ложь Решает бОльшую часть Решает 70 ошибок 30 70 Новые не создвал Прос, Аноним (90), 00:10 , 08-Янв-23, (273) +1 Давай посчитаем Какие конкретно ошибки в твоих программах с использованием совр, keydon (ok), 01:00 , 08-Янв-23, (284) –1 Зачем обмазываться линтерами, анализаторами и распухшим до безобразия новым стан, Анимус (?), 18:58 , 10-Янв-23, (362) Так ты и в расте ими обмазываешься, только выбора у тебя нет в отличии от плюсов, keydon (ok), 12:50 , 11-Янв-23, (370) Вот только не было обещаний, что он решит их все , Аноним (300), 13:43 , 08-Янв-23, (300) Я еще с первых форсов раста писал что чуда не случится и все имеет свою цену, да, keydon (ok), 14:38 , 08-Янв-23, (306) Если ты бездумно используешь метод я буду сохранять все байтики в память , кото, НяшМяш (ok), 17:45 , 07-Янв-23, (240) У них там с башкой проблема Remote is always implicitly untrusted , Аноним (72), 02:32 , 07-Янв-23, (73) +3 // Нет Remote может быть nginx в режиме reverse proxy, который сделает все проверк, ПомидорИзДолины (?), 03:15 , 07-Янв-23, (125) Это же библиотека для сборки из кирпичиков, а не полнофункциональный сервер А л, Аноним (148), 04:13 , 07-Янв-23, (148) +8 Так и в си UB описаны, необходимость проверок тоже Но почему-то в си это фаталь, Аноним (25), 23:26 , 06-Янв-23, (27) +1 // Правда, сам ты весь список не читал, просто слышал звон Никаких почему-то не б, Аноним (35), 23:40 , 06-Янв-23, (35) +2 В расте или в имплементации какой-то библиотеки на расте Ты чем читал Молодец,, Аноним (90), 02:55 , 07-Янв-23, (104) +4 // Ну пошли отмазки Лет 9 назад вас, растоманов, не волновало что ещё и библиотеки, Аноним (25), 08:55 , 07-Янв-23, (157) –1 Это не отмазки Это попытка объяснить слабым разумом, что данная конкретная ошиб, Прохожий (??), 11:41 , 07-Янв-23, (175) Библиотека на чем написана Значит обгадился раст , Аноним (228), 17:05 , 07-Янв-23, (236) –2 Попытка выделить большой кусок памяти не является небезопасной операцией Safe R, freecoder (ok), 22:13 , 07-Янв-23, (249) +2 хе, представляю Пишет кто-то какой-нибудь хайлоад для суперкомпа с терабайтом о, Аноним (90), 00:08 , 08-Янв-23, (272) Об этом сишники писали 10 лет назад Что ЯП не исправит человеческие ошибки, даж, keydon (ok), 23:29 , 07-Янв-23, (264) наглая ложь И ты это понимаешь Троллишь наверное Всем понятно и тебе тоже , , Аноним (90), 23:57 , 07-Янв-23, (268) НетТак это и заявлялось противниками раста и лично мной ЕМНИП даже примерпривод, keydon (ok), 00:46 , 08-Янв-23, (281) +2 Так почему так и не решили , Аноним (300), 13:48 , 08-Янв-23, (301) +1 Так в основном и решили , keydon (ok), 12:47 , 11-Янв-23, (369) Дополню Запросы со слишком большим телом почикает nginx Расходимся, kai3341 (ok), 02:14 , 07-Янв-23, (68) +1 // Почикает нгиннкс на С, Аноним (228), 02:34 , 07-Янв-23, (75) а че с чанками делать и крывыми размерами контента в заголовках , Sw00p aka Jerom (?), 09:13 , 07-Янв-23, (160) Я бы сказал безмозглое поведение - выделять оперативную память под запрос целико, MaleDog (?), 04:07 , 07-Янв-23, (145) +1 // Еще поди можно так - кидаем много запросов с небольшим Content-Length, но с тело, MaleDog (?), 04:15 , 07-Янв-23, (149) // в смысле освобождает ровно столько сколько выделил, Sw00p aka Jerom (?), 09:15 , 07-Янв-23, (161) Выделяет столько сколько сказали Затем он по какому-то таймауту должен понять, , MaleDog (?), 12:02 , 07-Янв-23, (184) overcommitЛимит по времени на запрос, Аноним (330), 19:44 , 08-Янв-23, (330) Но при этом на лимит времени память будет занята Притом атакующий затратит го, MaleDog (?), 11:01 , 10-Янв-23, (359) В данном случае упоролись всё же Воины Борьбы Супротив Раста, раз и после нескол, Прохожий (??), 11:44 , 07-Янв-23, (176) // упоролись растоманы которые всегда утверждали, что раст решает все проблемы безо, Аноним (245), 19:40 , 07-Янв-23, (245) Приведите доказательства, что растоманы утверждали, будто Rust решает ВСЕ пробле, freecoder (ok), 22:16 , 