Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

46% Python-пакетов в репозитории PyPI содержат потенциально небезопасный код, opennews (??), 30-Июл-21, (0) [смотреть все] Никогда такого не было, и вот опять, Noname (??), 14:39 , 30-Июл-21, (1) +18 // ну тут просто на расте питон надо переписать и все проблемы сами собой решатся , ХрюХрю (?), 15:24 , 31-Июл-21, (132) –2 // https github com RustPython RustPython, Аноним (142), 00:19 , 01-Авг-21, (142) // Они все сделали через Должен же быть пыхтонраст , Аноним (-), 08:27 , 02-Авг-21, (180) Очередное британское исследование , Аноним (2), 14:42 , 30-Июл-21, (2) +20 // Пускай и финское , Аноним (2), 14:43 , 30-Июл-21, (3) +5 // Британским ученым ровно ничего не мешает проводить исследования в Финляндии , Аноним (39), 17:19 , 30-Июл-21, (39) // Brexit все дела, Хан (?), 20:35 , 30-Июл-21, (66) +1 Британский ученый - это призвание , Аноним (76), 22:02 , 30-Июл-21, (76) +2 Скорее диагноз PS не, ну некоторые из ботоводов достаточно откровенны и сразу, Michael Shigorin (ok), 22:33 , 01-Авг-21, (165) –1 Какой бред Сам факт использования этих функций не является чем-то плохим А вот, Аноним (4), 14:43 , 30-Июл-21, (4) +10 // Там больше половины пунктов такой же бред Их послушать - вообще дышать не надо , Аноним (42), 17:33 , 30-Июл-21, (42) –4 // Дык пишут же что потенциально Потенциально и бабушка это дедушка Потенциально , Амоним (?), 18:09 , 30-Июл-21, (49) +2 Любое хеширование предполагает, что вероятность появления двух одинаковых хешей , Аноним (89), 04:59 , 31-Июл-21, (89) +1 // Ммм crc32 вроде весьма вероятно, популярный алгоритм , Аноним (93), 05:20 , 31-Июл-21, (93) // Этот только для проверки целостности годится для случаев случайного повреждения , Аноним (89), 05:27 , 31-Июл-21, (96) Т е CRC32 на что-то все-таки годится А MD5, для этих же целей - почему-то нет , Аноним (76), 13:36 , 31-Июл-21, (127) –1 Для тех целей, для которых пригоден crc32 остальные избыточны Слишком высокая д, Аноним (89), 13:51 , 31-Июл-21, (129) Rsync md4 выбрал, например Недавно обновили до md5 и теперь xxhash с xxh3 sha-, Аноним (93), 15:34 , 31-Июл-21, (134) В случае MD4 5 они с одной стороны пытались быть криптостойкими, что неизбежн, Аноним (-), 05:23 , 01-Авг-21, (145) Эти функции протухли и не имеют вменяемого применения Если криптостойкость не н, Аноним (-), 05:36 , 31-Июл-21, (99) // Твои данные про сха1 протухли на шесть лет Сейчас оно хакается фпга асиком за па, GG (ok), 21:07 , 01-Авг-21, (163) // на AWS инстансе с FPGA оно хакается дешевле 10 за хеш , Анон123амм (?), 11:06 , 02-Авг-21, (182) Oh no, прогресс движется быстрее чем мои знания о нём, GG (ok), 11:49 , 02-Авг-21, (183) Python всегда был и останется рассадником мелких и крупных мерзостей , Гога (?), 14:45 , 30-Июл-21, (5) –12 // Это да, говнокодеров на питоне хоть отбавляй , Аноним (4), 14:57 , 30-Июл-21, (10) +9 // Самое интересное, позже выяснится, что среди каргокультуристов их будет не меньш, Аноним (35), 16:58 , 30-Июл-21, (35) +6 // Их уже больше , нах.. (?), 21:17 , 30-Июл-21, (67) +3 Культистов-самолётников среди питонистов тоже, к сожалению, очень-очень много, GG (ok), 21:09 , 01-Авг-21, (164) Чуть менее чем все , Аноним (-), 06:44 , 06-Авг-21, (197) –1 И ни одного который бы мог писать вменяемый код , Аноним (45), 17:40 , 30-Июл-21, (45) –5 // Самое страшное, что понимают это единицы приешдшие из других языков Я в свое вре, Аноним (142), 00:23 , 01-Авг-21, (143) +1 Неправда , Michael Shigorin (ok), 22:34 , 01-Авг-21, (166) Это да И то ли дело код на труЪ-ЯП