Группа, отвечающая за безопасность сети доставки контента Akamai, выявила дополнительный вектор атаки на процесс cups-browsed, помимо его использования в качестве одного из звеньев в эксплоите, приводящем к выполнению кода в системе. Через отправку запросов к процессу cups-browsed, без ограничений принимающему соединения на 631 порту, можно добиться отправки данных на другой хост, размер которых будет превышать исходный запрос до 600 раз. Для сравнения коэффициент усиления для memcached может достигать 10-50 тысяч раз, NTP - 556 раз, DNS - 28-54, RIPv2 - 21, SNMPv2 - 6...Подробнее: https://www.opennet.me/opennews/art.shtml?num=62008
Неинтересно.Лучше бы написали новость что гит клон с гит кернел орг для русских ип ограничен в 20кбит.
за такими новостями вам на первый канал, 3-х литровый балон прикватите
yes. РКН, скоро сделает так, что из Россиюшики скоро нельзя будет работать в принципе. Попереломано всё, и каждый день всё новые сюрпризы.
Это явно не ркн а админы кернела.
Ты прав это не РКН это ТСПУ.
Это из-за бтрфс и русский айпи тут не при чем.
Это проблема на стороне вашего провайдера.
А порнхаб тоже мой пров замедлил? Почему тогда самый просто байдипиай решает проблему (после правки параметров из ищуи на гитхабе)? Ты должен подробно объяснить.
Та не он первый кто обсрался с этой недозфс. Качать архивом и распаковывать в локальном гите гитовский формат мульен лет. Единственный вариант.
> т.е. будет наблюдаться усиление трафика в 600 раз.
> В наихудшем сценарии усиление составляет 108 раз.В наихудшем для кого?))
В наихудшем для компании Майки софт. Решения которого показали свою полную безопасность несмотря на все визги про вирусы для шинды.
Нужно писать свою ОС с нуля под каждую задачу. Как диды делали. И у них что характерно фиг что взломаешь. Кто-то смог взломать систему наведение С-300? Нет?! То то и оно.
> Майки софт. Решения которого показали свою полную безопасностьДля атакующих?
Точно, они спуллер печати как сломали так и не могли починить года два.
Зачем выставлять browsed в Интернет?
Зачем не выставлять, когда можно выставить?
удали напроч и все в чем проблема ? а кто портом наружу ставит уж знает что делает , и пакеты ограничит поди.
Вот так маленький кусочек криво написанного кода в утилите которой "оказваются пользуются почти все" может попортить настроение куче народу, у которых сайты не будут грузиться.
Вот так маленький кусочек криво написанного кода
В утилите которой "оказваются пользуются почти все"
Может попортить настроение куче народа,
У которых сайты будут в 3.14зде.
Вот так малюсенький кусочек кривокода
Той утилиты, что юзается везде,
Расстроить может множество народа,
Загрузка сайтов чьих пройдётся по звезде.
Шикарно!
Интересно, что от такого рода уязвимостей безопастные языки не помогут. Помогут только ИИ-инструменты проверки безопасности кода, которые сейчас быстро развиваются.
Да и нет.
Если программисту приходится писать такие конструкции
else if ((model = strchr(make, ' ')) != NULL)
*model++ = '\0';
то значит что рабоьа со строками в языке сделана на отшибись.И тут не нужен какой-то "безопастный язык".
Тут просто достаточно хорошего, с нормальной std в которой сплит строки не нужно велосипедить в каждом втором проекте.ps в ИИ не верю, тк его тренируют на кодах которые сейчас существуют.
Думаю он так же будет кастовать все что угодно в void* и класть на типы)
Не надо путать язык со стандартной библиотекой.
И, да, strtok_s.
Сколько вам повторять: в С нет строк, не считая констант.
Приняв эту парадигму всё встаёт на свои места и по сети приходит не строка а буффер с данными, который надо обрабатывать юзая memchr, memmem и подобное.
Открываем так называемый стандарт.
Пункт 7.21.1 String function conventions
НапримерThe strcpy function copies the string pointed to by s2 (including the terminating null
character) into the array pointed to by s1.
илиThe strcat function appends a copy of the string pointed to by s2 (including the
terminating null character) to the end of the string pointed to by s1.Чего тебе не ясно в термине the string ?
Так, нехитрым способом мы убедились, что в СИ есть stringʼи, просто, как и все прочее, они сделаны через одно место.