07-Янв-23, (250) Давненько я лично писал на опеннете что раст не решает всех проблем, а только не, keydon (ok), 00:04 , 08-Янв-23, (271) +2 Rust решает некоторые проблемы, но большие и очень важные Линтерами на плюсах о, freecoder (ok), 00:52 , 08-Янв-23, (283) Так это специальная функция для чтения запроса целиком Когда он заведомо неболь, Аноним (267), 23:40 , 07-Янв-23, (267) Безопасность не поместилась в оперативную память, Аноним (4), 21:39 , 06-Янв-23, (4) +13 // боров-чекер оказался слишком жирным боровым и не влез в оперативку, Аноним (228), 21:54 , 06-Янв-23, (10) +2 // борров чекер проверяется и работает на этапе компиляции в скомпилированном коде , Alladin (?), 22:29 , 06-Янв-23, (15) // Я знаю что это такое, просто мне слово нравится боров, Аноним (228), 23:07 , 06-Янв-23, (19) Проверяльщик боровов, дядь Который при компиляции бегает между каждым боровом и, Dzen Python (ok), 23:57 , 06-Янв-23, (43) я может что-то не понимаю, но раст с кучей не умеет что ли работать Если на эта, Аноним (228), 23:16 , 06-Янв-23, (23) Компилятор не проверяет, сколько именно памяти есть в системе - это не его задач, Прохожий (??), 01:18 , 07-Янв-23, (49) способствует программисту потерять бдительность, Проффесор (?), 01:45 , 07-Янв-23, (53) –1 Не способствует, а освобождает программиста от слежения за определённым классом , Прохожий (??), 01:48 , 07-Янв-23, (56) +1 Способствует Более того создает впечатление у новичков что программирование - , Проффесор (?), 01:55 , 07-Янв-23, (60) Скажем так, у слабых разумом такое может случиться Но мы ж о нормальных, правда, Прохожий (??), 02:11 , 07-Янв-23, (67) Какой же ты тупой Это не архитектурный изъян Такими словами можно сказать инте, Свидетель ржавоговы (?), 03:12 , 07-Янв-23, (121) Отсутствие возможности контролировать работу с памятью, когда тебе это нужно - э, Прохожий (??), 03:41 , 07-Янв-23, (134) what В Си контроллировать память можно когда угодно и как угодно Про какой изъ, Аноним (228), 17:11 , 07-Янв-23, (237) +1 Так таким значит надо писать на Java, Go, Dart, C , JS наконец с Питоном -- вы ж, Свидетель ржавоговы (?), 03:15 , 07-Янв-23, (123) –1 Каким таким Все люди подвержены ошибкам Исключений нет И это, как я уже сказа, Прохожий (??), 03:48 , 07-Янв-23, (135) Добывай огонь трением, мало ли, спички закончатся, Анимус (?), 19:08 , 10-Янв-23, (363) Ок, ясно, Аноним (228), 21:47 , 06-Янв-23, (6) // Не думаю, что тебе стало что-либо ясно Но ок , Прохожий (??), 13:14 , 07-Янв-23, (204) +3 Скрыто модератором, Аноним (228), 21:49 , 06-Янв-23, (7) +2 // Скрыто модератором, Аноним (24), 23:22 , 06-Янв-23, (24) +6 // Скрыто модератором, Аноним (36), 23:41 , 06-Янв-23, (36) –1 // Скрыто модератором, Аноним (47), 00:39 , 07-Янв-23, (47) +2 Скрыто модератором, псевдонимус (?), 16:25 , 07-Янв-23, (231) –1 Всё правильно Ещё со времён Юниксов и Си правильно Программа или библиотечная , pashev.ru (?), 21:51 , 06-Янв-23, (8) +1 // Всё верно,товарищ Проверки выхода за границы массива - тоже отдельная задача Эту, Аноним (133), 22:10 , 06-Янв-23, (12) –10 // В современных крестах это уже реализовано Но раст не дотягивает до крестов А Си, Свидетель ржавоговы (?), 02:53 , 07-Янв-23, (101) –3 // Тыкну тебя в единственный по-настоящему системный язык программирования Он назы, Аноним (133), 03:31 , 07-Янв-23, (132) –2 Это уже давно есть Открой для себя санитайзеры наконец , Вы забыли заполнить поле Name (?), 09:16 , 07-Янв-23, (162) –3 Ты понимаешь разницу между специализированным ПО которое, несмотря на все усили, Прохожий (??), 13:19 , 07-Янв-23, (206) –1 А ты понимаешь, что компилятор раста - это тоже специализированное ПО А компилят, Вы забыли заполнить поле Name (?), 23:23 , 07-Янв-23, (262) Чего не хватает Rust, о гуру системного программирования В Rust всего этого нет , Прохожий (??), 04:20 , 07-Янв-23, (150) +3 Прибитость гвоздями к LLVM Обработки ошибок аллокации памяти Float-free libc, Вы забыли заполнить поле Name (?), 00:31 , 08-Янв-23, (277) Craneliftset_alloc_error_hookзачем естьестьможно использовать C ABI, идет работа, Andrewpotam (?), 00:46 , 08-Янв-23, (280) +1 Судя по описанию это еще сырой проект и нацелен в первую очередь на WASM Это ni, Вы забыли заполнить поле Name (?), 01:23 , 08-Янв-23, (285) +2 Ты бы не позорился У Раст так же стандарты выходят раз в три года , Анимус (?), 19:15 , 10-Янв-23, (364) –2 Ссылкой на стандарт поделишься , Вы забыли заполнить поле Name (?), 21:34 , 10-Янв-23, (366) +1 Так если подумать и реализовано неправильно Если заведомо нет проверок на длину, Dzen Python (ok), 23:48 , 06-Янв-23, (42) // А если не только подумать, тыкая пальчиком в небо, а ещё почитать доку, например, Прохожий (??), 01:39 , 07-Янв-23, (52) +3 // В стандартах на протоколы не пишут, что можно делать use-after-free, что память , Аноним (228), 02:15 , 07-Янв-23, (69) –2 Претензии к сишникам очень простые Они делают слишком много ошибок в сложных пр, Прохожий (??), 02:28 , 07-Янв-23, (71) +1 Претензии к растоманам, питонистам и JS TypeScript-ам не всем простые - они к, Аноним (72), 02:42 , 07-Янв-23, (87) Какой-то поток сознания, не распарсил, сорри , Прохожий (??), 02:56 , 07-Янв-23, (106) –1 свайпай дальше, Свидетель ржавоговы (?), 03:09 , 07-Янв-23, (117) –1 Предлагаешь, каждую вспышку больного сознания комментировать Сорри, это не ко м, Прохожий (??), 11:49 , 07-Янв-23, (178) дебилизм какой-то, давайте напишем в документации ядра линукс, что хакеры не дол, Аноним (245), 19:46 , 07-Янв-23, (246) –2 Функция выделяет памяти столько, сколько её попросили Никаких UB при этом нет , freecoder (ok), 22:24 , 07-Янв-23, (251) Там написали, что ты не должен это выставлять наружу, в недоверенное окружение , Аноним (90), 00:36 , 08-Янв-23, (278) –1 как же тупо, тупо никаких ограничений на выделение по Content-Length , Alladin (?), 21:53 , 06-Янв-23, (9) –1 // И каким должно быть универсальное ограничение на выделение памяти для универсаль, Аноним (29), 23:28 , 06-Янв-23, (29) +1 // Очевидно, так как растоманы решили - чтоб отказ в обслуживании , Аноним (228), 23:33 , 06-Янв-23, (31) –1 // Очевидно, открыта перепись Ыкспердов опеннета Правда, Ыксперды не знали а так , Аноним (44), 23:59 , 06-Янв-23, (44) +1 я и сам никогда не ориентировался на content-length, прислушивался но не ориенти, Alladin (?), 00:37 , 07-Янв-23, (46) –2 Очевидно библиотека должна посмотреть размер свободной памяти на машине, помнож, Аноним (72), 02:37 , 07-Янв-23, (80) –2 // А что если на машине 64гб рам, а в слайсе сигруппы приложению выделили всего 256, Аноним (330), 02:46 , 07-Янв-23, (93) +1 а приложение в этой группе, когда дёрнет API, увидит, что у неё доступно для выд, Аноним (72), 02:52 , 07-Янв-23, (99) –1 Какая нахрен разница, в С libc Linux нет реального выделения памяти Выделяй, Аноним (133), 03:49 , 07-Янв-23, (136) +3 Адекватные люди отключают оверкоммит И тут же выясняется, что говно и линукс и , Аноним (297), 13:17 , 08-Янв-23, (297) Очевидно чтение реквеста должно быть блочным, а не запихать всё в память и отд, Омномним (?), 12:27 , 07-Янв-23, (190) –1 Ты про такой протокол, как UDP и на нем основанных слышал Знаешь, как там всё р, Прохожий (??), 12:57 , 07-Янв-23, (197) Дед, ты таблетки забыл принять на ночь Что ты, блин, несешь, старый идиот Ты дл, Аноним (228), 18:29 , 07-Янв-23, (243) Если оно по HTTP - то да HTTP 3 включает в себя свой TCP поверх UDP Протоколы,, Аноним (297), 13:29 , 08-Янв-23, (299) И вообще, дед, причем тут UDP или TCP Это нижележащий уровень, транспортные про, Аноним (228), 19:22 , 07-Янв-23, (244) Добавить рандом в либу И привязать его к параметру окружения Да ты просто з, Анонн (?), 17:16 , 07-Янв-23, (238) –1 Документацию читать надо, а ошибки - писать в лог вместе с причинами Рандом нуж, Аноним (297), 13:13 , 08-Янв-23, (296) Э-э Выделить небольшой буфер на проверку заголовков Передать их обработчику, ч, MaleDog (?), 12:58 , 07-Янв-23, (198) +1   // Ну а chunked-запрос - это извращение Насколько я помню изначально chunked был т, MaleDog (?), 13:33 , 07-Янв-23, (208)   Почему извращение Допустим мы хотим залить контент заранее не известного объёма , Омномним (?), 20:47 , 08-Янв-23, (339)   Потому, что заранее не известно когда закончится запрос Теоретически я хоть цел, MaleDog (?), 22:28 , 10-Янв-23, (367) –1   Тем более, что часто люди просто не думают Вот к примеру реальный случай Мне п, MaleDog (?), 22:56 , 10-Янв-23, (368)   Про read timeout что-нибудь слышал Ну и да - чанк не обязательно читать целиком,, Омномним (?), 15:07 , 11-Янв-23, (371)   Тут вся суть в том Как отличить добросовестное использование от недобросовестно, MaleDog (?), 23:15 , 12-Янв-23, (372) –1   Чичиго , Омномним (?), 00:45 , 13-Янв-23, (373)   Э-э, там, в той самой библиотеке, для этого есть aggregate - читает в буфер, раз, Аноним (248), 21:27 , 07-Янв-23, (248) +2   Можно посмотреть как эту проблему решили высокооплачиваемые программисты из Sun , Аноним (241), 18:00 , 07-Янв-23, (241) –2 // и вообще смог понять что за проблема, Аноним (307), 14:50 , 08-Янв-23, (307) Это норм Просто макакинг-девелопмент, Свидетель ржавоговы (?), 02:55 , 07-Янв-23, (103) Чудесное определение 8212 особенность работы с памятью Запомню , Аноним (20), 23:11 , 06-Янв-23, (20) // ой как интересно получилось, Проффесор (?), 01:48 , 07-Янв-23, (55) // Ой какой длинный список получается, Прохожий (??), 01:59 , 07-Янв-23, (62) –1 Программы на Rust текут из-за особенности работы с памятью , Аноним (351), 15:11 , 09-Янв-23, (351) +1 // Нет, зато опеннетные экспертусы-по-всему не владеют даже элементарной терминолог, Аноним (355), 20:20 , 09-Янв-23, (355) Сишник забывает очистить память в указателерастоман диды писали, надо переписат, Аноним (228), 23:12 , 06-Янв-23, (21) +2 // Питонист, расскажи куда его еще копировать, заодно выдай, каким должен быть раз, Аноним (29), 23:25 , 06-Янв-23, (26) +5 // UB в ANSI C тоже задокументировано , Аноним (228), 23:27 , 06-Янв-23, (28) –1 // А в огороде бузина , Аноним (248), 00:00 , 07-Янв-23, (45) Да нее, тут опять сишники виноваты, Свидетель ржавоговы (?), 02:57 , 07-Янв-23, (107) –1 // Не тут Но виноваты, конечно , Прохожий (??), 13:44 , 07-Янв-23, (211) Помнится си критиковали за то что программисту нужно слишком много думать и знат, Аноним (25), 23:16 , 06-Янв-23, (22) –2 // Очередная перепись не читающих дальше заголовка , Аноним (30), 23:32 , 06-Янв-23, (30) +3 // Это уже новая риторика Изначально было раст все порешает и программисты не б, Аноним (25), 09:51 , 07-Янв-23, (164) –2 // Где это заявлялось , Аноним (300), 11:48 , 07-Янв-23, (177) +3 Ой звездуны-ы-ы-ы Вкладывать свои слова и мысли в уста оппонента и потом с па, Аноним (90), 23:01 , 07-Янв-23, (258) –1 У Си уязвимости, а у Раста ОСОБЕННОСТИ работы с памятью, понимать надо , Аноним (38), 23:42 , 06-Янв-23, (38) +1 // Говори толерантнее, иначе к тебе приедет айнзац-команда и до реанимации будет уч, Dzen Python (ok), 23:44 , 06-Янв-23, (41) // Эх, видимо, рано я порадовался за питониста Эй, питонист Не у Раста, а в станд, Прохожий (??), 01:57 , 07-Янв-23, (61) // Способность обращаться по любому адресу памяти это нормальное поведение кода, ис, Свидетель ржавоговы (?), 03:01 , 07-Янв-23, (112) –2 С точки зрения процессора - да, нормальное А с точки зрения программиста, котор, Прохожий (??), 03:13 , 07-Янв-23, (122) Не любого кода Подавляющая часть программ состоящих из данных и кода категори, Аноним (90), 23:12 , 07-Янв-23, (259) Тебе сказали - работающего на процессоре, а не под ОС, работающей на процессоре , Аноним (228), 00:27 , 08-Янв-23, (276) кем не выделенной, куда не выделенной Вот есть у меня ядро, оно стартует, и , Аноним (228), 00:42 , 08-Янв-23, (279) от слова док , как в док-станции , раст переусложнён (?), 11:12 , 07-Янв-23, (169) –1 // Тебе далеко пока до Евгения Вагановича Тренируйся ещё , Прохожий (??), 11:53 , 