1.1, Аноним (1), 10:21, 13/04/2023 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
А куда бы вы встроили уязвимость, чтобы получить максимальный эфеект?
| |
|
2.5, Аноним (5), 10:25, 13/04/2023 [^] [^^] [^^^] [ответить]
| +3 +/– |
В поле для комментариев.
Чтобы по ключевым словам и выражениям сразу нафик с пляжа.
| |
|
1.2, Аноним (2), 10:21, 13/04/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– |
> Ghostscript вызывается в процессе создания миниатюр на рабочем столе
Это если пользоваться гуйными ФМ. В туйных (nnn, ranger, xplr) такой проблемы нет. Вообще, рекомендую туй, один хрен из консоли не вылазим.
| |
|
2.9, Аноним (9), 11:12, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Чё ты там забыл, в той консоли? В гуйне намного удобнее организовывать данные, оперировать ими, можно смазать скриптами опять же.
| |
|
3.16, Аноним (16), 11:55, 13/04/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Интеграция приложений в GUI гораздо сложнее, чем у текстовых. Поэтому в GUI меньше возможностей. Или гораздо труднее сделать нужное.
| |
|
|
5.36, Аноним (16), 14:29, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
В терминале софт отдаёт текст, а BusyBox, CoreUtils и т.д. хорошо умеют в тексте найти нужное.
Получается API: отдаёшь текстом команду, получаешь текстом ответ, ответ легко разобрать автоматически и в ответ отдать скриптом др. команду. Автоматизация-интеграция.
В GUI это требует совсем другого уровня трудоёмкости и развития, плюс нужно дописывать чужой софт. Вместо использования готового.
| |
|
6.57, Аноньимъ (ok), 17:43, 13/04/2023 [^] [^^] [^^^] [ответить]
| +2 +/– |
>ответ легко разобрать автоматически и в ответ отдать скриптом др. команду
1. Гуй нужен для людей, а не для роботов. В топку ваш парсинг портянок портянками.
2. Для роботов куда удобнее парсить и формировать xml или json. Опять таки, в топку ваши невменяемые текстовые портянки с парсингом ради парсинга.
| |
|
7.64, Аноним (64), 20:46, 13/04/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Если код писать не дано или не научили, то - да. Роботов писать - это писать код.
А речь про другое: про интеграцию разных приложений одно решение собственных задач. GUI тогда гораздо сложнее.
Текст разобрать утилитами и отдать дальше по коду куда проще, чем дописывать нужное в GUI приложения. Из-за чего и стало так много комстроки. Т.к. удобнее и проще по итогу.
| |
|
|
9.70, Аноним (-), 08:38, 14/04/2023 [^] [^^] [^^^] [ответить] | –2 +/– | У гуя проблема в том что автоматизировать в нем действия крайне сложно и неудобн... текст свёрнут, показать | |
|
|
|
12.95, Аноним (9), 17:02, 14/04/2023 [^] [^^] [^^^] [ответить] | +/– | https www google com search client firefox-b-d q gui automation tools Порядок ... большой текст свёрнут, показать | |
|
|
|
11.115, Аноним (-), 11:11, 15/04/2023 [^] [^^] [^^^] [ответить] | –1 +/– | Кроме того что там в РАЗЫ больше возни И не делается здесь и сейчас , одностро... большой текст свёрнут, показать | |
|
|
|
|
7.71, Аноним (-), 08:44, 14/04/2023 [^] [^^] [^^^] [ответить] | +/– | А таки этот гражданин ничего не понял в мощи юниксвэя зря, так то очень мощны... большой текст свёрнут, показать | |
|
|
9.116, Аноним (-), 11:23, 15/04/2023 [^] [^^] [^^^] [ответить] | +/– | Вот те раз, а я этой мощью пользуюсь во всю и для меня это был повод с винды на ... большой текст свёрнут, показать | |
|
|
9.117, Аноним (-), 11:27, 15/04/2023 [^] [^^] [^^^] [ответить] | –1 +/– | JSON вообще крайне мало кто может спарсить корректно в его сложном виле А мне но... большой текст свёрнут, показать | |
|
|
|
|
|
4.21, Аноним (9), 12:07, 13/04/2023 [^] [^^] [^^^] [ответить]
| –3 +/– |
Намного, несравнимо проще. Пишешь какие хочешь desktop файлы и они довольно гибкие, расширяешь функциональность DE совершенно бесплатно. Отличия в логике скриптов минимальны, вместо echo в консоль пишешь отправить уведомление в DE при необходимости. Многий софт уже изначально интегрируется в DE. Нужно совсем минимум опыта, чтобы делать универсальные интеграции для ПО, которое будет работать и из консоли и из гуя. Я использую для форматированного вывода информации xterm с консольным браузером и веб-страница позволяет показать информацию намного доходчивее, чем неформатированный выхлоп в эмулятор терминала. А вот TUI расширять это боль ещё та.
| |
|
5.37, Аноним (16), 14:30, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Врёшь. А потому скушно. Уведомления ломаются и скрипты долго не живут. Шины меняют...
