Василий Наумкин

Василий Наумкин

С нами с 08 декабря 2012; Место в рейтинге пользователей: #1
Написать сообщение
12 ноября 2016, 04:23
+7
Да, ты абсолютно прав — снимаю шляпу.

Я вчера весь день читал про слепые SQL и ставил эксперименты на тестовом сайте. А сегодня весь день буду обновлять свои дополнения на предмет фильтрации этих слепых SQL в запросах.

Очевидно, что на фильтрацию их в самом xPDO полагаться нельзя, как бы ни хотелось.
/
11 ноября 2016, 13:43
+3
Неа, сайтики modstore.pro и modx.pro даже физически расположены на разных серверах.

Но спасибо за логи, я внимательно смотрю где и что ты перебирал, на какие файлы обращался и какими запросами.
Теперь очевидно, что нужно делать дополнительную фильтрацию всех запросов, перед передачей их в xPDO.
/
11 ноября 2016, 09:57
+2
Либо нажимать на количество комментариев под кнопкой обновления.
/
11 ноября 2016, 08:28
+6
Я не могу со 100% точностью заявлять, что человек, создавший сайт и написавший коммент — одно лицо, паспорт я не проверял.

Но если ты думаешь, что один человек вчера создал тестовый сайт, а другой следом его нашел, взломал и выложил сюда префикс — то советую включить ту часть мозга, которая отвечает у тебя за логику.

Я уж молчу о том, что «великий хакер» создал здесь новую учётную запись с тем же ником, а не разблокировал старую — что было бы гораздо круче и нагляднее.

В общем вас, хорьков-паникёров, уже не стесняясь троллят, а вы ведётесь.
/
11 ноября 2016, 08:02
+3
Ты тоже так можешь:
1. Заходишь на modhost.pro
2. Создаёшь новый тестовый сайт
3. Смотришь его префикс
4. Profit!

Что и кому это доказывает — непонятно. Речь, всё-таки, шла о префиксе этого сайта, а не любого подряд.
/
11 ноября 2016, 07:07
+2
Нет.

Это префикс тестового сайта, созданного вчера на modhost.pro
/
10 ноября 2016, 10:22
0
s7308.h7.modhost.pro/
s3708
FhQIqQmo09Md

Твой код с подключением файлов в шаблоне, никуда не пропадает.
/
10 ноября 2016, 10:10
0
Выложил новую версию, проверяй.
/
09 ноября 2016, 14:38
+2
Ага, вижу проблему. Отключи пока у плагина событие перед сохранением кэша — чуть позже выпущу обновление.
/
08 ноября 2016, 16:44
0
Тут речь про фильтрацию тегов на фронтенде.
/
08 ноября 2016, 14:20
+1
Понял, спасибо.

Значит буду проверять свои дополнения самостоятельно.
/
08 ноября 2016, 14:10
+3
Жень, скажи честно — вот на modx.pro сейчас есть теоретическая возможность взлома через подобные лазейки?

Если есть, напиши мне, пожалуйста, стоимость работ по полному анализу и исправлению на мыло.

P.S. Дебилизм — не дебилизм, но вроде через Tickets пока не было массовых взломов.
/
08 ноября 2016, 14:02
0
Там CSRF из коробки работает для ajax запросов, но принцип тот же: токен привязывается к сессии и не меняется на протяжении всей её жизни.
/
08 ноября 2016, 10:29
+3
Не боись.

При первых же признаках взлома я побегу к Евгению Борисову и он тут всё обезопасит. Возможно, даже со скидкой, по старой дружбе =)
/
08 ноября 2016, 10:26
+2
Я думал, это очевидно, что комментарий от зачёркнутого никнейма изменить мог только «злой Василий».

Или вы реально поверили в бред про подбор многосимвольного префикса в разных регистрах вслепую?
/
08 ноября 2016, 10:20
+1
Это я пошутил.

Подбил на взлёте яркую звезду, которая ушла в рейтинг -10 за 5 комментов.
/
08 ноября 2016, 10:19
+4
Да это я отредактировал, смеха ради.

Неужели ты думаешь, что забаненый человек с возможностью что-то редактировать обошёлся бы без матов и сам себя не разблокировал?
/
07 ноября 2016, 22:17
0
Ну, а у меня идей больше нет.
/
07 ноября 2016, 17:05
+1
В JSON кавычки двойные, а не одинарные.
/
07 ноября 2016, 11:21
1
+3
Никакой разницы. Все нормальные дополнения используют
MODX_CORE_PATH
MODX_ASSETS_URL
MODX_ASSETS_PATH
MODX_MANAGER_URL и т.д.

Хочется составлять и обновлять список — на здоровье. Каждый тратит своё время как хочет.
/