07-Янв-23, (179) Уязвимость, но не в Rust и даже не в библиотеке Hyper, а в тех серверах, которые, freecoder (ok), 22:32 , 07-Янв-23, (252) +2 // В Си тоже нету уязвимостей, они могут встречаться в софте на нем написаном , Аноним (228), 00:01 , 08-Янв-23, (270) +2 Мда, это даже смешно Это поведение не только записано в доке, там даже пример ес, Анонн (?), 00:57 , 07-Янв-23, (48) +6 // Кондуит конечный продукт, естественно у него будет меньше загрузок с сайта 171, Аноним (-), 12:49 , 07-Янв-23, (196) Да ну ладно , Аноним (-), 04:04 , 07-Янв-23, (141) // Ещё один подражатель Евгения Вагановича Такая популярная на Опеннете личность, , Прохожий (??), 04:12 , 07-Янв-23, (147) +1 // Но как, Холмс , Аноним (-), 06:05 , 07-Янв-23, (156) –1 Галустян, залогинься , псевдонимус (?), 16:31 , 07-Янв-23, (232) –1 Скрыто модератором, Аноним (138), 04:06 , 07-Янв-23, (143) –1 // Скрыто модератором, Прохожий (??), 04:12 , 07-Янв-23, (146) +2 Скрыто модератором, Аноним (90), 23:19 , 07-Янв-23, (260) Вот она победа раста над древней сишкой Растоманы накосячили с памятью и все лиш, Анонимусс (?), 10:38 , 07-Янв-23, (165) // Ну и развивали бы дальше свой победоносный redox Нафига в сишный linux полезли , An (??), 10:50 , 07-Янв-23, (166) –1 // Потому что это будет просто преступлением оставить линукс таким дырявым какой он, Анонимусс (?), 11:09 , 07-Янв-23, (168) +1 Да, просто за драйверами зашли Сейчас с ними и уйдут обратно , Аноним (173), 11:36 , 07-Янв-23, (173) // Никто уже никуда не уйдёт, не переживай Учить язык придётся Хотя для некоторых, Прохожий (??), 12:17 , 07-Янв-23, (187) Но дрова то на небезопасном Си, все равно их переписывать с нуля надо, Аноним (294), 11:45 , 08-Янв-23, (294) Redox - это почти домашний проект, просто чтобы убедиться, на данном языке можно, Прохожий (??), 12:15 , 07-Янв-23, (186) +1 А можно написать еще хотя бы одну библиотеку для работы с HTTP, а то что-то свет, Аноним (173), 11:37 , 07-Янв-23, (174) Бугагашно, чанк по частям мегабезопастные кодеры читать не научились D, Омномним (?), 11:54 , 07-Янв-23, (181) –1 // так-то вообще школьная ошибка, чтение из сети по заданному размеру без лимитов , Омномним (?), 11:55 , 07-Янв-23, (183) –1 О великий эксперт А где ты потом собирать будешь эти чанки Почитай на досуге п, Прохожий (??), 13:03 , 07-Янв-23, (201) –1 // Никогда не останавливайся на полпути, позорься до конца Ты хотя бы посмотри как , Аноним (228), 13:38 , 07-Янв-23, (210) –1 // Упоминание UDP - это была попытка намекнуть, что не все так просто, как сишники , Прохожий (??), 13:56 , 07-Янв-23, (212) Хорошее упоминание Ты собрался весь поток UDP за неизвестный период в память та, Омномним (?), 16:01 , 07-Янв-23, (223) –1 Собственно об чём и речь УНИВЕРСАМНАЯ либлиотека оказалась ни фига не универсал, Омномним (?), 16:02 , 07-Янв-23, (224) –1 Если ты туда всунешь какой-то лимит на размер буфера она перестанет быть универс, Аноним (90), 23:35 , 07-Янв-23, (266) +1 Ты в курсе, что лимит может быть конфигурируемым со стороны клиента , Омномним (?), 11:56 , 08-Янв-23, (295) https docs rs hyper latest hyper body fn aggregate htmlhttps docs rs hyper l, Аноним (269), 23:57 , 07-Янв-23, (269) +1 Жаборастера видно издалека, да Собирать будет клиентский код - там, где ему на, Омномним (?), 16:00 , 07-Янв-23, (222) –1 И чего У меня сейчас допустим есть асинхронная корутинная реализация HTTP на PHP, Омномним (?), 16:04 , 07-Янв-23, (225) –1 // А для универсальности там же есть - readAllHeaders readFullContent , первое, Омномним (?), 16:11 , 07-Янв-23, (226) –1 Бугагашно, читать дальше заголовка местные Воены Супротив Раста так и не научили, Аноним (248), 21:21 , 07-Янв-23, (247) +1 А ты по ссылочке-то пробовал пройти This may require copying the data into a sin, Аноним (267), 23:32 , 07-Янв-23, (265) Пациенты клиники Кащенко в комментах в полном сборе Но вы же гаварили что в рас, анон (?), 12:29 , 07-Янв-23, (191) +3 // Ну то, что си по умолчанию