| |
| 2.3, Xasd (ok), 14:21, 23/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
 > обход nat
если в этой штуке нет IPv6 -- то она действительно бесполезна.
а если есть -- то nat уже не страшен.. так как IPv6 он либо native либо Miredo либо тунель -- какой-нибудь ды и найдётся
| | |
| |
| 3.15, Аноним (-), 14:59, 23/04/2015 [^] [^^] [^^^] [ответить]
| +/– | |
> он либо native либо Miredo либо тунель --
А для miredo/teredo остались живые серваки?
| | |
| 3.20, Аноним (-), 15:28, 23/04/2015 [^] [^^] [^^^] [ответить]
| –2 +/– |
вот мне делать больше нефига, дополнительную хрень ставить, разрабатывать нужно обход несимметричного NAT, благо не шибко сложная штука но судя по разрабам они это не осилят.
| | |
|
| 2.21, Аноним (-), 15:32, 23/04/2015 [^] [^^] [^^^] [ответить]
| +1 +/– |
Полагаться на inotify при синхронизации - сразу эту синхронизацию угробить. Слишком кривая штука - пропускает события в файлах в наблюдаемых директориях на раз, причем это 'by design'. Чтобы нормально оно работало надо как в случае с kqueue ставить watch на каждый файл и директорию по отдельности, что не очень айс
| | |
|
| 1.2, Аноним (-), 14:15, 23/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| –5 +/– |
syncthing-gtk на гводо бейсике, мда уж лучше веб интерфейс пилить помогли.
| | |
| |
| 2.4, Xasd (ok), 14:23, 23/04/2015 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> уж лучше веб интерфейс..
с кучей дыр, типа Clickjacking, CSRF, XSS .. которые будут там десятилетиями находиться и не исправляться.
(как например это сейчас происходит в современных web-ui-торрент-клиентах.. вот например кое где думают это исправлять, но ещё на стадии планов -- https://trac.transmissionbt.com/ticket/5894 .. а кое-где даже тикетов нет на эту тему )
| | |
| |
| |
| 4.8, Xasd (ok), 14:44, 23/04/2015 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> Используй ВПН, Люк.
почитай станачало как эти дыры эксплуатируются..
злоумышленник должен подсунуть мне ссылку, и когда я нажму на неё -- то сделаю некоторые (опасное для себя действие). а уж в какой там я буду находиться VPN это пофигу вообще.
или предлагаешь не ходить по "подозрительным" ссылкам? (а может просто лучше вы не будете делать глупые\детские дыры в своих web-ui-программах?)
| | |
| |
| 5.13, Аноним (-), 14:56, 23/04/2015 [^] [^^] [^^^] [ответить]
| +2 +/– | |
> злоумышленник должен подсунуть мне ссылку, и когда я нажму на неё --
1) Жать на ссылки не обязательно, js это и без тебя может сделать.
2) Но есть такая штука как ABE (application boundaries enforcer) в NoScript. Как и clickjacking protection. Пользуйтесь.
А атаки на локалочные адреса - дикий баян. Хомякам так сроду домашние роутеры атакуют: они идут на пагу, а пага идет на 192.168.0.1 и пытается там заатаковать через бэкдор или баг хомяковый роутер. Благо дыр в роутерной вебне прямо с фабрики - оптом. Хомяку пофиг, а ботнетчикам профит.
| | |
|
|
| 3.7, Аноним (-), 14:44, 23/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
А зачем веб-интерфейс торрент-клиента выставлять на публику? Разреши доступ для 127.0.0.1, и всё.
| | |
| |
| 4.10, Xasd (ok), 14:47, 23/04/2015 [^] [^^] [^^^] [ответить]
| +1 +/– |
> А зачем веб-интерфейс торрент-клиента выставлять на публику? Разреши доступ для 127.0.0.1,
> и всё.
в этом-то вся и проблема -- 127.0.0.1 -- не спасает от CSRF и от Clickjacking. :-)
если в приложении дыра (а по умолчанию и БУДЕТ дыра, если используются куки), то через CSRF\Clickjacking -- злоумышленник имеет доступ (доступ для возможности подпортить мне жизнь) доступ ровно туда-же куда и имею доступ я.