Я уже молчу про такое ненужное в современном мире как UTF-8))
Клал я с прибором на то что кто то называет стандартом. )
Любой кто в С использует "строковые" функции на данных полученных извне - ССЗБ.
К любым данным нужно относится как к куску памяти с непредсказуемым содержимым, соотвественно всегда нужно отдельно хранить размер этого куска памяти и во все функции обработки передавать этот размер.Да, так писать дольше и код получается больше.
Но любители sscanf() и прочей хрени из библиотеки чаще генерируют код который потом приходится править.
> Клал я с прибором на то что кто то называет стандартом. )Я от абсолютно не удивлен))
> Да, так писать дольше и код получается больше.
> Но любители sscanf() и прочей хрени из библиотеки чаще генерируют код который потом приходится править.Нужно больше велосипедов и костылей богу велосипедов и костылей.
А потом самописный сплит в ядре отстреливает обе ноги.
А давай я расскажу тебе на ночь историю, про то как я положил болт на RFC и написал программу которая разошлась по бывшему СНГ, ну чтобы ты спал как младденец (плакал и писался :) ).Есть такой протокол - DHCP, и по нему есть пачка RFC.
Так вот на основные можно положить болт и выдавать адреса как хочется а не как там написано.
И это прекрасно работает, возможно и твой IP получен от моего поделия.А есть ещё более страшная история.
Она про криптографию.
Мою поделку для ECDSA/GOST взяли в сертифицированный российский линух.
Да, я вот взял и забашлял крипту на сях: Куяк-муяк и готово.
Представь только, примерно 5к строк на С от меня.
> А давай я расскажу тебе на ночь историю, про то как я положил болт на RFC и написал программу которая разошлась по бывшему СНГОхотно верю. Люди же не хотят разбираться, им нужно от прям щас, а там хоть потоп.
> А есть ещё более страшная история. Она про криптографию.
> Мою поделку для ECDSA/GOST взяли в сертифицированный российский линух.Ну... "российский линух" это не совсем то, чем бы я хвастался)
А учитывая все особенности нацианального линуксостроения, то не удивительно.> Да, я вот взял и забашлял крипту на сях: Куяк-муяк и готово.
Главное чтобы потом не ломанули какой-то ВГТРК, чиновников или военку.
Тогда с нехилой вероятностью к тебе придут с вопросом "ты зачем бекдоры внедрял".
> Представь только, примерно 5к строк на С от меня.С ужасом, но представляю.
Рад что я не пользуюсь отечественными поделаками)
Так у людей то этот non RFC compliant DHCP сервер работает годами на сотнях тыщ абонентов.
Ко мне не придут: у меня с ними не было никаких финансовых отношений, они сами приняли решение взять этот код, был внутренний аудит, была сертификация.
Никаких проблем они не нашли.Нет других кодов, все коды +- такие же, есть намного хуже.
Не считая тайминг аттак, которые там (в ECDSA) by design и того что оно считает на стёке и потом не может затереть всю чувствительную информацию там всё просто шикарно.И бонусом: я не знаю кто ещё и где использует мой код :)
Реализаций ECDSA в мире по пальцам пересчитать можно.
> Так вот на основные можно положить болт и выдавать адреса как хочется а не как там написано.Зачем ты всем рассказываешь просто свой быdлoкодинг?
Это такой каминг-аут? Типа "Посмотрите какой я бракодел! Уважайте меня!"
Ты сейчас мне напоминаешь шайтан-работяг, которые ремонты делают с нарушением все мыслимых и немыслимых правил, ну а про стандарты они даже не знают.
А потом то стена обваливается, то плитка лопается, то стяжка трещит.> GOST
Слава богу мне с этим никогда не приходилось сталкиваться.
Хотя довольно показательно, что имплементить нацстандарт пришлось самоучке.
Ребята, вы похоже к ИТ индустрии вообще никак не относитесь.
Мой код уверенно как минимум выше среднего, по моей личной скромной оценке.
Я не упарываюсь по безопасности но упарываюсь по производительности и багам.
> Хотя довольно показательно, что имплементить нацстандарт пришлось самоучке.Это очень смешно слышать от человека не в теме, который даже не знает самоучка я или нет.
У меня нет профильного ВО, но лол в том что люди его получающие не однократно брали мой код :)
А мой код вы не видели но уже осуждаете, притом что ваша квалификация не понятна.
>Я уже молчу про такое ненужное в современном мире как UTF-8UTF8 сейчас везде как стандарт по дефолту, все интернеты на нем. С каких пор он стал ненужен?