не проверяет границы массивов тоже задокументировано , Вы забыли заполнить поле Name (?), 13:02 , 07-Янв-23, (200) –4 // Ещё один сравниватель Си с реализацией конкретной библиотеки Как-то много вас р, Прохожий (??), 13:05 , 07-Янв-23, (202) +2 // Подозрительно много тут только твоих комментариев , Вы забыли заполнить поле Name (?), 01:24 , 08-Янв-23, (286) –1 Ты читать умеешь Проблема в библиотеке ебтвм, можешь форкнуть и поправить если , анон (?), 13:07 , 07-Янв-23, (203) // Новаторство в борьбе с уязвимостями , Аноним (205), 13:16 , 07-Янв-23, (205) Очевидно, и читать, и писать он умеет А вот с осмысливанием прочитанного у него, Прохожий (??), 13:36 , 07-Янв-23, (209) +2 Строго говоря, это не проблема библиотеки Hyper, это проблема тех нескольких сер, freecoder (ok), 22:46 , 07-Янв-23, (256) У чтения в один присест должны быть лимиты Потому что всем, кроме хрустоманов, о, Омномним (?), 20:49 , 08-Янв-23, (340) –1 Еще скажите, что у обращения по индексу всегда должна быть проверка выхода за гр, freecoder (ok), 15:27 , 09-Янв-23, (353) Только в случае, если индекс зависит от пользовательского ввода Проверять границ, Омномним (?), 10:44 , 18-Янв-23, (374) В цикле и так будет проверка на каждом шаге условия достижения конца цикла Чтоб, freecoder (ok), 12:31 , 20-Янв-23, (375) Проверка на каждом шаге условия Ну удачки, чего , Омномним (?), 21:02 , 20-Янв-23, (376) Есть допустим у меня кадр 7680x4320 Мне его надо вдоль и поперёк обработать, с, Омномним (?), 21:13 , 20-Янв-23, (377) Ваше предыдущее сообщение было про цикл Как вы себе представляете цикл без пров, freecoder (ok), 21:23 , 21-Янв-23, (378) Между проверкой условия выхода и проверкой границ есть небольшая разница, не , Омномним (?), 09:39 , 22-Янв-23, (379) Мы пациенты смеемся не с новости, а с ваших попыток оправдаться Особенно смешн, Аноним (214), 14:38 , 07-Янв-23, (214) // Понятно Этого пока рано выписывать , анон (?), 14:46 , 07-Янв-23, (215) // А разве это не так Происходит жирный наброс в духе Ха, самый безопастный язык н, Аноним (214), 14:51 , 07-Янв-23, (216) –1 Какие оправдания Это безуспешные попытки объяснить недалеким, что вообще-то т, Анонимусс (?), 16:15 , 07-Янв-23, (227) +4 Которые ты написал , Аноним (214), 16:23 , 07-Янв-23, (230) –2 Чтобы убедиться, что в том случае растоманы действительно были неправы если они, freecoder (ok), 22:43 , 07-Янв-23, (255) А у тебя как всегда сишники виноваты , Аноним (219), 15:49 , 07-Янв-23, (219) Тут согласен, пациенты клиники Кащенко пишут, что чтобы избегать какой-то тип ош, Аноним (294), 11:41 , 08-Янв-23, (292) +2 // То ли дело молиться, что всё порешают линтеры, санитайзеры, да прямые руки , Аноним (300), 14:16 , 08-Янв-23, (304) –1 // Толи дело написать язык, на котором ничего невозможно написать , Аноним (314), 16:01 , 08-Янв-23, (314) Хах растобезопасность снова превратилась в тыкву, Аноним (217), 14:55 , 07-Янв-23, (217) // Безопасность Rust а Или безопасность Hyper Или безопасность Axum, Salvo и cond, freecoder (ok), 22:37 , 07-Янв-23, (254) Какая именно безопасность Боров-чекер перестал работать , freecoder (ok), 17:23 , 08-Янв-23, (324) Кстати, новость написана правильно А вот комментаторы неверно интерпретируют ск, freecoder (ok), 22:35 , 07-Янв-23, (253) // Ваш растопроект вылетел в DoS из-за непроверки входных данных Знаете кто винова, anonymous (??), 18:21 , 08-Янв-23, (328) // Rust и растоманы нигде не обещают избавления от логических ошибок Те гарантии, , freecoder (ok), 20:09 , 08-Янв-23, (332) // Прикол в том, что в Расте вероятность совершить логическую ошибку повышается из-, Аноним (294), 16:12 , 09-Янв-23, (354) +2 Код раздувается из-за того, что развитая строгая типизация требует больше явных , freecoder (ok), 20:28 , 09-Янв-23, (356) Я говорю о ЛОГИЧЕСКИХ ошибках, Аноним (294), 20:33 , 09-Янв-23, (357) –1 Так я тоже о них говорю Обработка не всех вариантов - в общем случае ведет к ло, freecoder (ok), 14:01 , 