только недавно это поправили в CUPS ..
а на Linux.Org.Ru -- до сих пор не поправили (тема про удаление аватарок, злоумышленником -- уже создавалась на linux.org.ru . но там тяжело это эксплуатировать так как у каждого участника своя графическая-тема-для-сайта )
| | |
| |
| 5.12, Аноним (-), 14:53, 23/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> а на Linux.Org.Ru -- до сих пор не поправили (тема про удаление
> аватарок, злоумышленником --уже создавалась на linux.org.ru )
Это не баг, это фича :)
| | |
| 5.14, Аноним (-), 14:57, 23/04/2015 [^] [^^] [^^^] [ответить]
| +2 +/– |
> в этом-то вся и проблема -- 127.0.0.1 -- не спасает от CSRF
> и от Clickjacking. :-)
От них NoScript в фоксе и ему подобных спасает.
| | |
| |
| 6.32, Xasd (ok), 21:01, 23/04/2015 [^] [^^] [^^^] [ответить]
| +/– | |
сделай одолжение!...
...найди мне версию NoScript в которой бы вместо чёртовой-кучи-галочек-и-переключателей-и-кнопочек -- была бы только одна статическая надпись:
"теперь у вас всё зашибись!" (это примерный смысл.. формулировка может отличаться)
ну и разумеется чтобы всякие-там-уязвимоти на сайтах автоматически исправлялись бы :-) ..
то есть чтобы всё это нормально работало бы(!), а не пыль в глаза!
| | |
| |
| 7.36, Аноним (-), 12:00, 25/04/2015 [^] [^^] [^^^] [ответить]
| +1 +/– | |
> "теперь у вас всё зашибись!" (это примерный смысл.. формулировка может отличаться)
Зачем? У тебя и так все зашибись. Но если ты не хочешь разбираться - аватары будут иногда удаляться, компы и прочее немного взламываться ушлыми ботнетчиками и прочими, все дела.
Судьба у хомяка такая. Хомяков все имеют и доят. Так что или ты трескаешь red pill и таки сам определяешь что для тебя зашибись, расставляя галочки. Или другие будут делать зашибись себе. За твой счет. Ну, просто потому что зачем им делать зашибись тебе, если можно сделать зашибись себе? :)
| | |
|
|
| 5.16, Аноним (-), 15:00, 23/04/2015 [^] [^^] [^^^] [ответить]
| –1 +/– |
Эм, CSRF и Clickjacking по умолчанию предполагает что злоумышленнику известен URI атакуемого, ну поменяй ты порт на другой к веб кую или ип адрес и все, хватит уже балаболи специалист.
| | |
| |
| 6.17, Xasd (ok), 15:14, 23/04/2015 [^] [^^] [^^^] [ответить]
| +3 +/– | |
> ну поменяй ты порт на другой
ну ты не делай детские ошибки при изготовлении web-ui ..
> хватит уже балаболи специалист.
вот диалог:
1. я всего лишь написал о том что в web-ui -- дыры.
2. мне предложили использовать 127.0.0.1
3. я объяснил что это не спасает.
4. теперь ты мне предлагаешь заменять какие-то номера портов или\и делать другие мутные настройки...
блин, люди -- откуды вы берётесь вообще(?) -- ЕСЛИ ЕСТЬ ДЫРА ТО ЕЁ НАДО ИСПАВЛЯТЬ (или лучше не допускать), а не придумывать какие-то левые способы запутать злоумышленника, или обзывать меня "специалистом"..
с фигали ты *меня* "специалистом" (саркастично) обозвал -- если дыру допустил НЕ Я а тот кто делал web-ui ?
я всего лишь указал на эту дыру -- для этого не нужно быть "специалистом".
> злоумышленнику известен URI атакуемого
учитывая что злоумышленником может быть человек за моей спиной (иногда сидящий около меня на 2 метра.. но не ближе чем 2 метра, то есть не имеет физического доступа до моего компа) -- то наверняка он знает какой URI ..
| | |
|
| 5.18, Аноним (-), 15:19, 23/04/2015 [^] [^^] [^^^] [ответить]
| +/– | |
> в этом-то вся и проблема -- 127.0.0.1 -- не спасает от CSRF и от Clickjacking. :-)
Зато RequestPolicy (http://requestpolicycontinued.github.io/) спасает.
> если в приложении дыра (а по умолчанию и БУДЕТ дыра, если используются куки), то через CSRF\Clickjacking -- злоумышленник имеет доступ (доступ для возможности подпортить мне жизнь) доступ ровно туда-же куда и имею доступ я.
Вот именно поэтому и нужно использовать штуки вроде RequestPolicy - дырявые webapp без защиты от CSRF найдутся всегда.
| | |
|
|
| 3.19, Аноним (-), 15:24, 23/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
Clickjacking вообще не про это, это обман юзера чтоб он кликнул.
XSS - недостаточная фильтрация входных данных в приложении, ты что свой гуй что то собрался вставлять тексты скрипты? Продукт на это вообще не рассчитан.
CSRF теоретически можно, этой атакой атаковать но веб приложение очень легко защитить он нее, достаточно во все формы всунуть токен. И конкретно данное приложение так и поступает.
| | |
| |
| 4.25, Xasd (ok), 15:44, 23/04/2015 [^] [^^] [^^^] [ответить]
| +/– | |
> очень легко защитить он нее
ясное дело что легко..
но для этого об этом должен знать разработчик webapp .. а они довольно часто почему-то не знают (хотя вроде бы всё элементарно).
> Clickjacking вообще не про это, это обман юзера чтоб он кликнул.
когда юзер кликнет -- то щёлкнет например на "удалить" на авторизованном webapp .... это может иметь несущественные последствия, а может иметь и существенные. кто знает.
нажимать на "удалить" -- пользователь совсем не хотел, и если злоумышленник заставил сделать это против воли пользователя -- то это дыра и не как иначе.
и тоже исправляется элементарно (http-header-для-CSP или использовать Framekiller) .. но точно также -- об этом должен знать разработчик (если он не знает -- то кто будет исправлять?).
| | |
|
|
|
| 1.11, Аноним (-), 14:52, 23/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
131 мег на скрине? Для всего лишь синхры файлов?
Фигасе, этот их thing память жpeт как половина моего DE.
| | |
| 1.24, KOT040188 (?), 15:44, 23/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
Добавление папок для синхронизации по прежнему мозговыносящее? После BitTorrent Sync это полная жесть…
| | |
| 1.33, Аноним (-), 11:57, 24/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– | |
Ну что Go прочно входит в нашу жизнь. Обратите внимание, что уже не Python стандарт для написания подобного барахлишка.
Пора брать книжки и учебники и изучать новый языкю.
| | |
| |
| 2.42, Аноним (-), 20:31, 26/04/2015 [^] [^^] [^^^] [ответить]
| +/– | |
> Пора брать книжки и учебники и изучать новый языкю.
Какая разница, на чем написана никому не нужная поделка?
| | |
|
| 1.37, Crazy Alex (ok), 12:04, 26/04/2015 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
 А кто знает - есть ли подобные штуки, которые синхронизировали в несколько облаков параллельно? Только не веб-сервисы - я ещё не совсем спятил, чтобы учетки от аккаунтов давать какой-то сторонней хрени. Сами синхронизируемые данные-то, понятно, шифруются.
| | |
| |
| 2.41, Аноним (-), 18:14, 26/04/2015 [^] [^^] [^^^] [ответить]
| +/– |
> А кто знает - есть ли подобные штуки, которые синхронизировали в несколько
> облаков параллельно? Только не веб-сервисы - я ещё не совсем спятил,
> чтобы учетки от аккаунтов давать какой-то сторонней хрени. Сами синхронизируемые данные-то,
> понятно, шифруются.
Чем оно тебе поможет?
| | |
|
|