Неопытный ты.
| |
|
|
|
2.10, Аноним (4), 11:12, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
А если жить в бункере на дне Марианской впадины будет ещё безопаснее.
| |
|
3.24, Аноним (23), 12:25, 13/04/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
> А если жить в бункере на дне Марианской впадины будет ещё безопаснее.
Этого гражданина в безопасники не брать, о том какое давленеи на глубине 11 километров он явно не в курсе был. Или чрезмерно уверен в своих скиллах в сопромате.
| |
|
4.60, Аноним (61), 19:57, 13/04/2023 [^] [^^] [^^^] [ответить]
| +3 +/– |
Бункеры просто надо нормальные строить и не будет там никакого давления.
| |
|
5.73, Аноним (-), 09:01, 14/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
> Бункеры просто надо нормальные строить и не будет там никакого давления.
Ага. Держащие 1100 килограмм на квадратный сантиметр. Чувак, это больше ТОННЫ на каждый квадратный сантиметр. Сие несколько превышает то с чем готова столкнуться стандартная инженерия бункеров и инженерных систем. Проще базу на Марсе отстроить чем это.
| |
|
6.80, Аноним (80), 10:31, 14/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Я и говорю в хорошем бункере и от апокалипсиса укрываться приятно. А Марс это фейк Маска зачем туда лететь.
| |
|
7.100, Аноним (-), 20:59, 14/04/2023 [^] [^^] [^^^] [ответить] | +/– | Для этого его сперва построить надо И при прочих равных, то что люди могут стро... большой текст свёрнут, показать | |
|
|
|
4.62, Аноним (62), 20:06, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
А что не так с давлением? Как известно, подведение кислорода и отведение углекислого газа можно реализовать циркуляцией в лёгких специальной жидкости. Жидкости несжимаемые (на дне Марианской впадины вода сжата всего на пару процентов), значит, особых проблем с циркуляцией не будет. Да, дышать -водой- спецжидкостью тяжело в силу её высокой плотности, чреватой разрывом лёгких, и слабости соответствующих мышц, но это можно решить насосами. Остальное же тело человека ничем не отличается от рыбы в плане сжимаемости, даже комбинезон не нужен (на самом деле нужен, вместо жировой одежды морских теплокровных, но это не от давления, а чтоб не переохладиться)...
| |
|
5.69, ryoken (ok), 07:54, 14/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Сразу вспомнился фантастический фильм Abyss, на таком принципе там оборудование для сверхглубоководных исследований разработали. (Фонарь лопнул от давления, а человечина всё опускалась на дно :) )
| |
5.72, Аноним (-), 09:00, 14/04/2023 [^] [^^] [^^^] [ответить] | +/– | Всего 1100 атмосфер примерно Покруче чем жить в трубопроводе высокого давления ... большой текст свёрнут, показать | |
|
|
7.101, Аноним (-), 21:07, 14/04/2023 [^] [^^] [^^^] [ответить] | +/– | Она может быть не настолько страшным фактором как ее малюют и есть хоть какие-то... большой текст свёрнут, показать | |
|
|
5.98, AHOHNM (?), 19:48, 14/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Ой, а вот встроенная в человека система авто-очистки лёгких нифига не рассчитана на жидкость вместо воздуха. Здравствуй, пневмония.
| |
|
|
|
|
1.3, Аноним (4), 10:21, 13/04/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Давайте ко мне того комментатора, который орал что в стандарте не может быть уязвимостей пусть он отчитывается как так получается что на самом деле бывает.
| |
|
|
3.8, Аноним (4), 11:11, 13/04/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Вот только не надо эту чушь писать когда все сразу взяли и реализовали как в стандарте написано.
| |
|
|
5.13, Аноним (4), 11:24, 13/04/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
Так никого больше и нет. А символы обрабатываются строго по страндарту. Потому что просто кто-то забыл сделать правильный стандарт.
| |
|
4.19, Аноним (19), 11:57, 13/04/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
> когда все сразу взяли и реализовали как в стандарте написано.