10-Янв-23, (361) 1 Причём растаманить на их неуклюжем языке в 2 раза сложнее и они это оправд, Аноним (349), 14:03 , 09-Янв-23, (349) +1 Вызвать команду на загрузку всех данных в память и обвинять язык в том что памят, Аноним (307), 11:31 , 09-Янв-23, (346) +1 // болобол, Аноним (228), 12:37 , 10-Янв-23, (360) Когда новость про ошибки в программах на расте не связаны с самим растом, у наСИ, Аноним (90), 00:49 , 08-Янв-23, (282) –1 // Это не очень на пятилетку похоже удивительно как много ошибок в стандартной библ, Аноним (287), 01:50 , 08-Янв-23, (287) +2 // Конечно верим, потому что сразу видно админа локалхоста Тебе будет легче если , Аноним (47), 11:43 , 08-Янв-23, (293) +1 // А что мешает это сделать из под раста, если возможность получения рут-доступа ни, Аноним (318), 16:57 , 08-Янв-23, (318) Как получить рут-доступ, если сервер замедлился или упал из-за перерасхода памят, freecoder (ok), 17:21 , 08-Янв-23, (323) https www opennet ru opennews art shtml num 55607https www opennet ru openne, Аноним (318), 17:37 , 08-Янв-23, (325) –1 Эти случаи уже много раз обсудили, обмусолили и сделали выводы Давайте здесь об, freecoder (ok), 20:05 , 08-Янв-23, (331) Классика , Аноним (341), 23:35 , 08-Янв-23, (341) +1 Нужен новый язык Раст решает не все проблемы, Аноним (294), 11:39 , 08-Янв-23, (291) +2 // Новый будет создан на основе Раста и с учетом его преимуществ и недостатков Ещё, freecoder (ok), 17:20 , 08-Янв-23, (322) // Rust with classes, Objective-Rust, Rust , Аноним (351), 15:03 , 09-Янв-23, (350) Ты ещё в сортах уязвимость разбираешься Типа когда тебя взломают через неправил, Аноним (314), 16:00 , 08-Янв-23, (312) Скрыто модератором, Аноним (294), 11:38 , 08-Янв-23, (290) +1 // Скрыто модератором, Аноним (314), 15:57 , 08-Янв-23, (311) Скрыто модератором, Вы забыли заполнить поле Name (?), 16:17 , 08-Янв-23, (316) Скрыто модератором, freecoder (ok), 17:18 , 08-Янв-23, (321) –1 // Скрыто модератором, Ыыыыыы (?), 20:25 , 08-Янв-23, (337) –1 // Скрыто модератором, freecoder (ok), 15:23 , 09-Янв-23, (352) Когда же вы поймёте что самый безопасный язык это Carbon, Карбон лучший (?), 14:35 , 08-Янв-23, (305) –2 // Когда пройдет фанатизм никогда , Аноним (314), 15:56 , 08-Янв-23, (309) +1 Не ври, most wanted лучше , Ыыыыыы (?), 20:27 , 08-Янв-23, (338) Что и требовалось доказать баги полностью зависят от криворуких погромиздов, яз, Аноним (349), 14:00 , 09-Янв-23, (348) +1 2,4,6,8,9,20,21,22,38,48,141,165,174,181,191,217,253,282,305,348

Сообщения

[Сортировка по времени | RSS]

	198. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	+1 +/–
	Сообщение от MaleDog (?), 07-Янв-23, 12:58
	Э-э. Выделить небольшой буфер на проверку заголовков. Передать их обработчику, чтобы тот авторизовал, проверил и сам выделил нужное количество оперативы. Затем выделить небольшой буфер для чтения тела запроса, читать запрос по частям по заполнению буфера или даже раньше передавать их обработчику. Что он с ними будет делать уже его проблема, главное буфер тут нужен чтобы избежать задержек. Но точно не пытаться считать весь запрос в оперативку.
	Ответить | Правка | К родителю #29 | Наверх | Cообщить модератору

	208. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	+/–
	Сообщение от MaleDog (?), 07-Янв-23, 13:33
	Ну а chunked-запрос - это извращение. Насколько я помню изначально chunked был только для ответа сервера. Но потом реализовали и для запроса. При этом у chunked отсутствует заголовок Content-Length. Сколько читать указано перед чанком. Наиболее безопасно выделять буфер непосредственно перед чтением чанка проверив предварительно, что тот не слишком длинный, так как стандартом не оговорены ни максимальная длинна, ни то что чанки должны быть одинаковой длинны. В любом случае chunked это не про быстродействие, это скорее про "бедность" передающего на оперативку. Так что нет никаких причин быстро его на сервере обрабатывать помещая весь запрос в оперативку.
