Тема: База (Движок DCMS-Social/Баги/обновления движка) Engine (9 Jul 2014 в 13:46) Ну так переставь файл rodost (9 Jul 2014 в 18:03) пацаны, я не совсем понимаю вот что; это раздел об ошибках, движка. Другими словами здесь должны питаться кто какие нашел ошибки, и разработчики должны это брать во внимание, чтоб в следующей версии этих ошибок не возникало. Здесь же я уже несколько раз в разных обращениях встречал один и тот же ответ, чтоб какой нибудь файл который глючит, выдрать с какой либо старой версии искателя и воткнуть в новую версию. Это как понять? И что мало глюков было обиженно в новой версии? Не пора ли уже обновление? Уже два месяца тишина. Королева (9 Jul 2014 в 18:15) rodost, а я не совсем понимаю вот что: вам кто то чем то обязан? Вы пользуетесь бесплатным движком, и причем сами ничего делать не хотите. нашли ошибку, молодцы! написали здесь...далее исправляйте её у себя и радуйтесь. так нет же, Вы тупо сидите и ждете, пока разработчики это сделают за вас, потом еще и возмущаетесь...никакой благодарности! мы прочитали и приняли к сведению, а когда будет обновление-не вам диктовать. Оно будет, когда будет. Еще раз повторяю, никто ничем и никому здесь не обязан. rodost (9 Jul 2014 в 19:27) --Цитата-- Королева (9 Jul 2014 в 18:15): rodost, а я не совсем понимаю вот что: вам кто то чем то обязан? Вы пользуетесь бесплатным движком, и причем сами ничего делать не хотите. нашли ошибку, молодцы! написали здесь...далее исправляйте её у себя и радуйтесь. так нет же, Вы тупо сидите и ждете, пока разработчики это сделают за вас, потом еще и возмущаетесь...никакой благодарности! мы прочитали и приняли к сведению, а когда будет обновление-не вам диктовать. Оно будет, когда будет. Еще раз повторяю, никто ничем и никому здесь не обязан. ---------- Королева, девушка, так я вас ни к чему и не обязываю. И возмущений с моей стороны не было. Лично к вам вопрос: если вы так агресивно реагируете на акцент на ошибке и на акцент на не понятный ком типа (вырви со старой версии), то кто будет писать в этот раздел? Это первое, и второе, полу хамство это стиль общения современных девушек? Я разве Вас чем то задел? mikro (9 Jul 2014 в 19:35) --Цитата-- rodost (9 Jul 2014 в 19:27): Королева, девушка, так я вас ни к чему и не обязываю. И возмущений с моей стороны не было. Лично к вам вопрос: если вы так агресивно реагируете на акцент на ошибке и на акцент на не понятный ком типа (вырви со старой версии), то кто будет писать в этот раздел? Это первое, и второе, полу хамство это стиль общения современных девушек? Я разве Вас чем то задел? ---------- rodost, согласен axmed1 (9 Jul 2014 в 19:35) rodost, брат ты прав,:) Королева (9 Jul 2014 в 20:18) rodost, я пишу абсолютно спокойно и уж тем более хамства с моей стороны не было) . Если Вы привыкли слышать в свой адрес лишь положительные ответы, уж извините). ни к чему не обязываешь говоришь? цитирую Ваши слова молодой человек: \"Это как понять? И что мало глюков было обиженно в новой версии? Не пора ли уже обновление? Уже два месяца тишина.\" Научитесь в первую очередь ценить, то что делают для вас, заметьте- бесплатно. Здесь раздел для ошибок- написали, хорошо. Но требовать и указывать, что и когда делать разработчикам, не нужно. rodost (9 Jul 2014 в 22:35) --Цитата-- Королева (9 Jul 2014 в 20:18): rodost, я пишу абсолютно спокойно и уж тем более хамства с моей стороны не было) . Если Вы привыкли слышать в свой адрес лишь положительные ответы, уж извините). ни к чему не обязываешь говоришь? цитирую Ваши слова молодой человек: \"Это как понять? И что мало глюков было обиженно в новой версии? Не пора ли уже обновление? Уже два месяца тишина.