Comments on: Безопасность, о которой все так много говорят… http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/ Verba volant, scripta manent Sat, 22 Nov 2008 10:12:32 +0000 http://wordpress.org/?v=2.7-beta3 hourly 1 By: Vladimir http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/comment-page-1/#comment-919 Vladimir Fri, 21 Nov 2008 01:23:12 +0000 http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/#comment-919 Еще одна статья по теме: <strong><a href="http://blog.sjinks.org.ua/security/362-incorrect-way-to-integrate-payment-gateways/" rel="nofollow">Как не нужно интегрировать платёжные системы</a></strong> Еще одна статья по теме: Как не нужно интегрировать платёжные системы

]]> By: Как не нужно интегрировать платёжные системы | Ars Longa, Vita Brevis http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/comment-page-1/#comment-918 Как не нужно интегрировать платёжные системы | Ars Longa, Vita Brevis Fri, 21 Nov 2008 01:19:33 +0000 http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/#comment-918 [...] а румынец из компании SurgeWorks) могу сказать следующее: никогда не доверяйте данным, которые пришли от пользов.... Лень (и непрофессионализм) в этом случае могут [...] [...] а румынец из компании SurgeWorks) могу сказать следующее: никогда не доверяйте данным, которые пришли от пользов…. Лень (и непрофессионализм) в этом случае могут [...]

]]> By: DimoninG http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/comment-page-1/#comment-559 DimoninG Sat, 13 Sep 2008 10:47:51 +0000 http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/#comment-559 Честно, про подделку типа файла не думал. Был уверен, что PHP лезет в файл, смотрит, что там, а потом выдает mime ))) Я был наивен, исправился. Про плагин к ОгнеЛису - тоже спасибо, опять же не слышал о таком. Ух, и интересно же все это ))) Честно, про подделку типа файла не думал.
Был уверен, что PHP лезет в файл, смотрит, что там, а потом выдает mime ))) Я был наивен, исправился.

Про плагин к ОгнеЛису - тоже спасибо, опять же не слышал о таком.
Ух, и интересно же все это )))

]]> By: SaltyDog http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/comment-page-1/#comment-398 SaltyDog Tue, 15 Jul 2008 23:16:23 +0000 http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/#comment-398 Повторил финт ушами. Покатаюсь по каталогам, ломать не буду :) Повторил финт ушами. Покатаюсь по каталогам, ломать не буду :)

]]> By: Vladimir http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/comment-page-1/#comment-397 Vladimir Tue, 15 Jul 2008 23:03:20 +0000 http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/#comment-397 <blockquote>Это какая-то хитрая функция, которая изменила 123 на 5?</blockquote> Спасибо, поправил… <blockquote>а ребята вообще забавные, даже файл твой не удалили</blockquote> Да забили они на сайт, они деньги с AdSense получают (кстати, Google AdSense забанил меня именно за эту статью); видимо, им этого хватает.

Это какая-то хитрая функция, которая изменила 123 на 5?

Спасибо, поправил…

а ребята вообще забавные, даже файл твой не удалили

Да забили они на сайт, они деньги с AdSense получают (кстати, Google AdSense забанил меня именно за эту статью); видимо, им этого хватает.

]]> By: SaltyDog http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/comment-page-1/#comment-396 SaltyDog Tue, 15 Jul 2008 22:57:31 +0000 http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/#comment-396 а ребята вообще забавные, даже файл твой не удалили :-) а ребята вообще забавные, даже файл твой не удалили :-)

]]> By: SaltyDog http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/comment-page-1/#comment-394 SaltyDog Tue, 15 Jul 2008 22:49:56 +0000 http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/#comment-394 <code>$id = $_GET['id']; $query = "SELECT * FROM {$members} WHERE id = $id LIMIT 1";<code> Всем хорош код, когда $id — это число. Например, если скрипт был вызван "script.php?id=<b>123</b>", то запрос принял бы следуюший вид: <code>SELECT * FROM members WHERE id = 5 LIMIT 1<code> Это какая-то хитрая функция, которая изменила 123 на 5? :) $id = $_GET['id'];
$query = “SELECT * FROM {$members} WHERE id = $id LIMIT 1″;
Всем хорош код, когда $id — это число. Например, если скрипт был вызван "script.php?id=123“, то запрос принял бы следуюший вид:
SELECT * FROM members WHERE id = 5 LIMIT 1

Это какая-то хитрая функция, которая изменила 123 на 5? :)

]]> By: Vladimir http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/comment-page-1/#comment-393 Vladimir Tue, 15 Jul 2008 21:41:36 +0000 http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/#comment-393 Разработчики забили на свой продукт. Я им даже решение постил. Метод страуса - не лучший метод защиты. Разработчики забили на свой продукт. Я им даже решение постил. Метод страуса - не лучший метод защиты.

]]> By: cyberquoter http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/comment-page-1/#comment-392 cyberquoter Tue, 15 Jul 2008 21:35:26 +0000 http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/#comment-392 Ктож такие вещи в паблик выкладывает, да еще и с линком на список "жертв" до принятия мер со стороны разрабов? :) Чего уж там про SQL-инъекции говорить, когда еще не все про XSS забыли (по некоторым оценкам Searchengines, число дырявых сайтов ~5-6%) :) Ктож такие вещи в паблик выкладывает, да еще и с линком на список “жертв” до принятия мер со стороны разрабов? :)
Чего уж там про SQL-инъекции говорить, когда еще не все про XSS забыли (по некоторым оценкам Searchengines, число дырявых сайтов ~5-6%) :)

]]> By: Vladimir http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/comment-page-1/#comment-7 Vladimir Sat, 15 Mar 2008 13:43:20 +0000 http://blog.sjinks.org.ua/security/9-security-they-talk-so-much-about/#comment-7 <strong>Update:</strong> несколько дней назад я предупредил владельцев сайта Article Dashboard о том, что их ПО (а также то ПО, которое они распространяют) уязвимо. Ответа от них не последовало. Что же, отсутствие ответа — тоже ответ. Но вот только решение проблем безопасности страусиным методом еще не разу себя не оправдывало. Update: несколько дней назад я предупредил владельцев сайта Article Dashboard о том, что их ПО (а также то ПО, которое они распространяют) уязвимо. Ответа от них не последовало. Что же, отсутствие ответа — тоже ответ. Но вот только решение проблем безопасности страусиным методом еще не разу себя не оправдывало.

]]>