@JSlang
Anton22.11.2016
15:39:52
15:39:52
Google
Vladimir22.11.2016
15:40:02
15:40:02
если не доглядеть, будет инъекция
Anton22.11.2016
15:41:01
15:41:01
не будет если ты не даешь делать так: search?q=<script>…</script>
Vladimir22.11.2016
15:41:35
15:41:35
так это пользователи будут делать, а не ты
Anton22.11.2016
15:41:39
15:41:39
на уровне base64 encode тоже маловероятно
Nikolay22.11.2016
15:41:54
15:41:54
иньекция будет если ты query параметры будешь вставлять как html контент
куда то
Vladimir22.11.2016
15:43:06
15:43:06
мб просто в поиске не позволять такие большие массивы данных искать?
Anton22.11.2016
15:43:42
15:43:42
просто энкодить все перед выводом в UI
Oleg22.11.2016
15:44:12
15:44:12
Эскейпить значения - это в первую очередь.
К слову, хром блочит если из ссылки в хтмл что-то будет вводится и это будет скриптом
Он понимает и защищает
Anton22.11.2016
15:45:13
15:45:13
нет там никакой страшной xss в base64 шорт-линках, просто эскейпить нужно и все
GoogleOleg22.11.2016
15:45:56
15:45:56
Есть другой тип уязвимости
Anton22.11.2016
15:45:57
15:45:57
да, если у тебя нет проверок, то ты можешь base64 дать кому-то и он даже не увидит что там какой-то скрипт
Oleg22.11.2016
15:46:02
15:46:02
Уязвимость состояния
Anton22.11.2016
15:46:18
15:46:18
но с таким же успехом ты и голый линк со скриптом можешь дать, большинство юзеров не заметят
Oleg22.11.2016
15:46:32
15:46:32
Если состояние, воспроизводясь, исполняет что-либо, то можено сгенерить ссылку так что выполнится что-то что нужно злоумышленнику
Anton22.11.2016
15:46:55
15:46:55
Если состояние, воспроизводясь, исполняет что-либо, то можено сгенерить ссылку так что выполнится что-то что нужно злоумышленнику
а ну давай кейс, так ничего не понятно
Maxim22.11.2016
15:48:37
15:48:37
Коллеги, а есть те, кто съел собаку на node ffi ? Ломаю голову над, скорее всего, очевидной фигнёй, нид хелп, братцы :)
Oleg22.11.2016
15:48:44
15:48:44
Да какой кейс - в стейте можно хранить что-то из текущих инпутов или состояние нахождения на какой-то не той странице. Ещё могут быть ошибки в самом воспроизведении состояния, которые могут сами нажать что-то не то и прочее такое
Nikolay22.11.2016
15:48:56
15:48:56
Коллеги, а есть те, кто съел собаку на node ffi ? Ломаю голову над, скорее всего, очевидной фигнёй, нид хелп, братцы :)
вызывал функции через ffiдля либы
что интересует?
Maxim22.11.2016
15:50:48
15:50:48
@JiLiZART есть либа, один из методов которой возвращает "указатель на сообщение об ошибке", я пытаюсь понять как его взять по этому указателю и вывести или как то еще обработать. сигнатура byte*, [byte*, int]
Nikolay22.11.2016
15:52:10
15:52:10
у ffi есть возможность разименовать этот указатель
Maxim22.11.2016
15:52:12
15:52:12
пытаюсь в связке ffi и ref получить какое то значение, постоянно console.log выводит разное, как я понимаю это разные адреса ячеек
но когда пытаюсь сделать deref тоже ничего разумного, не нашел близкого примера от которого оттолкнуться можно было бы
ща попробую какой то код кинуть сюда
Nikolay22.11.2016
15:53:08
15:53:08
вообще, я делал через ffi-generate — оно генерит js файл на основе заголовка либы
после, подключаешь и работаешь
если разное, это адресс буфера в памяти
Maxim22.11.2016
15:54:14
15:54:14
ну я так и думал, что это не само значение :) просто как его оттуда вытащить и как понять верно ли я это вообще делаю идеологически :)
GoogleNikolay22.11.2016
15:54:24
15:54:24
вот как пример можешь глянуть https://github.com/w3gh/ghost.js/blob/master/libbncsutil/BNCSUtil.js#L36
тут я создаю указатель на строку, скармливаю этот указатель функции
после вывожу
т.е если функция у тебя принимает указатели, то сначала их создаешь из js и скармливаешь функции, после уже toString, или toString('hex')
ну и вот эта штука оч сильно помогла https://www.npmjs.com/package/ffi-generate
Maxim22.11.2016
15:56:56
15:56:56
да, это когда указатель в метод передается, а у меня этот указатель методом возвращается, я делаю так:
const bytePtr = ref.refType(ref.types.byte);
var init = connector.Initialize(logBuffer, 3);
var initBufferized = new Buffer(init);
initBufferized.type = bytePtr;
console.log('STRING: ', decodeMsg(initBufferized));
console.log(ref.deref(initBufferized));
мог где то опечататься, вырезал на живую, сначала я описываю то, что ожидаю на return из initialize, но deref ни через ref ни у самого буфера разумного не дает
Nikolay22.11.2016
15:59:07
15:59:07
connector.Initialize возвращает указатель я так понимаю?
Nikolay22.11.2016
16:01:59
16:01:59
в init лежит указатель я так понимаю?
Maxim22.11.2016
16:03:36
16:03:36
ну я предполагал что так :)
JAHON UZ22.11.2016
16:03:38
16:03:38
мне очен плохо руский язик , кто поагите мне ... алооооооооооо
Nikolay22.11.2016
16:03:54
16:03:54
предлагаю попробовать init.toString('hex') на предмет рандомности.
если не сработает то var byte = ref.deref(init)
byte.toString('hex')
JAHON UZ22.11.2016
16:04:02
16:04:02
помагите
Maxim22.11.2016
16:05:39
16:05:39
@JiLiZART ага, спасибо, буду думать, мне главное понять было что я ни в чем очевидном не ошибся, первый раз ffi гоняю
Nikolay22.11.2016
16:05:59
16:05:59
ну тут надо мало мальски понимать Си )
я тупо курил хедеры
и код который работает с этой либой
бывало что надо было делать ref.alloc(255), т.е выделять указатель
GoogleNikolay22.11.2016
16:06:49
16:06:49
а потом подсовывать
Maxim22.11.2016
16:06:49
16:06:49
я минимально понимаю, просто это либа закрытая и описание скудновато :(
Maxim22.11.2016
16:08:18
16:08:18
@JiLiZART все равно спасибо, попробую с вариантом выделения памяти заранее
JAHON UZ22.11.2016
16:10:35
16:10:35
etot gruppa 1400 chelovek a u menya atvetil 1 cheloveka ... kruto
Maxim22.11.2016
16:13:07
16:13:07
etot gruppa 1400 chelovek a u menya atvetil 1 cheloveka ... kruto
and you still didn't ask the question :)AdminERROR: S client not available
JAHON UZ22.11.2016
16:13:17
16:13:17
JAHON UZ22.11.2016
16:15:54
16:15:54
ruskiy i angliskiy . ti mne pomojesh ??
[Anonymous]22.11.2016
16:18:25
16:18:25
Ахуеть
Nikolay22.11.2016
16:18:53
16:18:53
ники кто во что гаразд
Дмитрий22.11.2016
16:19:30
16:19:30
?
Nikolay22.11.2016
16:19:42
16:19:42
вово
Oleg22.11.2016
16:21:04
16:21:04
Странный товарищ
Maxim22.11.2016
16:21:25
16:21:25
@JiLiZART заработало, идиотил на сигнатурах, в FFI описал без указателя. Видимо нужно было ffi-generator использовать все таки :)
Google
Gordey22.11.2016
16:21:43
16:21:43
чо здесь происходит ?
Джон22.11.2016
16:22:44
16:22:44
помагите алоо
Джон22.11.2016
16:23:19
16:23:19
ага, забавный зверек )
Anton22.11.2016
20:12:56
20:12:56
в исходниках slack.com
ого, та они походу очень веселые ребята)
у них там только в одном бандле 93 вхождения “WTF”
[Anonymous]22.11.2016
20:20:10
20:20:10
котята, а подскажите почему '.jsx' не жует? что мне нужно установить ещё? пытаюсь в ручную настроить хотрелоад, раньше по стартерам создавал.
http://pastebin.com/kwi66kn6
без хотрелоада стоял бабел лоадер и там стояли пресеты react и es2015
и я понимаю, что нужно как-то это впихнуть в эту строчку
{ test: /\.jsx?$/, loaders: ['react-hot', 'babel'], include: path.join(__dirname, 'src') }
но как именно, это вставить я хз ><
Nikolay22.11.2016
20:40:11
20:40:11
котята, а подскажите почему '.jsx' не жует? что мне нужно установить ещё? пытаюсь в ручную настроить хотрелоад, раньше по стартерам создавал.
http://pastebin.com/kwi66kn6
https://github.com/gaearon/react-hot-boilerplate[Anonymous]22.11.2016
20:44:41
20:44:41
да, видел, но не понятно, можно ли как-то впихнуть в конфиг вебпака, конфиг бабеля, я вот о чем
или нужно создавать бабелрк только
Открыть в Telegram