Ты приведешь ссылку на соответствующий параграф в стандарте, или как обычно?
| |
|
5.82, Аноним (80), 10:38, 14/04/2023 [^] [^^] [^^^] [ответить]
| –1 +/– |
То что стандарт не описал порядок обработки байтов это недоработка стандарта, а специально это сделано или случайно? Из двух зол выбирают что специально. Можешь убедиться в этом почитав стандарт.
| |
|
6.87, Аноним (19), 13:13, 14/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Напомню, что в новости говориться о выходе за пределы буфера. Ты утверждаешь, что это "уязвимость на уровне стандарта" и "в стандарте написано".
Ну так не будь пустозвоном, и приведи цитату из стандарта, где написано вылазить за пределы буфера.
| |
|
|
|
|
|
1.6, pashev.ru (?), 10:33, 13/04/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
> Например, Ghostscript вызывается в процессе создания миниатюр на рабочем столе
Хрень évince-чего-то-там ещё и жрала память как не в себя. Отключил, запретил обновлять. Клоуны.
| |
|
2.166, Енот Берт (?), 23:25, 19/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
в LTS-версиях Ubuntu, нет сырых обнов, там и по сей день апдейты несут только
ghostscript 9.55.0
а дыры в свежих версиях ghostscript 10.x.x, в этом и смысл. Привет любителям роллинг-релизов и прочего Arch.
| |
|
|
2.15, Аноним (15), 11:46, 13/04/2023 [^] [^^] [^^^] [ответить]
| +3 +/– |
А разве есть что то кроме генту?! Кто эти люди сидящие не на генту?!
| |
2.35, Аноним (35), 14:27, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
В дебиане, установленного через netinstall.iso, c установкой пакетов с --no-install-recommends этого ghostscript нет...
| |
|
1.14, Анонимусс (?), 11:43, 13/04/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– |
Ахаха, лучшие погромисты опять запутались в вычислении размера
+ if (pw->limit - q < 2) {
+ p--;
+ break;
+ }
Мегафикс радует как всегда.
| |
|
2.25, Аноним (23), 12:27, 13/04/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
> Мегафикс радует как всегда.
Хороший пример как не надо писать код. При том не только на си но и вообще.
| |
|
3.40, Аноним (16), 14:47, 13/04/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
Выглядит подпоркой.
А именно: в коде была нелогичность, отклонение от цели - ошибка. Вместо исправления ошибки написанием кода, чтобы не было ненужного результата совсем, вставлен код реагирующий на ненужное. При этом ненужное всё равно оставлено. Так выглядит.
Впрочем, так делали давно. См. у Стивена Леви, Хакеры, герои компьютерной революции - программа, исправляющая ошибки в программе. Но это не самый высокий класс.
| |
3.59, Аноним (59), 19:30, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
в новости говорится о "символах" и о "байтах". Конечно, если все символы однобайтовые, то может и сойдёт. Но как там обрабатываются тексты в какой-нибудь кодировке UTF-8, где размер одного символа плавает от 1 до 4 байт? Может, конечно, такое кодируют во что-то типа Base-64 и там реально всё только однобайтовое.
| |
|
4.124, InuYasha (??), 13:08, 15/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
MBCS пытались стандартизировать ещё в 90ых. И даже дефайны какие-то придумали. Но проверять вот это вот всё - реально лень. Я тоже пишу код под ANSI или средствами платформы, которым всё равно на кодировку. Но вообще - строки это всегда боль.
| |
|
|
|
1.26, Анонин (?), 12:34, 13/04/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +4 +/– |
Офигенная закладка!
Изначальный код был добавлен 2015-07-20. После этого было пару коммитов со сменой дат и всё))
Целых семь лет с оценкой 10 из 10! Да еще единой реализацией практически во всех линуксах.
И с готовым прототип эксплоита. А самое главное - фиг докажешь что не закладка.
Прям мечта майора Джона))
| |
|
2.28, Аноним (19), 12:42, 13/04/2023 [^] [^^] [^^^] [ответить]
| –2 +/– |
> Офигенная закладка!
> фиг докажешь что не закладка.
Ясно, понятно...
| |
2.44, Аноним (19), 15:13, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
> Офигенная закладка!
А ты не допускаешь, что это просто сишники обделались в миллиардпервый раз?
| |
|
3.45, Аноним (16), 15:18, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
sed 's/сишники/people/g'
Обычная тема, зачем нужна автоматизация - снижение % брака.
| |
3.46, Аноним (46), 15:44, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Ты ж понимаешь что и то, и другое нефальсифицируемо.
Могли сишники обделаться как обычно, а могли замаскировать злой умысел под это.
И после всяких призм и тд простой бритовой не обойдешься.
А могли обделаться как обычно, но кто нужно уже годами используют.
Тоже не докажешь и не опровергнешь.
Вот если бы такие ошибки в си были бы редкостью... но не будем мечтать о невозможном.
| |
3.74, Tron is Whistling (?), 09:04, 14/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Обделаться не может только тот, кто ничего не делает.
Учитывая количество софта на сях в сравнении со всяким хипстерьём - ну, вы поняли.
| |
|
4.85, Аноним (19), 13:07, 14/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
> Обделаться не может только тот, кто ничего не делает.
Или тот, который использует недоязык и не делает выводов, из года в год наступая на те же грабли.
| |
4.86, Аноним (19), 13:09, 14/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
> Учитывая количество софта на сях
Осталось понять, где связь с количеством софта на сях и конкретно этим багом.
| |
4.90, fidoman (ok), 15:10, 14/04/2023 [^] [^^] [^^^] [ответить]
| +2 +/– |
Сишники с рождения, как вы выражаетесь, "обделанные" - даже в стандартной библиотеке не смогли сами с собой договориться, нужен \0 в конце строки или нет.
strncpy vs strncat
| |
|
|
6.94, Аноним (19), 16:49, 14/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
> Сочувствую
А ты видишь логику в том, что strncpy при определенных условиях не добавляет ноль? Расскажи, было бы интересно почитать.
| |
|
7.109, Tron is Whistling (?), 09:23, 15/04/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
> А ты видишь логику в том, что strncpy при определенных условиях не
> добавляет ноль? Расскажи, было бы интересно почитать.
Ладно, так и быть.
Есть у тебя "Black cat went up the alley".
Тебе надо "cat" на "dog" заменить, имея поинтер.
Как считаешь, если strncpy будет всегда \0 добавлять - получится?
| |
7.110, Tron is Whistling (?), 09:29, 15/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Теперь второй пример. У тебя есть "I am a f****ng rUST programmer"
Нам бы надо заменить "programmer" на "fanatic", но следов от него в виде "er" - не оставлять.
Как считаешь, справится strncpy с задачей?
| |
7.111, Tron is Whistling (?), 09:30, 15/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
А теперь объясняю логику.
strncpy реально работает с терминатором (и переменной длиной) _только_ в src.
dst при этом является "сырым буфером", и \0 в src для strncpy - всего лишь символ, указывающий, что с src пора завязывать.
| |
|
6.99, fidoman (ok), 20:16, 14/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
посочуствуй ещё, чувствительный наш.
в strncpy логику нашли, давай искать в strncat
| |
|
7.112, Tron is Whistling (?), 09:34, 15/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
strncat используется для объединения двух строк переменной длины с терминатором, он выполняет предварительный поиск терминатора в dst, чтобы понять, куда добавлять. И src и dst трактуются как терминированные строки, поэтому и на выходе - терминированная строка.
| |
|
8.142, fidoman (ok), 19:02, 15/04/2023 [^] [^^] [^^^] [ответить] | +/– | Всё это написано в учебнике Только пишут ли там про то, что ты сам должен просч... большой текст свёрнут, показать | |
|
7.113, Tron is Whistling (?), 09:35, 15/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Всю эту сишную логику можно понять только после того, как ты на асме занимался строковыми операциями.
Если глубже высокоуровневых примитивов мышление не заглядывало, да - логику увидеть бывает сложновато.
| |
|
8.126, Аноним (19), 13:55, 15/04/2023 [^] [^^] [^^^] [ответить] | +1 +/– | Какой-то стокгольмский синдром по отношнию к недотехнологиям Смешно, как у неко... текст свёрнут, показать | |
|
|
|
|
|
|
2.84, fidoman (ok), 12:31, 14/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Ну так надо что-то регулярно портить и героически исправлять. Иначе скажут проект мёртв и грохнут репу.
| |
|
1.27, Аноним (46), 12:40, 13/04/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Это ж кто же мог подумать что с си бывают экранировнные символы и они занимают целых два симовола!
Наверное нужно быть синьйором с 30+летним опытом написание на си чтобы знать этот ньюанс!
| |
|
2.30, annonn (?), 13:11, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
но-но! не приуменьшай их способности: зато они знают 14 вариантов инициализации!
и 5 способов каста к void* для самой быстрой порчи памяти!
| |
2.49, Аноним (48), 17:07, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Ну как бы clang предупреждает о них. А кто пользуется gcc - тот сам себе злобный буратино.
| |
|
3.114, Аноним (-), 11:03, 15/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
> Ну как бы clang предупреждает о них. А кто пользуется gcc -
> тот сам себе злобный буратино.
Современные gcc и clang выдают примерно одинаковые предупреждения, не надо сказок. Проблема с сями в том что есть ряд случаев когда статический анализ не поймает некоторые вещи.
| |
|
|
1.47, Аноним (47), 17:02, 13/04/2023 [ответить] [﹢﹢﹢] [ · · · ]
| –1 +/– |
ghostscript - это традиционный уязвимостейдром. Его не починить, только выкинуть. Благо, что есть pdfbox без сишных дыреней. Чтобы не выкидывать весь софт, зависящий шт GhostScript, нужно сделать совместимое API, но чтобы под капотом был или pdfbox, или что-нибудь на расте, или pdf.js, или проприетарный Foxit.
| |
|
2.54, Аноним (54), 17:20, 13/04/2023 [^] [^^] [^^^] [ответить]
| +2 +/– |
> или проприетарный Foxit
Скажешь тоже! Там багов ещё больше, если целенаправленно покопаться, поскольку разрабатывают его китайцы, если кто не знал. https://en.wikipedia.org/wiki/Foxit_Software
Обработчиков PDF вообще не существует идеальных, слишком уж сложна реализация всех фич. Но чем популярнее решение, тем пристальнее в нём будут искать и исправлять баги. Так что, Ghostscript ещё очень неплох, если сравнивать с альтернативами.
| |
|
3.55, Аноним (48), 17:28, 13/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
>поскольку разрабатывают его китайцы, если кто не знал. https://en.wikipedia.org/wiki/Foxit_Software
Китайцы-не китайцы, но это лучшая реализация PDF из известных, даже гугл у них лицензирует для своего хрома. При этом компания зародилась и поднялась тогда, когда вставлять бэкдоры было позорным. Я подозреваю, что эта компания срать себе в карму не будет. Уязвимости в фоксите обычно в JS-API. Отключи JS и спи спокойно.
| |
|
|
5.67, Аноним (67), 22:03, 13/04/2023 [^] [^^] [^^^] [ответить]
| +1 +/– |
> P.S. в mupdf JS вообще неотключаем.
Ну-ну
% pkg options mupdf
mupdf - DOCS: on
mupdf - JS: off
mupdf - SCROLL: on
| |
|
4.83, Аноним (80), 10:40, 14/04/2023 [^] [^^] [^^^] [ответить]
| +2 +/– |
Ага безопасность закрыть глаза и не видеть опасности. Удалить антивирус и говорить что у тебя нет вирусов. Использовать проприетарный продукт который невозможно проверить и говорить как же там все безопасно просто смешно.
| |
|
|
|
1.58, Аноним (58), 18:30, 13/04/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
> ********** вызывается в процессе создания миниатюр на рабочем столе, при фоновой индексации данных и при преобразовании изображений. Для успешной атаки во многих случаях достаточно просто загрузить файл с эксплоитом или просмотреть каталог с ним в Nautilus.
Это относится ко всем графическим либам.
А разрабам десктопов сколько не говори так не делать, а они все равно иконки рисуют на основе содержимого.
О безопасности в этом месте не думает ги один десктоп.
| |
1.78, Аноним (78), 09:50, 14/04/2023 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
"Уязвимости присвоен максимальный уровень опасности (10 из 10)"
Red Hat:
Priority: medium
Severity: medium
:)
| |
|
2.128, Tron is Whistling (?), 14:21, 15/04/2023 [^] [^^] [^^^] [ответить]
| +/– |
Ничего, сейчас всё на хрусте перепишут. Поддерживать будет 0.1% от спецификации, при этом жрать в 10 раз больше памяти и работать в 10 раз медленнее, но зато безопасТно.
| |
|
|