	Ответить | Правка | Наверх | Cообщить модератору

	339. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	+/–
	Сообщение от Омномним (?), 08-Янв-23, 20:47
	Почему извращение? Допустим мы хотим залить контент заранее не известного объёма. Какую-нибудь телеметрию например, которая идёт потоком, но лить хотим по HTTP. Why not?
	Ответить | Правка | Наверх | Cообщить модератору

	367. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	–1 +/–
	Сообщение от MaleDog (?), 10-Янв-23, 22:28
	Потому, что заранее не известно когда закончится запрос. Теоретически я хоть целый день могу развлекать сервер одним запросом(насколько хватит терпения у проектировавшего сервер). Кроме того ему нужно будет решать вопросы с увеличивающимся или уменьшающимся буфером или склеиванием, ведь максимальная длинна чанка не известна заранее и нигде не сказано что они могут быть одной и той же длинны. и эта проблема умножается на два или на три, если со стороны сервера или клиента есть прокси. Лучше уж тогда TCP и бинарный протокол, где все, включая длинну сообщения будет заранее оговорено. Не спорю то же самое можно оговорить и в заголовке HTTP, но зачем? Учитывая что выбрав бинарь вы минимум вдвое сэкономите на длинне сообщения.
	Ответить | Правка | Наверх | Cообщить модератору

	368. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	+/–
	Сообщение от MaleDog (?), 10-Янв-23, 22:56
	Тем более, что часто люди просто не думают. Вот к примеру реальный случай. Мне предлагают использвать chunked HTTP(даже не HTTPS). Есть некий девайс на esp32(520 KB RAM), в нем есть буфер EEPROM на 128KB. Разработчик говорит: я не знаю сколько у меня записей будет потому не могу сказать заранее Content-Length. Но в данном случае это чистое лукавство. Судя по коду у него две третьих оперативы всегда свободны. Т. е. запрос содержащий если не половину, то четверть EEPROM можно спокойно затолкать в оперативку даже в формате JSON и посчитать его длинну.В 4-5 запросов можно передать все данные. Но нет, нужно же осложнить жизнь разработчику сервера и передать все в одном chunked, и пусть этот разработчик продумает все возможные способы атаки, где левый долбящийся бот может вызвать отказ. Если что, реальный случай. Есть некая небольшая компания занимающаяся IOT, у них есть сайт с demo-кабинетом. Меня пригласили оценить и возможно сделать что-то подобное(я универсал, "сам пою, сам снимаю, сам по морде получаю"). Зашел в кабинет - красивенько. Ну там схема квартиры, и один датчик. Вижу кнопку "отчет" и datetimepicker. Пробую отчет за день - нормально. За неделю - сервер слегка задумался. За месяц - сервер упал. Да так что даже статус не возвращает. Вместе с сервером упал и сайт компашки. Вот специально попросил заказчика проверитть, что не меня забанили, а именно сервер упал. Да не может быть думаю. Через полчаса, когда кто-то видимо перезагрузил сервер повторяю операцию - сервер еще на полчаса в отрубе. Вот что бывает когда кто-то не продумал все возможные варианты использования его поделия.
	Ответить | Правка | Наверх | Cообщить модератору

	371. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	+/–
	Сообщение от Омномним (?), 11-Янв-23, 15:07
	Про read timeout что-нибудь слышал? Ну и да - чанк не обязательно читать целиком, снова растожаберство какое-то в голове :)
	Ответить | Правка | К родителю #367 | Наверх | Cообщить модератору

	372. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	–1 +/–
	Сообщение от MaleDog (?), 12-Янв-23, 23:15
	Тут вся суть в том. Как отличить добросовестное использование от недобросовестного. Если это обычный http запрос с Content-Length, то довольно просто выделить буфер и установить таймаут. Если это Chunked, то придется устанавливать эти правила для каждого чанка. Что гораздо затратнее.
	Ответить | Правка | Наверх | Cообщить модератору

	373. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	+/–
	Сообщение от Омномним (?), 13-Янв-23, 00:45
	Чичиго?
	Ответить | Правка | Наверх | Cообщить модератору

	248. "Уязвимость в приложениях на базе HTTP-библиотеки Hyper"	+2 +/–
	Сообщение от Аноним (248), 07-Янв-23, 21:27
	> Затем выделить небольшой буфер для чтения тела запроса, читать запрос по частям по заполнению Э-э, там, в той самой библиотеке, для этого есть aggregate - читает в буфер, размер буфера устанавливается по вкусу. Кто ж виноват, что нельзя никак заставить использовать именно это API?
	Ответить | Правка | К родителю #198 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема