Внимание! Опрос! Конкурс по взлому ) kzbin.infoUgkxxiV75KYeEBtq71TlB_21l2QjOzwJtRZs
@alexblr16 күн бұрын
Приветствую! Продублирую своё мнение. Лично я за проведение конкурса или челленджа, но на мой взгляд главное не переборщить со сложностью заданий (уровней), так как для некоторых то или иное задание может быть сложным. Помню, когда-то на сайте "античат" были конкурсы по взлому. Если кому интересно, я когда-то делал ЮтубКвест состоящий из нескольких уровней с бонусом в конце - gthu9JVyOVA (ролик на ютубе, описание под видео, полную ссылку не даю, так как тут может быть включена блокировка ссылок), его можно считать как Цикада 3301 лайт :) Если прошёл уровень, оставил коммент, т.е. попал в таблицу рекордов. Первый уровень открыт для всех, все последующие скрыты для тех, кто не прошел предыдущие. Если кто знает подобные конкурсы или есть толковые идеи пишите.
@ilyatemnikov9624Ай бұрын
Иван, в разработке более 5 лет, пишу на Java. Для нашего мира такие уязвимости уже даже не закрываются, все идет из коробки. Единственное, что настраиваем, это csrf и cors. Очень качественное видео, освежил базу. Спасибо!
@gggalahadАй бұрын
Тогда почему на сайте owasp различные иньекции все еще входят в топ 3 самых частых уязвимостей?
@ilyatemnikov9624Ай бұрын
@@gggalahad Потому что там, вероятно, JSP.
@gggalahadАй бұрын
@@ilyatemnikov9624 тоесть только jsp подвержены иньекциям?
@gggalahadАй бұрын
@@ilyatemnikov9624 тоесть только jsp подвержены иньекциям?
@alekseyshev5706Ай бұрын
Это не так, после первого же пентсета вы это поймёте
@user-ly4vd1mo5gАй бұрын
Искал серебро, нашел золото. Очень интересная тема для обсуждения в данном видео, то, чего мне явно не хватало. Подписался. Благодарю за ваш труд, Иван.
@apristenАй бұрын
Очень толковое объяснение некоторой небольшой части атак, очень интересно продолжение про LFI/RFI, IDOR, SSRF, и т.д.
@volodnika2 күн бұрын
Начинающий программист, очень круто объясняете Иван!
@Nekrasov_allАй бұрын
Мужик, видео просто фантастика, лучше на просторах интернета на эту тему сейчас просто не найти. Благодарю
@MB-mi4ed27 күн бұрын
Иван, отличные наглядные примеры! Спасибо за старания!
@user-ds5pn2vi4x13 күн бұрын
Да, было дело́, нужен был другу пароль от аккаунта девушки в вк, это так 2009-2010 год был, и прям в форме почты пихал форму, где требовался пароль для подтверждения, и всё что вводилось в поле отправлялся на txt документ на бесплатном хостинге, готово, и да, после ввода пароля, чтобы жертва ничего не заподозрила ее действительно отправляло на сервис с открытками, эх... Какие простые были времена, сейчас сложно представить такие кражи, двухфакторные авторизации, с подтверждением с телефона... Теперь даже html форму не вставить в обычный почтовый клиент 😢... Кстати, друг уже женат на той жертве, наверное ничего плохого не увидел в ее переписке, возможно помог ему с выбором 😂
@user-zc3xi3rd6zАй бұрын
Огромная благодарность Вам за труд! Ждём вторую часть!
@mvlikhachevАй бұрын
Спасибо. Очень интересная информация. Я правда думал, что большинство этих уязвимостей уже лет 10 как не актуальны)
@supreltdАй бұрын
На Джанго с 3 версии все эти неуязвимости из коробки сложно обойти. Но возможно (обходил)
@lordew9476Ай бұрын
это было давно
@ivan.goncharovАй бұрын
Все новое - это хорошо забытое старое ) поэтому периодически нужно все повторять. Как оказывается, даже в рельсе можно кривой код написать и получить все эти уязвимости обратно )
@electron_kgАй бұрын
Все актуально
@user-qd6hj2fn4wАй бұрын
при использовании Laravel уже все эти проблемы решены из коробки, давно не актуально, но знать нужно! спасибо Иван за информацию!
@Photoshopper2010Ай бұрын
тем не менее никто не запрещает эти уязвимости открыть. Можна тот же CSRF отключить или написать нативный SQL без обработки параметров
@bit_reil12 күн бұрын
Тем не менее есть кучи старых сайтов на старых архитектурах под которые к сожалению есть эксплойты
@SaLeX9693 күн бұрын
Интересный разбор. Спасибо:)
@slavanik169Ай бұрын
Видео топ, базу разобрал 👍 Но было бы интересно продолжение, желательно так же нацеленное на веб по всем остальным уязвимостям, включая более редкие
@Ranamzes11 күн бұрын
Очень полезный ролик! Хотим больше таких)
@mixaaa7189Ай бұрын
Превосходный гайд, спасибо за такое подробное объяснение!
@yuriyp884123 күн бұрын
🔥🔥🔥 Это лучшее, что я видел про атаки в вебе. Спасибо большое за примеры - наглядно стало понятнее, что это и как с этим бороться. 🤝
@valpolik72Ай бұрын
Очень понравилось видео! Хотелось бы еще часть 2 :)
@Duh28020 күн бұрын
Мега интересно узнать об уязвимостях на сайтах🔥🔥🔥
@Serega5j27 күн бұрын
Ура разжевали тему по нормальному. Давно интересовала эта тема я не мог найти настолько номального обьяснения. Мужик, ты лучший!
@bitcomadm28 күн бұрын
Иван, спасибо за подачу и шикарный уровень в профессии 💎🌟
@evgenyshipko28 күн бұрын
Хорошее видео: все понятно, примеры понятны, спокойно и последовательно объясняете. У вас определенно талант! Подписался, жду еще видео)
@tommex402519 күн бұрын
Иван, в сфере форекса уже давно и копаю базы данных различных платформ, очень интересно было вспомнить базу !
@eskelgarsio299825 күн бұрын
Отличное видео! Спасибо! Жду вторую часть
@user-mr5pq1dc1t2 ай бұрын
Очень жду вторую часть, начиная с CWE top 25)
@ivan.goncharov2 ай бұрын
топ 25 это часов на 10 нужно видео записывать?)
@mizakira7772 ай бұрын
@@ivan.goncharovкаждую по 10
@mfshabalin25 күн бұрын
Большое спасибо! Очень ценная информация!
@user-xe9ez1fd5i11 күн бұрын
Хорошее видео,почему у автора так мало подписчиков,лайк в развитие канала
@bitcomadm28 күн бұрын
И музыка, между прочим, очень в тему 😊
@user-dr8nd4et4mАй бұрын
Спасибо! Ждем вторую часть!
@ELDAR011288Ай бұрын
Спасибо! 🎉🎉🎉 Ждем вторую часть)
@scrypt3llo_algotradingАй бұрын
Огромное спасибо за дословную и интересную подачу !🔥 Продолжайте - хотелось бы видеть ещё больше подобного контента! Было бы таки ещё интересно узнать - аналогична ли структура взлома мобильных приложений? или "как мобильное приложение может быть взломано ?"
@ivan.goncharov3 ай бұрын
Монтировать так и не научился, поэтому извиняюсь за слишком темное видео :)
@TTTuTTT28 күн бұрын
Автор молодец, просто о важном.
@radiohonkАй бұрын
Спасибо за такой подробный разбор
@leomyskyАй бұрын
Отличное видео, спасибо за объяснение
@volgraft550826 күн бұрын
Спасибо, всё очень понятно!
@user-lj4fg5co6rАй бұрын
Ничё не понятно - но Очень интересно !!
@gggr0m4e3 ай бұрын
Наконец-то годнота подъехала!
@EanutiyDolbayyyb8 сағат бұрын
Вот поэтому движкам сложно доверять, лучше уж ручками фильтровать и отправлять ошибки в телегу и по счетчику в бан ip.