\" Научитесь в первую очередь ценить, то что делают для вас, заметьте- бесплатно. Здесь раздел для ошибок- написали, хорошо. Но требовать и указывать, что и когда делать разработчикам, не нужно. ---------- Королева, да это не обязательства, а совет от души. Так как двиг прикольный и жаль будет если от него отвернуться. /// да какие положительные отзывы. Я не проф, так пользователь. //// а с девушкой дискутировать гибкое дело. Закрыли тему//// басота от души за поддержку и салам всем. Hack (9 Jul 2014 в 22:46) А на хосте не судьба залить? .позор. rodost (9 Jul 2014 в 23:17) --Цитата-- Hack (9 Jul 2014 в 22:46): А на хосте не судьба залить? .позор. ---------- ISmile010, ну давай сначало. Этот раздел об ошибках двига? Или я что то перепутал? Можно и на хост залить , можно и файл со старой версии выдрать, можно и шел себе залить и через него с базой работать, но глюк этой функции от этого с двига 1.9.0 не уйдет! Ладно ребята, простите что написал вам. Всего хорошего. Я а оф. inteam (9 Jul 2014 в 23:34) скажу тебе по секрету, этот файл и есть шелл своего рода, открытый доступ работы с базой данных, если вам ломанут админку, будьте уверены что ваш сайт либо снесут либо нахлынет спам. Использование этих двух файлов на ваш страх и риск. Только что установил чистую последнюю версию движка, залил два запроса на сторонние модули, всё работает корректно, дело или в хостинге или в защите которая мониторит ваш файл конечно если вы ставили какую-то защиту. А так на будущее, Королева права, не стоит указывать разрабам когда выпускать обновления, некоторые веб движки стоят по пол года чтоб выпустить исправление пару своих компонентов, а тут за несколько месяцев чуть ли не 1/4 часть движка постоянно подвергается обновлению. Королева (9 Jul 2014 в 23:40) inteam, абсолютно согласна, лучше эти файлы убирать нафиг сразу и делать запросы с хоста. Пусть с админки и удобнее, но не безопасно. Engine (9 Jul 2014 в 23:44) Королева, Да какой смысл? Этот движек (чистый) и без этих файлов можно с легкостью взломать. Версия 1.5 вообще рай для взломщиков inteam (9 Jul 2014 в 23:47) Королева, я вообще использую менеджер файлов, мне когда нужно что то залить поставить сделать какие то запросы, я просто ставлю на время менеджер на сайт и начинаю работать, так гораздо проще, и файловой системой работает и с базой данных и даже инсталлер автоматом делает. И на хостинг лезть не нужно и в базу, разве что только удаление таблиц не предусмотренно но это и в базе не сложно сделать, я вообще считаю что эти два файла нужно убрать с релиза да и переработать саму админку, так как это одно из основных мест на сайте которое всегда во внимании... Королева (9 Jul 2014 в 23:48) Engine, взломать можно любой движок, если имеются достаточные знания. А смысл объяснил inteam постом ранее. чем меньше вы оставите возможностей для взломщиков, вам же будет спокойнее. inteam (9 Jul 2014 в 23:50) Engine, скорее для тех кому заняться нечем, честно говоря ни когда не интересовался взломами и прочей ереси, да и чистый движок в принципи не так сложно защитить если убить на это время... Это уже дело тех кто на нём строит свои сайты. inteam (9 Jul 2014 в 23:52) Engine, и кстати, покажи пример дырки в чистом движке, стало интересно.ыы. rodost (9 Jul 2014 в 23:57) --Цитата-- inteam (9 Jul 2014 в 23:34): скажу тебе по секрету, этот файл и есть шелл своего рода, открытый доступ работы с базой данных, если вам ломанут админку, будьте уверены что ваш сайт либо снесут либо нахлынет спам. Использование этих двух файлов на ваш страх и риск. Только что установил чистую последнюю версию движка, залил два запроса на сторонние модули, всё работает корректно, дело или в хостинге или в защите которая мониторит ваш файл конечно если вы ставили какую-то защиту. А так на будущее, Королева права, не стоит указывать разрабам когда выпускать обновления, некоторые веб движки стоят по пол года чтоб выпустить исправление пару своих компонентов, а тут за несколько месяцев чуть ли не 1/4 часть движка постоянно подвергается обновлению. ---------- inteam, благодарю за толковый ответ. Engine (10 Jul 2014 в 00:02) inteam, csrf inteam (10 Jul 2014 в 00:09) rodost, да бывает, увидел тему стало интересно.циклоп. inteam (10 Jul 2014 в 00:11) Engine, это что такое?????? Engine (10 Jul 2014 в 00:41) inteam, тип уязвимости Королева (10 Jul 2014 в 01:00) Engine, CSRF- в общем понимании это не совсем уязвимость. Уязвимость-это когда при каких-то определенных условиях программа ведет себя не так, как задумывал ее разработчик. Но CSRF - это нормальное поведение всех сайтов в Интернете! Это можно сказать фича Интернета, которая иногда может быть использована во вред. inteam (10 Jul 2014 в 01:04) Engine, этот метод вроде как используется фейками сайтов, каким образом это относится к социалу? Ну максимум ты можешь украсть куки пользователя и узнать пароль и прочие данные, но это ни как не повредит сайту, конечно если ты не украдёшь пароль самого создателя. Опять же если он перейдёт по ссылке которую ты специально подготовил. Таким образом и в одноклассниках можно красть профили но толку от этого??? Я вопрос задал про саму систему движка а не про способы кражи профиля, ты покажи ту уязвимость которая находится в самом движке... Engine (10 Jul 2014 в 01:09) inteam, Про куки хз, надо подумать. А так, написав маленький скрипт можно снести всю базу inteam (10 Jul 2014 в 01:17) Engine, можно написать всего лишь 1 файл и взломать сайт, вопрос в том как ты зальёшь этот php, js или иной файл на сайт если они будут под запретом? для этого нужно найти уязвимость, к примеру тебе нужно залить файл через форму для этого нужна уязвимость как ты это сделаешь на социале и в каком файле??? Ты говоришь что чистый социал легко взломать и без этих двух фалов которые лежат в админке, так покажи место, файл в движке который уязвим... Engine (10 Jul 2014 в 01:32) inteam, файл будет на моем сервере. Можно обманом сделать, чтоб админ перешел и от своего имени натворил делов. Если есть активная xss, то это вообще легко mikro (10 Jul 2014 в 01:37) Engine, а какое это отношение имеет к чистому социалу? Если ты написал что он уязвим. Давай, мы послушаем твои версии взлома имено через чистый скрипт социала) Engine (10 Jul 2014 в 01:38) mikro, я уже написал. Чистый движек уязвим для csrf mikro (10 Jul 2014 в 01:40) Engine, это не считается видом уязвимости, как ниже тебе написали Engine (10 Jul 2014 в 01:41) mikro, Но тем не менее можно изрядно нагадить. Ну ладно, так и быть, давайте назовем это багом mikro (10 Jul 2014 в 01:47) Engine, это есть всего лишь недостаток http протокола, то есть межсайтовая подделка протокола, и не следует считать это уязвимостью и непосредстве никакого отношения к социалу он не имеет Engine (10 Jul 2014 в 01:48) mikro, xss это тогда тоже стандартный баг php mikro (10 Jul 2014 в 01:52) Engine, php, a csrf - это общий недостаток php и html. Он есть и от него спасения нету. Как не прескорбно, но это факт Engine (10 Jul 2014 в 01:53) mikro, С чего ты взял, что нет спасения? :) inteam (10 Jul 2014 в 01:55) mikro, я пол часа пытаюсь у него выпытать уязвимость в самом движке а он мне задвигает про шеллы и про этот http баг, .лол. Узнать у него про уязвимости плохая затея.лол. Engine (10 Jul 2014 в 01:56) inteam, причем здесь шелы? .позор. inteam (10 Jul 2014 в 02:03) Engine, потому что нет спасения, этот протокол работает с данными на твоём компютере, точнее с тем что мы называем следы, куки это следы которые остаются у тебя на компе, если их извлечь по методу XSRF то можно узнать все данные которые от того места где ты находился до перехода по следующей ссылке. На данный момент разработан метод оповещении о злочастной странице в браузерах, но у пользователя остаётся выбор переходить по ссылке или вернуться обратно. Так как на данный момент конкретной защиты к этой хрени нету. xss это метод уяхвимости, это не баг.. Ты вообще слышал хоть раз о таких параметрах как POST, GET, или только можешь догадки свои писать??? inteam (10 Jul 2014 в 02:05) Engine, ранние сообщения свои читай. Цитирую твоё сообщение, можно написать маленький скрипт и снести всю базу!!!!!!! Это шеееееееел сцуко называется шеееееел.... Engine (10 Jul 2014 в 02:07) inteam, ой все отстань .позор. Причем тут блять шел? Я тебе про csrf рассказываю Engine (10 Jul 2014 в 02:08) inteam, Защитьтся можно двумя способами. 1 Проверять заголовки 2. Отправлять вместе с формой случайный идентификатор, который ты хер подделаешь inteam (10 Jul 2014 в 02:12) Engine, да мне твой csrf или как его ещё называют XSRF не интересует. Я тебе задал конкретный вопрос и задаю ещё раз. Если ты говоришь что движок социала уязвим и его легко взломать то покажи мне эти уязвимости на примере \"Кода\" в самом движке, мне ни методы, а конкретное место и код нужно увидеть. Я щас могу целую статью написать тебе про варианты уязвимостей и как с ними бороться, без твоих домыслов давно знаю что это. Я спрашиваю про сам движок... Engine (10 Jul 2014 в 02:15) inteam, Ты вообще читаешь мои сообщения? Я что то писал про уязвимый код? Когда будут время, посмотрю ваш движек, наверняка что нибудь найду inteam (10 Jul 2014 в 02:25) Engine, Engine * WEB [*] (Вчера в 23:44) Королева, Да какой смысл? Этот движек (чистый) и без этих файлов можно с легкостью взломать. Версия 1.5 вообще рай для взломщиков Твоё сообщение? Твоё, так гоу, аргументируй действиями свои слова, я не один раз задавал один и тот же вопро но так и не увидел нужного ответа. Как говорится сказанные слова обратно не вернёшь...Я не просто так прицепился к твоим словам, моё внимание прицеленно именно к этим словам... Engine (10 Jul 2014 в 02:28) inteam, я имел ввиду именно этот баг http. Про версию 1.5 можешь сам посмотреть, там xss дохрена inteam (10 Jul 2014 в 02:41) Engine, за это я в курсе что ранние версии социала уязвимы. просто на будущее, если пишешь про то что движок можно взломать говори конкретно и сразу что это, уязвимость ли это или какой то метод, да и вообще у нас у старых пользователей так заведено не говорить об этом на всеобщее, так как сразу появляются мегакулхацкеры и начинаю ломать сайты у не подготовленных пользователях и начинается засирание форума и появляются всякие паникёры. В такие случаи лучше писать администрации для устранения этих недочётов в следующих версиях. Был случай примерно года полтора назад когда один новый пользователь начал тыкать пальцам на уязвимости, в итоге больше сотни снесённых сайтов, паника, засранный форум и множество забаненых. Всего один человек не осознанно помог многим злоумышленникам. С такой информацией будь осторожен. Я не просто так цепляюсь к словам, так как не раз на моих глазах падали такие проекты у которых было реально хорошее будущее. Не хотелось бы чтоб и тут такое произошло... Engine (10 Jul 2014 в 03:45) inteam, я то как раз понимаю и ни кого не обучаю взлому PluginS (10 Jul 2014 в 08:27) Воу воу воу.. Парни, тише. Не ссорьтесь .ковыр. Дмитрий прав. В ранних версиях xss куча мала. В поздних их уже можно считать нет. Так что, каждый прав по своему. inteam (10 Jul 2014 в 11:03) PluginS, мы не ссоримся, мы шалим тут.ыы. inteam (10 Jul 2014 в 11:05) Engine, да в этом нет сомнений, в общем проехали, все друг друга поняли, всё збс.ыы. ЗЕЛЕНЫЙ ШЕРШЕНЬ (10 Jul 2014 в 11:06) Тема себя исчерпала, не буду переносить. Мр. Форум (10 Jul 2014 в 11:06) [red]Тему закрыл Админ форума Mark[/red] Источник: http://www.dcms-social.ru/forum/13/3/22771/