https www opennet ru opennews art shtml nu, Аноним (-), 16:50 , 30-Июл-21, (33) +1 // Так то был саботаж явный с целью оставить бэкдор , Аноним (34), 16:55 , 30-Июл-21, (34) // Угу, можно отметить, обнаружение в каталоге PyPI 8 вредоносных пакетов загрузи, Аноним (-), 17:25 , 30-Июл-21, (41) –2 Скрыто модератором, Аноним (-), 08:00 , 31-Июл-21, (105) –2 Скрыто модератором, Аноним (-), 12:56 , 31-Июл-21, (125) +2 Там же в новости ссылка на сам инцидент https www opennet ru opennews art sht, Урри (ok), 19:13 , 02-Авг-21, (189) –1 // А теперь попробуй читать глазами, а не жопой и заодно думать головой, а не т, Аноним (-), 12:33 , 03-Авг-21, (192) По сравнению с js и php Сомневаюсь , Аноним (43), 17:38 , 30-Июл-21, (43) –1 А давайте запретим eval , Annoynymous (ok), 14:48 , 30-Июл-21, (6) –1 // Вообще eval давно пора вынести из пыха, пинота, и где он там ещё есть Можно не , Онаним (?), 14:55 , 30-Июл-21, (9) +3 // ещё eval есть в bash, меня устраивает, не надо его никуда выносить, заминированный тапок (ok), 15:01 , 30-Июл-21, (12) +2 В пыхе оно не так часто встречается Но да, она губительна Отключить её через ко, fernandos (ok), 15:21 , 30-Июл-21, (15) // Не, я имею в виду что-то типа --disable-eval по умолчанию , Онаним (?), 20:22 , 30-Июл-21, (62) +1 Радикально, но да, так даже лучше , fernandos (ok), 18:52 , 01-Авг-21, (160) Радикально, но да, так даже лучше , fernandos (ok), 18:52 , 01-Авг-21, (161) asking the , InuYasha (??), 10:29 , 31-Июл-21, (119) +1 the wrong question было в оригинале , Аноним (133), 15:25 , 31-Июл-21, (133) +2 В js Самое большое зло - в js , Annoynymous (ok), 16:32 , 30-Июл-21, (29) 1 , Аноним (4), 14:58 , 30-Июл-21, (11) +1 Вообще-то это было бы очень удачной идеей, ибо эти господа быкуют на сишников и , Аноним (-), 08:01 , 31-Июл-21, (106) // Да не поимели Там явный бэкдор был , Аноним (118), 10:28 , 31-Июл-21, (118) // Да черт его разберет Вон тут рядом некто exec втулить в свой код предлагает, мн, Аноним (-), 05:31 , 01-Авг-21, (147) А представь, что запретили Я напишу свой eval через дочерний интерпретатор, тебе, Аноним (144), 03:01 , 01-Авг-21, (144) –1 // 1 Это больше приседаний, случайно, для своего удобства это уже все же никто дел, Аноним (-), 05:38 , 01-Авг-21, (148)   // Конечно же, чем написать копеечную обертку над процессами, побегу переписывать в, Аноним (159), 15:59 , 01-Авг-21, (159)   Побежишь, куда денешься Потому что иначе твоё поделие больше не запустится, и п, Онаним (?), 19:12 , 01-Авг-21, (162)   А ты кому нужен Девопсы деплоят то, что написали разработчики, а не разработчик, Аноним (144), 13:29 , 02-Авг-21, (184) –1   Вот девопсам это и объясняй, а не мне DЯ в т ч общую системную полиси генерю, , Онаним (?), 22:03 , 02-Авг-21, (190)   не, ты можешь конечно, никому не сказав, но при разборе полётов в случае дыры в, Онаним (?), 22:05 , 02-Авг-21, (191)   Ну как бы я по подобным причинам и не собираюсь питонятиной пользоваться, больно, Аноним (-), 04:52 , 02-Авг-21, (175)   мои непроверенные пользовательские данные это медиафайлы И там уязвимостей в ни, Аноним (144), 13:46 , 02-Авг-21, (185)   Отличный аргумент за то чтобы их в sandbox по максимуму А то и пересобрать с as, Аноним (-), 07:02 , 06-Авг-21, (198) –1   Но ведь 46 не большинство Всё нормально , Аноним (7), 14:50 , 30-Июл-21, (7) –1 // Это они просто процент считать не умели Питонисты, что с них взять Если посчит, Аноним (-), 05:37 , 31-Июл-21, (100) +2 А что-нибудь реальное нашли вообще , Аноним (93), 15:18 , 30-Июл-21, (14) // студенты получили зачёт - реальный