> С каких пор он стал ненужен?Ты совсем не умеешь в сарказм?
Даже все скобочки в конце поставили...
Но нет, все равно найдется тот, до которого не доходит!
>Открываем так называемый стандарт. Пункт 7.21.1 String function conventions
>Например "The strcpy function"И видим что __все__ строковые функции сидят в стандартной библиотеке, а не в описании самого языка! Так? Так!
Не знаю зачем тебе вбрасывать и тупить, но в Си реально нету строк.
Есть __вариант__ их имплементации среди battery included standard library ...И да Ivan_83 - прав. Но ведь все нормальные люди уже давно топят за то что "оставьте Си для ведра и драйверов ... ну и для лютого байтодроча :) Всё остальное пишите на всём остальном!"
И ваш кислотно-щелочной баланс ... (С) :)
А всё и так есть void*, зачем вы сопротивляетесь и придумываете какие то типы?)
Ты наверное в свободное время пишешь на JS?
"b" + "a" + +"a" + "a"; // -> 'baNaNa'
Или складываешь арбузы с крокодилами, ну а х-ли, они оба зеленые)Я уже молчу про то, что использование для enum интов приводит к регулярным сравнением
enum_AAAA c enum_BBB.
Я пишу на С, луа и иногда всяком разном.
На js у меня только плагин к rutorrent - hostnames, больше я ничего такого машстабного не писал :)
Енумы я не использую совсем - не вижу смысла.
И отдельно меня крайне бесят сообщения компелятора: "ой, у вас тут switch с enum и вы не перечислили все возможные значения через case".Кастование в void* и обратно - нормальная практика, отказыватся от которой просто тупо: отрежешь сам себе доступ к системным API да и внутри своего кода часто имеет смысл разделять код а не делать монолит.
> Енумы я не использую совсем - не вижу смысла.
> И отдельно меня крайне бесят сообщения компелятора: "ой, у вас тут switch с enum и вы не перечислили все возможные значения через case".Для этого есть слово default)
> Кастование в void* и обратно - нормальная практика,
Если понимаешь зачем и какие риски.
Просто от нечего делать (и чтобы не писать конверторы) - это отличный способ выстрелить в ногу.
... сказал ИИ для рекламы. Не будет вам денег, а будет ответственность за решения ИИ.
Точно, я у мамки хороший мальчик, я не будут делать ничего за что могут наругать, вот пусть раст и ИИ сами как нибудь всё починят, и если что ругать их будем.Ну вот впредставьте если бы я написал такое.
Я бы сказал: ну ок, щас подумаем как исправить.
А для вас то почему это трагедия всей жизни?
> Точно, я у мамки хороший мальчикНет, ты плохой мальчик, очень плохой!
Вот кто это там нагадил, а? Кто за пределы буфера вылез? Кто индексы не смог подсчитать и рут подарил?> Я бы сказал: ну ок, щас подумаем как исправить.
Сорок лет сишники думали... и не шмогли.
> А для вас то почему это трагедия всей жизни?
Кто сказал что трагедия?
Ну чё дядя, фиксить будем али как?
Стандартная такса - неделю, х10 и будет после завтра.Сишники делали чтобы оно работало, а если брать 40 лет интервал то "работало на том слабом тормозном мусоре".
Ты пойми, виндовс95 работал на компе с 16мб оперативы, 4мб видео памяти и мегабайт 100 на диске.
Комп с 32 оперативы и 16 видео памяти - это был раскошный игровой комп, в 90х годах
Там было ОДНО ядро проца, на котором кое как можно было в реалтайме декодировать mp3.
Вопрос стоял не в каких то вымышленных уязвимостях когда придурки от скуки всё ломают, а в том, чтобы оно хотя бы не падало и не тормозило при обычных действиях.
С тех пор прогресс огромный - нынче софт очень-очень редко падает при обычных действиях сам по себе.А ты тут сопли разводишь про уязвимости какие то.
> Ты пойми, виндовс95 работал на компе с 16мб оперативы, 4мб видео памяти и мегабайт 100 на диске.4Мб видео - это был жЫр.
Ты пойми, я практически твоего года рождения. Я застал и 286, и 386, и дос, и вин3.1 и все что было дальше.
Не все оно у меня разумеется было, т.к. это было дорогущее удовольствие, но посмотреть-потрогать довелось.> С тех пор прогресс огромный - нынче софт очень-очень редко падает при обычных действиях сам по себе.
С тех пор мир изменился. Раньше чтобы получить вирусню - тебе нужно было дискетку вставить.
Хотя чуть позже они научились по локалке расползаться.Будущее наступило, старик (с)
Сейчас инет практически везде. А мощности компа хватает чтобы зашифровать тебе полдиска пока ты заметишь что "шото оно шумит как-то". И древние подходы "хотя бы что б не падало" уже устарели.> А ты тут сопли разводишь про уязвимости какие то.
М... мы как бы в новости про DDoS на 3.8 терабит в секунду.
Я конечно понимаю, что твоему подкроватному сервачку это не грозит.
Да и, как ты писал ранее, ты ничего ценного на компе не держишь.
Но не все такие беззаботные.
Зашифрует диск - достану бэкап.
Чтобы получить вирус достаточно было открыть ворд/эксель а иногда и письмо в превью, по типу лулзового iloveyou.У чувака просто крышу рвёт, ему надо чтобы не ехало а чтобы безопасно.
Я лично за баланс, когда скорее удобно чем вот это ональное безопасно.
Чувак видимо молодой и не понимает как легко сдохнуть ИРЛ в любой момент, и что стоит тратить жизнь на гедонизм, удобства и удовольствия а не на постоянные страхи и самоограничения.Насчёт ддос - да хоть 100000500000, это временное мелкое неудобство.
Моя жизнь протекает не ради прикроватного сервачка, это сервачёк нужен исключительно для того чтобы радовать меня. Так же как и всё остальное в этом мире.
Вы же в серьёз тащите этот булщит для идиотов продающий "безопасность" в свою личную жизнь, те повелись на собственную пропаганду по сути :)Можете ещё подратся между собой выясняя сколько антивирусов надо держать и каких вендоров, а так же чем шифровать диск.
А насчёт ценного - так всё что ценное оно измеряется в деньгах, а нынче в мире такая Ж что без одобрения госов ничего дороже 10к бачей не протащить, а всё что меньше - ещё можно, но там и транзакцию откатить можно.
>С тех пор прогресс огромный - нынче софт очень-очень редко падает при обычных действиях сам по себе.Скажи это пользователям gnome, пусть поржут.
У меня XFCE, в нём куски гнома, ничего давно уже не падало.
Это тебе не былые времена, когда мышкой пошевелил и ворд упал, от того там и сделали автосохранения каждые 5 минут.
>cups-browsed имеет штатную возможность загрузки PPD-файла с произвольного сервера в ответ на неавторизированный внешний запросОхренеть! Вот это архитектура сервиса!
>на систему жертвы был направлен поток в 3.8 терабит в секундуИнтересно что за жертва, почему ей выпало такое счастье
Вот бы монетизировать!
а они не пробовали эти пакеты отсылать обратно, как им не нужные?
CUPs и Samba -- два столпа для "пофиксить баги", куда же без них.
Проще оказалось отказаться от указанных технологий, чем каждый квартал срочно патчить.
Отказатся - а как потом печатать?Вы бы для начала разделили мух и котлеты.
cups-borrowed - хреновина для play&play сетевого, учитывая сколько там зависимостей любому опытному администратору уже бы показалось это не здоровой ситуацией.
Вот мне показалось и я не стал собирать и запускать эту фигню у себя.Самба - она нужна в основном для взаимодействия с виндуст хостами, нет венды - и самба никому не нужна.
Самба на минималках (как файлопомойка без авторизации) тоже вполне себе ничем не угрожает.
Причем тут Виндоус хосты? Самба умеет кучу всего, чего в том же nfs никогда не будет. Например банальный follow symlinks.
А оно кому то вообще надо?
> с использованием большого числа скомпрометированных домашних маршрутизаторов Asus и MikrotikНу что, админы микротиков, рассуждавшие про безопасность, вы все еще будете рассуждать о том как безопасны ваши мыльницы? Или, таки, соседстсва в 1 списке с асусом вам хватит? Ваш уровень - это вот оно! :))
Что предлагаешь брать вместо них?
А что CUPS вообще делает открытым портом в интернете?
чуть не испугался, ажно полез посмотреть как оно там
---
# netstat -lan4 | grep 631
tcp4 0 0 127.0.0.1.631 *.* LISTEN
---
отпустило
Лайфхак: во FreeBSD при самостоятельной сборке пакетов из портов можно отказаться от зависимости с CUPS. CUPS может в принципе отсутствовать в настольной системе.