@EanutiyDolbayyyb8 сағат бұрын
Про куки тема не раскрыта полностью, как они отрабатывают из скрипта, фрейма и т.п. Почему подтверждение критической операции по токену нужно завершать, а не по отправке формы. Можно ли в скрытом сформировать страницу и скрипт нужно сайта, и дергать её из главного потока пытаясь вырвать данные.
@user-mr5pq1dc1t2 ай бұрын
Отличный контент, 👍 спасибо
@user-zv8es8pu7bАй бұрын
Интересно было посмотреть, лайк. Единственная просьба, плиз, не яваскрипт =)
@ivan.goncharovАй бұрын
привычка )
@user-zv8es8pu7bАй бұрын
@@ivan.goncharov бывает, первый раз смотрел, так сразу ухо резануло)
@kekoffer852Ай бұрын
чет прорвало с Боба)))
@Arsen_Kaliyev2 күн бұрын
спасибо за тутор
@user-fo6fg3uv1vАй бұрын
При union based sql injection для подбора можно просто указывать null. Union select null,null,null и тд
@ivan.goncharovАй бұрын
Кстати да. Оставьте ваши контакты, мы вам перезвоним )
@user-fo6fg3uv1vАй бұрын
@@ivan.goncharov зачем😁
@whatyoumean1498Ай бұрын
@@user-fo6fg3uv1v за горло пожмякать😂
@ivan.goncharovАй бұрын
у капитана пара вопросов :)
@ivan.goncharov22 күн бұрын
Кстати нет, там бы не сработали null, они бы поломали код ) Ну а раз тема интересна, то проходим опрос в закрепе, хочу конкурс сделать по взлому )
@KinoPM2Ай бұрын
15 лет назад мне на сайт напихали писюнов Сейчас даже большие коммерческие проекты хрен кто осиливает )
@user-xr6vv8tp2uАй бұрын
😂
@KinoPM2Ай бұрын
@@user-xr6vv8tp2u было, да, так узнал о xss/sql
@user-jt9yd6vr8b27 күн бұрын
Да ладно. Достаточно напихать писюнов в команду разработки без должного контроля, а дальше через какое-то время хакеры и в весь большой проект напихают.
@ivan.goncharov22 күн бұрын
Проходим опрос в закрепе - хочу сделать конкурс по взлому, посмотрим сколько людей наберется )
@mayonez592522 күн бұрын
От XSS помогает защитить CSP и trusted types.
@IstMirWurst23 күн бұрын
в 2007 актуально было так ломать сайты..но сейчас это все уже предусмотрено
@ivan.goncharov22 күн бұрын
кем предусмотрено?)
@IstMirWurst22 күн бұрын
@@ivan.goncharov в любом фреймворке если конечно ты совсем не аутист чтоб делать специально такие грубые ошибки с нефильтрацией или том же ларавел csfr token тоже предусмотрен
@ivangoncharov147222 күн бұрын
@@IstMirWurst как я уже устал писать, каждый год появляются тысячи новых разработчиков, которые пока не понимают для чего писать так или иначе. Откуда они должны узнать что, для чего, и кем предусмотрено? ) И опять же, от csrf защита не сработает, если какой-то важный экшен навешен на GET-запрос, как я и показал. Те же LIKE-запросы раньше встречал даже в обучающих статьях без фильтрации. И есть еще один очень важный момент - статистика. Все эти ошибки до сих пор в топе. Каждый год. Все аутисты что ли?) Нет, просто джунам и даже мидлам нужно хоть раз показать от чего их защищает фреймворк, а от чего они должны защищаться сами. Что в этом видео и постарался сделать. А актуально это или нет, можно посмотреть в статистике.
@AvitoBotАй бұрын
Вы не поверите До сих пор очень крупные компании нашей страны не закрыли данные уязвимости
@Comm1tedАй бұрын
Очень полезно, спасибо
@supreltdАй бұрын
Крутой контент!
@flick480429 күн бұрын
Хотелось бы увидеть больше Рельс
@ivan.goncharov28 күн бұрын
Как минимум пара еще будет ) Сейчас про опыт применения тактических шаблонов DDD в Rails готовлю.
@user-oq2wp5ge6fАй бұрын
Спасибо за видео❤❤❤❤
@nickkarnapolcev92188 күн бұрын
Спасибо
@TheTexProАй бұрын
Спасибо большое!
@nickkarnapolcev92188 күн бұрын
🎉
@userDEELSАй бұрын
Привет развитие каналу
@MiFix-sh7el2 ай бұрын
не только такие уязвимости, например есть CORS, это на раскрытие информации
@ivan.goncharov2 ай бұрын
CORS это не уязвимость, это фича )
@MiFix-sh7el2 ай бұрын
@@ivan.goncharov ну фича то понятно, но для хакера это плохо, особенно когда там Access-Control-Allow-Origin: *
@ivan.goncharov2 ай бұрын
а чем Access-Control-Allow-Origin: * плохо для хакера? Вроде наоборот хорошо )
@MiFix-sh7el2 ай бұрын
@@ivan.goncharov я хз как обойти это, мб и хорошо
@alekseyshev5706Ай бұрын
@@ivan.goncharovесли разрешены с кредами любые домены , что часто делают неопытные разработчики когда хотят упростить себе задачу , уже не фича))
@Serhii_VolchetskyiАй бұрын
Тяжело перенести это на свой язык. Я не делал экранизацию полей HTML потому что не работал с пользовательским вводом, но знаю что это нужная вещь. Остальное - наверное, не сработает. Если XSS не занесу в базу - все будет ок.
@ivan.goncharov22 күн бұрын
Проходим опрос в закрепе ) Будет возможность попрактиковаться и может перенести на свой язык )
@kirilli842319 күн бұрын
Если взламывать сайты, писать разработчику, что нашел уязвимость и попросить его вознаграждение небольшое, то это не будет считаться как вымогательство/взлом сайта ?
@ivan.goncharov18 күн бұрын
Я не юрист, но вопрос интересный, спросил ChatGPT: 1. Взлом сайта: Независимо от намерений, несанкционированное проникновение на сайт или компьютерную систему является незаконным в большинстве стран. Это считается преступлением, даже если вы не нанесли вред. 2. Ответственность: Если вы нашли уязвимость без разрешения владельца сайта (например, через программу bug bounty или другую форму сотрудничества), и особенно если вы использовали её для доступа к защищенной информации, это может быть расценено как нарушение закона. 3. Вымогательство: Запрос денег за то, чтобы не раскрывать или не использовать уязвимость, также может квалифицироваться как вымогательство, даже если сумма относительно небольшая.
@SergeyKanibor2 ай бұрын
Очень круто! А есть ли где то это приложение на Github? хочу развернуть у себя, пощупать руками
@ivan.goncharov2 ай бұрын
Спасибо, добавил ссылки в описании :)
@mmm-jn3cw11 күн бұрын
В Angular такие уязвимости не работают. Всё, что вводит пользователь, отображается как encoded string (<script>) и ничего не выполняется.
@sau9703Ай бұрын
Современные сайты разрабатываются на базе каких либо движков или фреймворков , все эти банальные вещи уже лет 15 как неактуальны . разработчику о них даже думать не приходится т.к платформа в себе уже содержит все необходимые меры предосторожности , и не только платформа , на уровне веб.сервера так же многое перекрыто , да и браузер не дурак - в общем столько уровней защиты , что что-то придумать или обойти на таком уровне нереально. П.С Если программист что-то отключает , то к этому моменту вроде как уже должен понимать что отключает и к чему это приводит.
@ivan.goncharovАй бұрын
Я же и показываю в видео, что мне приходится отключать встроенные защиты для демонстрации. Но опять же, это не защищает от плохого кода (все вешать на GET-запросы, или использовать интерполяцию в SQL-запросах). Порог входа в программирование постоянно снижается, а вместе с ним снижается и понимание от чего и как нас защищает фреймворк. Это видео не для тех, кто вырос на PHP, а тех, кто начал с рельсы и никогда не задумывался о безопасности. К тому же, как я рассказал в видео, баги все еще встречаются ) и довольно серьезные баги (исполнение кода), которые опять же возникают по вине разработчиков. Поэтому все равно видео считаю полезным)
@user-zg7wk9sd2bАй бұрын
мощный)
@dalvevary199920 күн бұрын
17:00 Pepper это не соль, pepper это pepper Разные понятия:)
@ivan.goncharov18 күн бұрын
Ну да, почитал, немного разные штуки, спасибо )
@dalvevary199918 күн бұрын
@@ivan.goncharov главное развиваться :)
@MiMi-nd5cjАй бұрын
Спасибо за инфу, скажите а можно отследить взломщика, например по транзакции, номеру карты, ФИО, он же не может быть не видимым.
@chiefkief1337Ай бұрын
Если данные фальшивые, или указана карта дропа, то нет.
@NIkFreedomForceАй бұрын
Давай вторую, шеф, красава!
@user-hh2qp6ez4d2 ай бұрын
Уроки по Си планируете продолжать?
@ivan.goncharov2 ай бұрын
Планирую, но через одно видео. Следующее видео планирую на другую тему.
@l22dev27 күн бұрын
SQL инъекции ушли в прошлое, когда в PHP добавили PDO. Я с тех пор никогда их не встречал ни одного запрос без плейсхолдеров уже лет 12. Сейчас это бородатая неактуалочка.
@ivan.goncharov26 күн бұрын
Я несколько лет работал в аутсорсинговой компании, там проекты менялись каждые 2 месяца, иногда и за 2 недели успевали дела поделать. Насмотрелся вообще всякого, особенно там, где индусы код писали, в америке много таких проектов ) Ну и слабо верится, что в PHP-мире все так идеально стало ) Битрикс с его кучей кривых плагинов еще жив, кстати?)
@ivan.goncharov26 күн бұрын
Кстати, лет 5 назад один америкос просил его проект доделать на PHP. Скинул код, а там в КАЖДОМ файле идет подключение к базе данных, в каждом файле конфиг и копи паст кучи функций. Я уверен где-то до сих пор пишут такой код, не говоря уже о допущенных уязвимостях )
@flepjackАй бұрын
Не понял, а как тут SQL инъекция срабатывает при обычном get запросе? На бэке это же должно как то обрабатываться, каким то образом превращаться в реальный SQL запрос... Или это как то связано именно с ruby on rails?
@ivan.goncharov28 күн бұрын
Должно обрабатываться, есть встроенные защиты от инъекции, но если неправильно сформировать запрос (как было показано в видео), то защиты не сработают.
@user-xe9ez1fd5i11 күн бұрын
Иван создай пожалуйста телегу свою на всякий случай
@fimistoklOL4 күн бұрын
Бесплатный Стилер с билдом читов для кс 1.6, залитый на ргхост, с оставленными комментариями по типу:» все, скачал, брат жив, только антивирус отключить нужно» как только экзешный файл открывался - сразу же удалялся, а все логины и пароли приходили на почту лол, во время было то
@evgenybesit199516 күн бұрын
спасибо
@_black.sun_28 күн бұрын
А Django насколько стойкий ко всему этому? Не в теме, но собираюсь делать на нем сайт
@ivan.goncharov28 күн бұрын
Не подскажу, потому что не видел джанго уже лет 10 )
@heater-hater20 күн бұрын
solidJs ,быстрый как ванилька так что;)
@oleggazman681929 күн бұрын
за взлом не посадят, а возьмут на работу
@alexrevtovich11 күн бұрын
все эти уязвимости не актуальны уже лет так двадцать :D просто невозможно сделать сайт с этими уязвимостями, разве что прям специально делать их зачем-то. еще посмеялся, что Перец - это по русски соль :D Соль и перец - это хоть и похожие штуки, но разные!!! Даже если по какой-то причине не используется OAuth, а вручную хешируется, то будут использованы и соль и перец!
@MyHomeBand9 күн бұрын
Реально, бородатая фигня! А больше всего улыбнуло, что юзает Last pass. Пару лет назад они всю базу свою продали…
@qwert93135 күн бұрын
Не знаю что ты имеешь ввиду под и соль и перец просто sha256(пароль + salt) -> hash
@alexrevtovich5 күн бұрын
@@qwert9313 так у гугла спроси, там понятное объяснение про шифрование
@Photoshopper2010Ай бұрын
Я не понял CSRF. Откуда хакерский сайт берёт значения для своей формы?
@ivan.goncharov28 күн бұрын
Значения какие именно? user_id?
@Photoshopper201028 күн бұрын
@@ivan.goncharov я не внимательно посмотрел видео. Я думал вы в action указали хакерский сайт
@user-iv3eq8mx6x17 күн бұрын
Вступление срок не светит если что , а максимум админка 😃
@ivan.goncharov16 күн бұрын
А что я там такого сказал? (или не сказал?) :)
@fullform989226 күн бұрын
Все это прекрасно, но по моему уже устарело лет на 5 точно, хотя если на вордпрессе собирать или руби то возможно актуалльно 😊
@ivan.goncharov25 күн бұрын
Все может быть ) Но топ уязвимостей за прошлые годы говорит об обратном )
@fullform989215 күн бұрын
@@ivan.goncharov в этот год из каждого утюга говорят что нейро сетью можно создавать сайты, как там с уязвимость в топ не зашло? :)
@SamJones-dp1tcАй бұрын
куку боба 😂
@v3663Ай бұрын
Мне не понятно, зачем сайт ищет скрипт в имени и выполняет этот скрипт. Ну и пусть будет посетитель с именем alert(1), зачем его выполнять?
@ivan.goncharov29 күн бұрын
Браузер ничего не ищет, если он видит html-тег, его обязанность - как-то обработать этот тег. Чтобы браузер обработал alert(1) просто как текст, то в теле html это должно выглядеть как: <script>alert(1)</script> А не как . Т.е. знаки больше/меньше должны быть закодированы.
@ten167428 күн бұрын
разве это не будет работать только локально? как этот код вообще попадет и ввполнится другому клиенту на его машине? Там же браузер получит JS и HTML, который выдаст сайт, а эти инъекции сайт как выдаст, если они по сути локально в вашем браузере? @@ivan.goncharov
@ivan.goncharov22 күн бұрын
Что-то я не понимаю вопрос. Надо вам найти ролики о том как работает Веб, как работает http-протокол, и как работает браузер. Тогда все встанет на свои места. В идеале почитать книгу Таненбаума "Компьютерные Сети". Шикарная книга, очень хочу сделать ролик по ней когда-нибудь, но не в ближайшем будущем.
@romanmed90358 күн бұрын
это кто нынче сразу из ответа с сайта оптравляет в запрос? а по оплате так совсем смех.
@nrnwest25 күн бұрын
кидай руби 2024 год))) передйти на симфони ли лару )
@ivan.goncharov25 күн бұрын
Ruby сильно недооценен :) Я постараюсь в одном из видео показать как красиво на нем можно описывать логику приложения. Даже продакт-менеджерам, далеким от программирования, можно скидывать код и они будут понимать, правильная логика или нет. Таких возможностей нет ни в одном языке :)
@nrnwest25 күн бұрын
@@ivan.goncharov Рынок главный судья.
@ivan.goncharov22 күн бұрын
Согласен на все 100, но пока еще вижу много возможностей для руби ) Пока еще он даже до конца не раскрыл свой потенциал, как я считаю ) На PHP я лет 7 просидел, нормальный язык, претензий не имею, но не кайф ) PS проходим опрос в закрепе )
@aks96424 күн бұрын
А эти уязвимости реально до сих пор работают? Я думал уже давно все разрабы это все перекрывают
@ivan.goncharov22 күн бұрын
Как было показано в видео, любая из них еще может присутствовать. Видео было записано для новичков, которые и могут допускать ошибки, потому что ни один курс по программированию об этом не рассказывает.
@aks96422 күн бұрын
@@ivan.goncharov Да это не претензия) Просто у меня например, на моем языке программирования, та же SQL-injection отсекается библиотекой из коробки, то же самое и с CSRF. Я уже давно не думаю над данными проблемами ибо знаю что при использовании общепринятой библиотеки, которая в любом случае будет, эти проблемы уйдут. И я реально думал что примерно то же самое происходит и на других языках
@ivan.goncharov22 күн бұрын
@@aks964 я понимаю, что не претензия, просто пытаюсь донести, что библиотеки защищают, но ими нужно правильно пользоваться ) Rails один из первых фреймворков, где появилась красивая ORM со всеми возможными защитами. Но до сих пор люди неправильно формируют запрос, особенно часто это происходит в LIKE запросе, пишут where("name ILIKE '%#{params[:query]}'") - и тут защита уже не сработает. 200% в вашем языке то же самое )
@aks96422 күн бұрын
@@ivan.goncharov Я пишу на java с spring data и spring security. При авторизации spring security делает строго свои запросы, и подобные вещи он отсечет 200 процентов) При работе с бд "руками" идет генерация запросов через hibernate или сам спринг и оно аналогично это все переэкронирует и ты тоже в эту уязыимость не впоришься. Впороться в данную уязвимость в тории если прям сильно захотеть то можно, но это нужно сильно постараться, так же как, например, сделать утечку памяти. ps "руками" пишу тоже запросы крайне редко, обычно делаешь метод в интерфейсе и по названию данного метода оно просто загенерирует запросы. Я уже забыл когда запросы писал руками (в приложении, так то в бд хожу частенько чтобы посмотреть чтото) на самом деле
@ivan.goncharov22 күн бұрын
Ну для рельсы тоже есть куча гемов, которые проверяют безопасность кода по многим параметрам, но опять же, не все их используют ) P.S. проходим опрос в закрепе )
@THEREALNIKOS1529 күн бұрын
SQL-injection что взламывать то, старая же, уже защита стоит
@ivan.goncharov28 күн бұрын
Стоит защита, но бывает программисты ее обходят ) Особенно часто я видел это когда формируют запрос поиска через ILIKE: where("name ILIKE '%#{params[:query]}'")
@makaronronronАй бұрын
Иван на протяжении 33 минут делает вид что он не хакер))
@ivan.goncharovАй бұрын
Информация предоставлена в образовательных целях )
@mayonez592522 күн бұрын
"Делаем просто вот так" - после этих слов я понял, что человек не понимает как защищать сервисы от уязвимостей) Мдам-с.
@ivan.goncharov21 күн бұрын
Все так, не умею )
@user-rq8vk3cd1l24 күн бұрын
Ещё кто-то сидит на руби?
@ivan.goncharov22 күн бұрын
И даже не собирается уходить )
@isakneuman999527 күн бұрын
в каких галерах люди вообще работают если такие простые ошибки допускают...
@ivan.goncharov26 күн бұрын
Удивляют такие комментарии ) Каждый год тысячи студентов и самоучек идут в ИТ, откуда они все это должны узнавать? В универе об этом не рассказывают, свыше такая информация тоже не сваливается. Поэтому почему нет.. Я даже мини-доклад сделал в зарубежной компании, очень талантливым ребятам, и почти всем было интересно ) Последнюю ошибку, о которой я рассказал, допустил владелец компании, который уже на частном самолете летает и миллионы евро зарабатывает, я считаю не нам говорить, что он на галерах работает ) Со всеми случается.
@isakneuman999526 күн бұрын
@@ivan.goncharov я к тому, есть миллионы случаев, почему их не документируют и сжато пишут книги? Книги в которых есть суть а не воду на 1000 страниц
@ivan.goncharov26 күн бұрын
Книгу довольно тяжело выпустить, гораздо легче статью в блоге написать или ролик записать )
@ivan.goncharov22 күн бұрын
Проходим опрос в закрепе, люди с галер хотят конкурс простенький сделать )
@nickkarnapolcev92188 күн бұрын
М
@Crasytoser24 күн бұрын
Сори за хейт, но хэшИ это не правильно, правильно ударение на э хЭши. Прям бесит.
@ivan.goncharov22 күн бұрын
Ни разу не слышал такого произношения, буду знать ) А вот пишется это слово хЕш. Через е )
@shimmersairwaves13 күн бұрын
кЕши, Хэжи, жижи, шиши, жиши, пжижи ХЭЭЖИИИИИ!!!!
@ilya1.079Ай бұрын
Ява скрипт
@funnyaround733Ай бұрын
Что?
@bsprspktvnkАй бұрын
гей скрипт
@shimmersairwaves13 күн бұрын
Яна Чиле на раслабоне
@shimmersairwaves13 күн бұрын
Яна вай бе, Яна орфеева, Яна Чиле а ты???
@user-fg3wl4xu9dАй бұрын
не получилось никого взломать, обман
@ivan.goncharov29 күн бұрын
Я и не обещал )
@user-fg3wl4xu9d29 күн бұрын
@@ivan.goncharov лучше бы показал, как электронный дневник взломать и оценки исправить. А не этот пердёж в холостую
@ivan.goncharov29 күн бұрын
@@user-fg3wl4xu9d тебе это никак уже не поможет
@user-fg3wl4xu9d29 күн бұрын
@@ivan.goncharov а че ты на личности переходишь?
@shimmersairwaves13 күн бұрын
@@user-fg3wl4xu9dдружище 🤔😊, чтобы получать хорошие оценки достаточно не прогуливать школу и воображать себя будущим хацкером, достаточно не грубить людям.
@FrancoisTops-hy9quАй бұрын
Что за бред, это работает в оооочень ситуативных случаях и на кривых сайтах.
@ivan.goncharovАй бұрын
Ценю мнение, но это только кажется) Многие мидлы сейчас не знают об этих ошибках, потому что порог входа в АйТи снижается каждый год. Появляются более простые инструменты, более простые/быстрые курсы и тд. И даже с крутыми программистами в команде, в нашем проекте (довольно большом) были 3 из 5 уязвимостей, которые я описал. Также я занимался Data Scraping 2 года. За это время спарсил > 10.000 веб-сайтов, по 50 парсилок в день бывало писал. У меня очень большая насмотренность. Баги/кривые конфиги попадаются очень часто. Поэтому бред или не бред, а актуальность эта информация всегда будет иметь)
@fufloradarАй бұрын
Программисты должны быть параноиками и не доверять не пользователям а разработчикам этих вшивых фреймворков.
@ivan.goncharovАй бұрын
Я застал времена без фреймворков, когда в основном писали на php. Уязвимы были 9 из 10 вебсайтов. Потому что каждый изобретал свой велосипед и в основном как раз вшивый ) Поэтому фреймворки как раз это благо.
@fufloradarАй бұрын
@@ivan.goncharov Я имею в виду и технологии и протоколы и все остальное и JS и REST и т.д. просто не стал удлинять предложение нудными деталями. Такие уязвимости можно рассматривать только как закладки. Например нельзя что ли было заескейпить пользовательский ввод встроенно?
@genapak4864Ай бұрын
Комплитим Альфу, коммитим костыли, апрув.
@sashairАй бұрын
И все эти методы и попытки попадают в тупик, когда на пути встаёт php pdo и фильтры😁
@ivan.goncharov29 күн бұрын
Не работал с PDO, но на первый взгляд похоже на мини-копию рубишного ActiveRecord. А значит есть вероятность накосячить и там ) Вся суть видео - в том, что ошибки совершает программист. Даже если его защищает фреймворк, библиотеки, ангелы хранители, все равно допустить ошибку можно. Допустим вот такой код точно так же уязвим: $userInput = $_GET['user_input']; $sql = "SELECT * FROM users WHERE username = '{$userInput}'"; $stmt = $pdo->query($sql); Я помню в PHP есть еще настройки для экранирования кавычек, но их тоже вроде как-то можно обойти )
@TheLightnessofBeing-nw6hg27 күн бұрын
@@ivan.goncharov да, но с PDO используют $pdo->prepare($sql); и execute() А прямые SQL-запросы должны на перепросмотре кода отсекаться
@ivan.goncharov22 күн бұрын
Ну если так подходить, то все ок будет ) на самом деле, везде есть возможности накосячить, и есть возможности добавить больше защиты. Главное - чтобы программист заботился и безопасности. Для этого и видео, как напоминалка о безопасности ) PS проходим опрос в закрепе, )