практический результат, Нанобот (ok), 16:02 , 30-Июл-21, (24) +7 По порядку 1 try-except-pass - это нормальное использование обработки исключени, Аноним (20), 15:43 , 30-Июл-21, (20) +2 // С тобой прям совмем все понятно , нах.. (?), 21:41 , 30-Июл-21, (71) Интересно, как выглядит вменяемая реакция на все это А, стоп, это же питоняша , Аноним (-), 08:11 , 31-Июл-21, (107) –1 На своем локалхосту ты можешь даже иметь права root-а А вот там, где злой дядя, myhand (ok), 10:48 , 31-Июл-21, (121) +1 // Судя по былинному оптимизму насчёт ключей, он этого всего ещё просто не понимает, Michael Shigorin (ok), 22:38 , 01-Авг-21, (167) Это надо было выделить в пункт 0, потому что всё остальное на фоне сего громкого, Онаним (?), 13:44 , 31-Июл-21, (128) +1 уверен, это число 46 может меняться в очень широких пределах скажем, где-то от, Нанобот (ok), 16:01 , 30-Июл-21, (23) –4 // для кого-то просто летная погода, а студенту финскому - зачёт за летнюю практи, пох. (?), 16:02 , 30-Июл-21, (25) // У Торвальдса надо спросить, он знает , Annoynymous (ok), 03:50 , 31-Июл-21, (84) Это проблема всех центральных репозиториев Там будет все, что угодно Начиная от, Аноним (26), 16:09 , 30-Июл-21, (26) +3 // Backstabber 8217 s Knife Collection A Review ofOpen Source Software Supply Cha, Аноним (26), 16:12 , 30-Июл-21, (27) Кто бы сомневался, Аноним (28), 16:22 , 30-Июл-21, (28) +1 Считала ЦИК 442 749 100 59 , Аноним (35), 16:45 , 30-Июл-21, (32) +4 // Машин-лёрнеры, они долю со среднеквадратичной функцией перепутали 100 749-442 , commiethebeastie (ok), 17:09 , 30-Июл-21, (37) +3 // Просто в смузи были неправильные грибы , Аноним (39), 17:19 , 30-Июл-21, (40) +3 Всего лишь питонисты , Аноним (-), 05:23 , 31-Июл-21, (95) +1 Нет, про ЦИК попытался сшутнуть тот, кто если был бы умным -- выяснил бы уже для, Michael Shigorin (ok), 22:43 , 01-Авг-21, (168) // Сколько лживую гопоту не выгораживай, легитимнее не станет А этот мем всего лиш, Аноним (-), 04:57 , 02-Авг-21, (176) Потому что смузихлёбы Значительная часть разрабов, особенно в машобе и академии,, Аноним (36), 17:03 , 30-Июл-21, (36) –2 // Я не понимаю, какое отношение сериализация или шелл имеют к безопасности Сериал, Аноним (93), 17:17 , 30-Июл-21, (38) +1 // Pickle - это не сериализация, это сериализация исполнение произвольного кода , Аноним (36), 18:22 , 30-Июл-21, (51) +2 // Потому что авторы sklearn - тоже смузихлёбы, и другую сериализацию моделей им бы, Аноним (36), 18:24 , 30-Июл-21, (52) +1 P S Сам смузихлёб В хорошем смысле Прямо сейчас хлебаю смузи из малины , Аноним (36), 18:25 , 30-Июл-21, (53) Локап твоему гироскутеру , Аноним (-), 08:14 , 31-Июл-21, (108) +1 А ещё можно скачать пакет с пупи и с ней тоже приходит код А еще можно скачать , Аноним (55), 18:36 , 30-Июл-21, (55) –1 Пакет - код по определению Модель в смысле машоба - по определению - данные - , Аноним (36), 18:43 , 30-Июл-21, (57) +1 По первой части них не понял, но к требованию присоединяюсь , Онаним (?), 09:00 , 31-Июл-21, (113) Воообще тогда не вижу смысла в вашем пистоне , нах.. (?), 21:46 , 30-Июл-21, (74) +2 Главное не логические связи и какие-то там аргументы, главное назвать группу Х , Аноним (55), 18:32 , 30-Июл-21, (54) Shell имеет прямое отношение к безопасности из за кривых разрабов не проверяющих, Хан (?), 20:32 , 30-Июл-21, (63) –2 // Пользовательский ввод нужно проверять всегда И его нужно экранировать Мои люби, Аноним (93), 21:18 , 30-Июл-21, (68) Клауд спайварь налетела на соседнем баге - ничтоже сомневаясь распаковывая всяки, Аноним (-), 08:17 , 31-Июл-21, (109) +1 Почему вы решили что там подразумевался пользовательский ввод во входящих данных, Аноним (70), 21:25 , 30-Июл-21, (70) Любые другие данные у софта доверенные Если там написано rm -rf, значит, так и , Аноним (93), 21:42 , 30-Июл-21, (72) +1 На ту же тему в основном около -print0 ---Использование find при работе с ката, Michael Shigorin (ok), 22:50 , 01-Авг-21, (169) Смузи тут не при чём Питон ещё используют как продвинутую замену для bash, из-з, Аноним (48), 18:06 , 30-Июл-21, (48) // Unix way program does one thing and does it well Python way does everything, w, Аноним (-), 08:18 , 31-Июл-21, (110) Да нормально Только добавьте анализатору поддержку других языков Я свой диванн, Аноним (46), 17:50 , 30-Июл-21, (46) А они при своем великом исследовании игнорировали код из попочек tests Похоже ч, Volodya (??), 17:59 , 30-Июл-21, (47) –1 // Открою тебе страшную тайну у питоняш половина логинов-паролей-ключей из попоче, Аноним (-), 08:19 , 31-Июл-21, (111) А это точно группа исследователей, а не курсач студентов , Аноним (48), 18:10 , 30-Июл-21, (50) +4 о, да, людлю небезопасный код , Аноним (-), 18:38 , 30-Июл-21, (56) Хмык Жаль, что исследователей из университета не интересуют не-университетск, YetAnotherOnanym (ok), 19:37 , 30-Июл-21, (58) –1 Может быть и мне начать проводить подобные исследования простым шелл-скриптом по, Dzen Python (ok), 20:08 , 30-Июл-21, (61) –1 // Ключевые пакеты C доступные через nuget очень ладно скроены самой Microsoft, Хан (?), 20:34 , 30-Июл-21, (64) –1 // Прогиб засчитан, но если заменть C на любой другой язык - суть не изменится Ва, Аноним (76), 22:05 , 30-Июл-21, (78) –1 Вот плата за то, что в язык привлекаются толпы остолопов , Gogi (??), 20:35 , 30-Июл-21, (65) +2 // Это ты про утечки в С С , Аноним (73), 21:44 , 30-Июл-21, (73) +2 // А ты про вот это вот в Rust https cve mitre org cgi-bin cvekey cgi keyword rus, Аноним (28), 22:02 , 30-Июл-21, (75) +1 // А прикольно, они уже таки научились стрелять в пятки довольно метко Или вот еще , Аноним (-), 05:32 , 31-Июл-21, (97) +1 Более того, учи матчасть маленький В C C утечек нет внезапно В отличии от тв, Аноним (28), 22:02 , 30-Июл-21, (77) –2 если голова из жопы ростот то да Не используй указатели, или пользуйся исключит, СССР (?), 23:11 , 30-Июл-21, (80) –1 // Да и динамическое выделение памяти можно не использовать А вот в хрусте с всем , Аноним (-), 05:33 , 31-Июл-21, (98) но с другой стороны, как без динамики это тоже что сказать себе нет, бегать я, СССР (?), 08:27 , 31-Июл-21, (112) Да нормально вполне Особенно в всяких фирмварях микроконтроллеров Да и даже в , Аноним (-), 05:47 , 01-Авг-21, (149) если у обоих опыта по пол года, курсы закончили которые то оба косячить будут,, СССР (?), 00:18 , 04-Авг-21, (194) Эти для совсем уж остолопов неудобные Первый при бытье остолопом задолбает А в, Аноним (-), 05:21 , 31-Июл-21, (94) +1 Не удивлен, библиотеки для питона написаны любителями , Skullnet (ok), 21:23 , 30-Июл-21, (69) +3 // numpy, pandas, srapy, flask и еще 319 тыс либ написаны любителями Хороши люб, economist (?), 23:25 , 30-Июл-21, (81) –4 // Тогда им двойной позор за такое качество кода, значит гамнякали вполне сознатель, Аноним (-), 05:19 , 31-Июл-21, (92) +2 // Тогда тройной, они еще и на пипу гордо выставили это, на всеобщее , нах.. (?), 06:41 , 31-Июл-21, (103) –1 Не надо путать обертки для питона с языком, на котором написана библиотека numpy, Аноним (26), 09:37 , 31-Июл-21, (117) +1 // На гитхаб ссылки дать, или сами найдете процентовка кода по ЯП указана справа, , economist (?), 14:46 , 31-Июл-21, (130) –2 А причем тут процентовка И как это отменяет тот факт, что, например, питоновска, Аноним (26), 18:48 , 31-Июл-21, (138) +1 https github com numpy numpyтам написано черным по белому на светлой теме Pyt, economist (?), 19:37 , 31-Июл-21, (139) –3 Про научный код -- что на питоне, что на плюсах, сях или фортране -- вот выйдет , Michael Shigorin (ok), 22:54 , 01-Авг-21, (170) потому что питон изначально полюбился математикам для быстрого наброса формулы, , СССР (?), 23:09 , 30-Июл-21, (79) –3 начало конца Грядет кончина IT сферы, какой мы ее знаем Еще лет 30 в средне, нитрол (ok), 02:32 , 31-Июл-21, (82) +1 // Как обычно, самое время осваивать си и асм Это был популярный тренд 20 лет наза, Аноним (93), 03:10 , 31-Июл-21, (83) –2 // было фотопленка - взгляд фотографа - фотографиястало телефон - сэлфи палка - и, СССР (?), 04:34 , 31-Июл-21, (86) +4 // Музыка стала лучше, техничнее, кинематограф взлетел как никогда, фотография пере, Аноним (93), 04:50 , 31-Июл-21, (87) Музыка лучше не стала, почти все легенды - это лет 30 назад Зато вылупилась то, Аноним (-), 05:18 , 31-Июл-21, (91) +7 Это и есть взлёт Взлёт индустрии, а не качества кода Экспансия в ширь, из-за к, Аноним (118), 09:23 , 31-Июл-21, (114) –3 Больше всего этот взлет напоминает, вот реально, современных российских строит, Аноним (-), 05:59 , 01-Авг-21, (150) –1 Кмк, перепутаны причина и следствие Треш 30-летней давности уже никто не помнит, Аноним (76), 10:30 , 31-Июл-21, (120) –1 Кмк да, согласен Впрочем в музыке я с удовольствием кушаю свеженькое, поэтому л, Онаним (?), 10:55 , 31-Июл-21, (122) Ну да - закономерный процесс, а не начало конца И, кстати новые, более новые , Аноним (76), 13:30 , 31-Июл-21, (126) Появилась некая теория какие звуки нравятся людям И довольно много этого добра , Аноним (-), 08:24 , 02-Авг-21, (179) Очень интересно Хотя-бы десяток музыкальных произведений и их создателей 3000-л, Аноним (-), 06:17 , 01-Авг-21, (151) Все херово, а раньше было лучше Спасибо , Аноним (158), 12:40 , 01-Авг-21, (158) Это было к слову о тысячелетиях и молодёжи, которая хлещет неразбавленное вино , Michael Shigorin (ok), 23:16 , 01-Авг-21, (174) К тому есть некие предпосылки Пока нечто сложно и challenge, хреново это делать, Аноним (-), 05:03 , 02-Авг-21, (177) Вы всё проморгали Ливарюция в синематографе таки случилась -- по крайней мере , Michael Shigorin (ok), 23:14 , 01-Авг-21, (173) Я это уже читал Прикольная штука И, КМК, вы среди его букв не увидели то что о, Аноним (178), 08:12 , 02-Авг-21, (178) Лучше или техничнее Лет двадцать назад хорошему приятелю, собравшему своими рука, Michael Shigorin (ok), 23:04 , 01-Авг-21, (171) Да, какой-нибудь Anal Cunt, пожалуй, только вживую и заходит Но, есть же там He, Аноним (93), 15:58 , 02-Авг-21, (188) музыка стала квадратная, кино содержит максимум насилия, фотография стала не иск, СССР (?), 00:05 , 04-Авг-21, (193) Ну как бы твоё мировосприятие тоже построено только на самых поверхностных вещах, Аноним (93), 00:41 , 04-Авг-21, (195) совершенству нет предела и естественно и мне и тем кто мудрее меня в разы и им т, СССР (?), 08:14 , 05-Авг-21, (196) Несмотря что у Питона и ниша применения далеко не всегда требует вообще задумыва, _kp (ok), 04:33 , 31-Июл-21, (85) +2 инструмент недалеко ушёл от такого for n in ls py doecho n уязвим done, бедный буратино (ok), 04:58 , 31-Июл-21, (88) –1 Какой сюрприз, оказывается на питоне в основном г внокодят , Аноним (-), 05:13 , 31-Июл-21, (90) +3 // Вы упускаете существенную разницу между созданием и публикацией, думаю , Michael Shigorin (ok), 23:07 , 01-Авг-21, (172) интересный тест, эта страница так же содержит небезопасный код,так как присутств, Аноним (104), 07:56 , 31-Июл-21, (104) в результате любой крупный проект использующтй стронние либы на любом ЯП будетвс, Аноним (115), 09:28 , 31-Июл-21, (115) // Да Любой крупный проект всегда будет уязвим, идеальных писателей нет , Онаним (?), 10:58 , 31-Июл-21, (123) +2 Другое дело, что крупный проект на пистонах - это обычно 99 стороннего кода, , Онаним (?), 10:58 , 31-Июл-21, (124) +2 ну почти весь код потенциально опасен , Аноним (116), 09:37 , 31-Июл-21, (116) –2 // значит, любой программист потенциально опасен кровожадный рёв роскомнадзиллы , InuYasha (??), 17:29 , 31-Июл-21, (136) –3 Не ну, и не почти А всегда и везде В отличии от презумции невиновности человека, Брат Анон (ok), 08:55 , 01-Авг-21, (155) +1 Уязвимости ОС, протоколов WiFi, железа - гораздо опаснее чем какие-то try except, economist (?), 15:14 , 31-Июл-21, (131) –2 // Экономист прав Питон не чмырите Язык хороший в свой нише , Аноним (-), 17:25 , 31-Июл-21, (135) –3 // в своей днише , InuYasha (??), 17:30 , 31-Июл-21, (137) +1 Расскажите это кулхацкерам которых поимели через bitmessage, да еще распиарив си, Аноним (-), 06:30 , 01-Авг-21, (152) +1 Какое это имеет значение, если программы все равно выполняются на небезопасном п, Аноним (140), 23:10 , 31-Июл-21, (140) // Да, процессор опасный а не небезопасный -- безопасность пока никто не доказал, , Брат Анон (ok), 08:57 , 01-Авг-21, (156) –1 Библиотека bandit которой проводился анализ выдает очень посредственные результа, Mikhail (??), 07:54 , 01-Авг-21, (153) +1 // Начну с конца 1 Это не сайт специалистов 2 bandit если память не отшибло вкл, Брат Анон (ok), 09:02 , 01-Авг-21, (157) –1 А почему не 146 , Анон1212 (?), 15:02 , 02-Авг-21, (187) +2 Надо было на расте писать , Аноним (199), 20:44 , 09-Авг-21, (199) 1,2,4,5,6,7,14,20,23,26,28,32,36,46,47,50,56,58,61,65,69,79,82,85,88,90,104,115,116,131,140,153,187,199

Сообщения

[Сортировка по времени | RSS]

	148. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	+/–
	Сообщение от Аноним (-), 01-Авг-21, 05:38
	> Я напишу свой eval через дочерний интерпретатор, тебе легче от этого станет? 1. Это больше приседаний, случайно, для своего удобства это уже все же никто делать не будет, прорубятся только самые одаренные и неленивые самострельщики. 2. По счастью, до меня это никогда не долетит, ибо я разборчивая скотина и не пользуюсь порождениями таких программистов. Облом, да? :) 3. Это не вы pybitmessage случайно кодили, кстати? > Или дальше запретить запускать дочерние процессы? Вообще-то я именно это и делаю в сетевых сервисах например... и если какому-нибудь сетевому серваку захочется в выполнение процесса, это немедленно гарантирует его пристрел и дальнейший аудит или замену. А с системдой это все еще и довольно легко организуется, ибо seccomp может вот именно что вырубить вам к чогту exec* да и W^X может быть и в файловой системе, то-есть, что врайтабельно то не экзекутабельно, а то что экзекутабельно - либо совсем не доступно, либо жестко влеплено только для чтения. При очень сильном желании, конечно, гуру бэкдоринга сможет и это попытаться обойти. Но во первых высокий риск запалиться, во вторых высокий риск что что-то не сработает, в третьих это надо основательно по#$%ться уже и случайно так уж точно не сделаешь. Заодно и отмазаться при поимке не получится уже. Будет "споткнулся, упал на мой кулак своим лицом, и так 5 раз подряд".
	Ответить | Правка | Наверх | Cообщить модератору

	159. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	+/–
	Сообщение от Аноним (159), 01-Авг-21, 15:59
	>для своего удобства это уже все же никто делать не будет Конечно же, чем написать копеечную обертку над процессами, побегу переписывать всю логику с eval. А через какое-то время после запрета в pypi какой-нибудь pyeval появится. >если какому-нибудь сетевому серваку захочется в выполнение процесса, это немедленно гарантирует его пристрел и дальнейший аудит или замену И сразу идешь в баню, сесурити вахтёр доморощенный. Или пишешь мне биндинги на C ко всему, что запускается через процессы. >врайтабельно то не экзекутабельно python xxx.py, и все. Даже файл писать не обязательно, можно код аргументом передать. А на самом деле даже процессы сторонние запускать не нужно. Давай, запрети мне импортировать свежезаписанный py файл как модуль. В любом случае, я буду писать как удобно мне, а всякие хуру идут лесом.
	Ответить | Правка | Наверх | Cообщить модератору

	162. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	+/–
	Сообщение от Онаним (?), 01-Авг-21, 19:12
	> Конечно же, чем написать копеечную обертку над процессами, побегу переписывать всю логику с eval. Побежишь, куда денешься. Потому что иначе твоё поделие больше не запустится, и придётся тебе его в виде образа докера со включенным в интерпретаторе eval раздавать. > И сразу идешь в баню, сесурити вахтёр доморощенный. Или пишешь мне биндинги > на C ко всему, что запускается через процессы. А кому ты нужен-то, биндинги тебе писать? > python xxx.py, и все И отказ в exec. Дальше см. первый тезис про докер. Не, на локалхосте - пожалуйста. Но не далее.
	Ответить | Правка | Наверх | Cообщить модератору

	184. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	–1 +/–
	Сообщение от Аноним (144), 02-Авг-21, 13:29
	>А кому ты нужен-то А ты кому нужен? Девопсы деплоят то, что написали разработчики, а не разработчики выполняют хотелки девопсов. Я написал сервис, описал в каких условиях он работает - будь добр его запустить. Сломанную твоими ограничениями логику переписываешь сам в личное время. Потому что если я дергаю некий инструмент через popen, значит другого способа (кроме переписывания инструмента на питон или написания обертки на C) нет. И потом еще посчитаем, сколько уязвимостей к уже имеющимся в инструменте ты добавил своей оберткой. >придётся тебе его в виде образа докера >придётся претендент на сесурити ыкспертнасть юзает докер только в исключительных случаях. Ясно, понятно. Только когда вся инфраструктура без докера, то это тебе придется моё поделие в образ оформлять. Потому что я свои задачи завершил, а с деплоем выкобениваешься ты. >отказ в exec с чего бы? python на разделе с exec. Или ты мне хочешь весь мультипроцессинг сломать запретив создавать дочерние процессы?
	Ответить | Правка | Наверх | Cообщить модератору

	190. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	+/–
	Сообщение от Онаним (?), 02-Авг-21, 22:03
	> А ты кому нужен? Девопсы деплоят то, что написали Вот девопсам это и объясняй, а не мне :D Я в т.ч. общую системную полиси генерю, и хрен ты мне что напишешь и задеплоишь вне этой полиси.
