![Fi1osof](/assets/images/avatars//7219a3951e6ac0b703e51e5b4c3c7a68-64.jpg?t=1739426305)
Fi1osof
С нами с 05 мая 2014; Место в рейтинге пользователей: #206 часов назад
Сайт восстановил. Но обратно дополнение установить не могу, выдаёт ошибку. Выше в сообщении то, что не работало. Перетаскивание стало работать после о...
msSortFields 16
Вчера в 22:23
Ну круто! Добавлю во FlatFilters поддержку этого компонента для организации поиска))) Спасибо!
Algolia для MODX с поддержкой PageBlocks и miniShop2 8
Вчера в 16:47
Список стоп-листов не скачивается. Компонент старый и не поддерживается?
Борьба с парсерами и ботами - antiBot 77
Вчера в 10:10
Впервые вижу человека, выбирающего сопоставление таблиц бд по критерию скорости, и при этом игнорирующего саму суть сопоставления (и сортировки если ч...
Правильное изменение кодировки БД на utf8mb4, для корректной работы эмодзи и т.п. 3
Вчера в 09:41
Подумаю как можно сделать.
Но на самом деле это очень плохая практика хранить по каждому результату логи
Нарушит работу сайта 100%
Быстро место за...
CrontabManager - работа из под console ssh 3
11 февраля 2025, 18:31
дополню где править
core/components/translitor/model/translitor.class.php
31 строка
[Translitor] - Альтернатива транслитерации псевдонимов 26
11 февраля 2025, 12:30
Примерно так
[[!pdoPage?
&element=`pdoResources`
&parents=`0` <!-- ID родителя -->
&pageVarKey=`page&#...
Как получить url следующей страницы пагинации от pdopage 6
10 февраля 2025, 22:02
Но сам чанк в админке создать всё равно придётся, это да.Нет, это не обязательно. Можно создавать только файловые чанки.
Как и сами блоки.С последн...
PageBlocks - мощный инструмент для MODX в стиле Laravel! 7
10 февраля 2025, 21:34
Спасибо. Подскажите пожалуйста, могу ли я пакет sendit-2.1.7-pl.transport.zip, который установил в MODX 2.88, установить локально в MODX 3?
Или как п...
Нет возможности загрузить SendIt на modx 3.1 а очень хочется 4
10 февраля 2025, 18:55
Сделал восстановление, пока всё норм. Благодарю за внимание.
Пропали картинки в товаре 2
Если ты вдруг читал исходную статью, то там я писал устанавливать сложные префиксы. Даже немного математики было:
Ты сейчас вообще php-код приводишь. То есть предполагается, что твой скрипт будет работать на стороне целевого сервера уже? Если у тебя там php твой работает, то какой смысл? Уже все сломано. А если ты им просто фигачишь запросы на целевой сервер, то с учетом задержек даже идеальных 10 мсек с учетом вычислений выше как быстро ты получишь результат?
Кстати, если поиграться с запросом, можно даже такое получить: SQL injection attempt detected.
Есть или была? Я проверял все процессоры на работу с файлами, они защищены. Но может что-то проморгал.
А вот это:
$main = array(
'tablePrefix' => 'modx_', //The fix
правильней переписать на
$main = array(
'tablePrefix' => $modx->config['table_prefix'], //The fix
Во всяком случае в рамках парадигмы конкретно этого случая.
Фильтра и прочее тоже будет, просто чуть позже.
Про битрикс: если бы я его изучал 7 лет, как MODX, наверняка я там еще больше дыр нашел бы. В целом MODX довольно хорошо защищен, далеко не каждый взломает.
Я писал довольно много здесь про другие дыры, стоит перечитать комменты. Так или иначе, практически от всех этих уязвимостей спасает смена префиксов.
Они взяли на заметку. В отличие от нас буржуи привыкли в выходные отдыхать. Наверняка завтра примут PR. Но этот ПР не решение проблемы в целом, префиксы менять все равно надо.
И здесь опять-таки, спасают кастомные префиксы таблиц.
Понятно дело, что он многое сам домыслил и доделал, но сама бага мне была понятна и очевидна, и я про нее говорил Райну тоже, но он действительно отмахнулся, а я не стал развивать тему и ломать им сайт. Так вот, багу не совсем закрыли, точнее, сама архитектура MODX-а такова, что все эти уязвимости во многом являются не багами, а фичами. Это такой механизм безопасности. И уязвимости можно задействовать даже с передачей существующего контекста, если политики не правильно настроены (ведь даже аноним по сути автоматом авторизован в контексте web, а это значит уже НЕ НЕ авторизован). Кстати, что интересно, воспользоваться этим механизмом позволяет как раз JS-компонент MODx, который не сложно подключить даже на фронт сайта просто через редактирование HTML-а, а если можно попасть на входную страницу админки, так вообще проблем нет никаких.
По сути, если ты хочешь дать кому-то права на выборки документов и прочих элементов, давать их надо не на контексты, а на конкретные элементы. Но тут проблема в неудобстве сразу встает — если ты хоть кому-то дал права на какие-то группы элементов, значит все остальные сразу лесом пойдут, то есть придется всем остальным так же права прописывать.
Есть у меня одна хорошая, но довольно сложная статья, которая несколько проливает свет на все это.
А так можно, к примеру, получить список всех сниппетов и плагинов на сайте. Да, модифицировать их не получится, но если проанализировать их кода хорошенько, можно попробовать найти какие-нибудь логические ошибки, особенно там, где используются механизмы формирования ключей для автоматической авторизации пользователей, проведения платежей и т.п.
В общем, точек входа довольно много, можно несколько отдельных статей написать про них, поэтому я не стал много воды лить, я просто привел максимально эффективное на мой взгляд решение. Практически все эти проблемы решаются сменой префиксов таблиц и сокрытием папки коннекторов.