	Ответить | Правка | Наверх | Cообщить модератору

	191. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	+/–
	Сообщение от Онаним (?), 02-Авг-21, 22:05
	(не, ты можешь конечно, никому не сказав, но при разборе полётов в случае дыры в твоём эвале - с тебя же и вычтут)
	Ответить | Правка | Наверх | Cообщить модератору

	175. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	+/–
	Сообщение от Аноним (-), 02-Авг-21, 04:52
	> Конечно же, чем написать копеечную обертку над процессами, побегу переписывать > всю логику с eval. Ну как бы я по подобным причинам и не собираюсь питонятиной пользоваться, больно там характерная секурити. Небось у вас такого красивого и на system() ума хватит, очень рекомендую, особенно круто в него непроверенные пользовательские данные отдавать. > А через какое-то время после запрета в pypi какой-нибудь pyeval появится. Да ну кто бы сомневался что питонисты придумают полунедосвоместимый способ прострела пяток еще раз? > И сразу идешь в баню, сесурити вахтёр доморощенный. Или пишешь мне биндинги > на C ко всему, что запускается через процессы. Ну, мне для начала нафиг не упал твой софт, с таким качеством и секурити, поэтому пишу я тебе только дырку от бублика. А в баню отправляется такой софт с моих систем. Впрочем, он туда обычно и не попадает. > python xxx.py, и все. Даже файл писать не обязательно, можно код аргументом передать. Как тебе идея получить -1 на эту потугу, вебмакака? А прикинь, после сборки вон той песочницы там может не быть ни 1 бинаря. А что, прога уже запущена, ей больше не надо ничо. Если она что-то внешнее дергает это уже повод провести аудит этого крапа и скорее всего стереть его, либо за бэкдор, либо за непотребный код. Легитимных поводов для exec из например сетевого сервиса очень немного. > А на самом деле даже процессы сторонние запускать не нужно. Вообще-то именно так, покуда вы не менеджер сервисов или нечто подобное. А для сетевых штук это удобный хук для детекта хаксоров. > Давай, запрети мне импортировать свежезаписанный py файл как модуль. Хорошая идея, reason: W^X. Ну то-есть на своем локалхосте ты можешь хоть вирье запускать, а на чем-то сверх того ну тебя такого в пень. > В любом случае, я буду писать как удобно мне, а всякие хуру идут лесом. Вот именно это я как раз и делаю - и спасибо за иллюстрацию почему. Мне код с таким качеством и безопасТностью даром не упал.
	Ответить | Правка | К родителю #159 | Наверх | Cообщить модератору

	185. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	+/–
	Сообщение от Аноним (144), 02-Авг-21, 13:46
	>непроверенные пользовательские данные мои непроверенные пользовательские данные это медиафайлы. И там уязвимостей в нижележащих библиотеках столько, что RCE рано или поздно случится хоть eval отключай, хоть capabilities по самый корень режь. >W^X как это остановит importlib? Модуль это не динамическая библиотека, а тот же скрипт, который будет выполняться уже запущенным интерпретатором.
	Ответить | Правка | Наверх | Cообщить модератору

	198. "46% Python-пакетов в репозитории PyPI содержат потенциально ..."	–1 +/–
	Сообщение от Аноним (-), 06-Авг-21, 07:02
	> мои непроверенные пользовательские данные это медиафайлы. И там уязвимостей в нижележащих > библиотеках столько, что RCE рано или поздно случится Отличный аргумент за то чтобы их в sandbox по максимуму. А то и пересобрать с asan/ubsan если просадка скорости не критична. Грубо говоря, если RCE не может ничего, кроме счета - вред умеренный. А с должной расстановкой капканов будет легко пойман. Ну вон хук на exec - и при попытке развить успех разовьется... облом для хаксора. > хоть eval отключай, хоть capabilities по самый корень режь. Типа, если подхватил гусарский насморк, то нехай и спид заодно заходит? А медиафайлы могут пытаться атаковать и более высокоуровневый обработчик, впихав хитрозадый контент в всякие теги и проч. Правда, удобнее всего так башистов иметь, но пример pybitmessage показал что бывают варианты. >>W^X > как это остановит importlib? Модуль это не динамическая библиотека, а тот же > скрипт, который будет выполняться уже запущенным интерпретатором. Вообще идея такая чтобы нельзя было догружать извне исполняемые штуки. Eval - самый простой и быстрый способ прострела пяток на этом направлении. Но если вы хотели сказать что в питоне более 9000 способов прострела пяток - наверное, вы правы. Во всяком случае, в battle for wesnoth его пробовали юзать как игровой скриптинг и пришли к тому что догружаемые с сервера дополнений аддоны могут взламывать юзеру систему и это нельзя заткнуть, питон слишком дыряв для этого. И поюзали Lua. А вот этот вполне можно сделать чисто считалкой-скриптилкой без IO наружу и вот так оно урон системе пользователя нанести не может.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема