Artur
ну навіть при початковій інсталяції через composer require evolutioncms/evolution
файл vendor/evolutioncms/evolution/install/index.php , а не тільки cli-install.php на місці. Не дивився, чи є він відкритий десь в публічних докерах. Чи мається на увазі як окремий додаток без роутів туди чи створити nginx/.htaccess без роутів туди замість стандартного?
Artur
видалення папки install відбувається при переході на manager/processors/remove_installer.processor.php?rminstall=1 (там також навіть перевірки немає, хто це видаляє), на це розрахований стандартний сценарій інсталяції.
Dmytro
чи не зробити б нам /install , який використовується для інсталяції та апдейту через веб, більш безпечним, наприклад, шляхом додавання довіреного IP адміна через конфіг, або хоча б прив'язавши можливість входудо IP першого користувача (за допомоги файлової мітки)?
бо скрипт інсталу, по-перше, досить дірявий сам по собі, а по-друге, він же призначений лише для адміна, не повинно бути можливості для умовного бота, що раз на секунду перевіряє у вас на сайті наявність /install щось зробити
Папку інстал тре видаляти після інсталу і нема проблем
𝓔𝓾𝓰𝓮𝓷𝓮
Папку інстал тре видаляти після інсталу і нема проблем
Теж так гадаю
Інстал робиться за 3-5 хвилин
Dmytro
Собственно тому там і нема ніяких перевірок
𝓔𝓾𝓰𝓮𝓷𝓮
Потім делейт да і все
Serhii
Через композер так і робиться
𝓔𝓾𝓰𝓮𝓷𝓮
Ну я можливо щось не розумію, в мене за 10 років ніколи не було моментів реінсталу
𝓔𝓾𝓰𝓮𝓷𝓮
Не бачу в цьому потреби.
Але так, це небезпечно.
Треба просто робити по інструкції
Dmytro
Так воно ж в адмінці ругается якщо не видаленний інсталлер
Artur
я більше про захист. Оце з репорту snyk. SQL легко пофіксити, але ж install це не тільки про інсталяцію, це ще й апдейт. Веб-версія процесу апдейту, яка не через докер та не через композер наскільки я розумію, це все ж таки більше для веб-майстрів ніж для програмістів, тому там все повинно бути безпечно при апдейтах. Апдейт це не реінсталл
Artur
більшість вразливостей що в нас є - це адмінка (ну тобто звичайні користувачі можуть піднімати права до полазити в системі через файлменеджер, WYSIWYG тощо, тому я ніколи не полягаюся на механізми розподілення ролей, якщо менеджер - то вважаємо що може все). Але от саме install - він не для менеджерів, він відкритий для всіх, тому його б закрити.
Maxa
я більше про захист. Оце з репорту snyk. SQL легко пофіксити, але ж install це не тільки про інсталяцію, це ще й апдейт. Веб-версія процесу апдейту, яка не через докер та не через композер наскільки я розумію, це все ж таки більше для веб-майстрів ніж для програмістів, тому там все повинно бути безпечно при апдейтах. Апдейт це не реінсталл
вам вдалось через install щось вразливе виконати чи вам достатньо звіту про вразливості?
Artur
ну як би strip_tags не фільтрує кавички, я це бачу і без виконання
Artur
https://github.com/evolution-cms/evolution/blob/3.2.x/install/src/controllers/install.php#L100
Artur
а в інших місцях, де через функцію створюється строка для виконання в базі, там навіть strip_tags нема https://github.com/evolution-cms/evolution/blob/3.2.x/install/src/controllers/install.php#L774
Artur
Не бачу в цьому потреби.
Але так, це небезпечно.
Треба просто робити по інструкції
» Треба просто робити по інструкції
https://youtu.be/SPZxIjXUVRI?t=14
інструкція каже, що використання install - це один з варіантів, другий це окремий інсталятор. Там неважливо насправді, чи ви будете це робити з командлайна по цьому першому варіанту, чи з вебу - як тільки ви почали з розпаковки чи заливки архіву, в вас все одно лежить на хостингу папка, яка вже доступна усім через веб
Dmytro
Питання секьюрності інсталлера вирішуется на моменті інсталу або апдейту
Єдине питання то можливість залити скрипт інсталлера через стор або створивши сніпет
Але то вже питання інше бо з доступом в адмнінку і так легко добути доступ через той же phx або if
Ну і через дітто або ефоем або доклістер, достатьньо доступ створювати сніпеті в контенті :)
Dmytro
Да і у вкладці резервне копіювання є взагалі техтарея для виконання sql запитів :)
Dmytro
Але якщо важливо секьюріті то використовучі блейд і заблокувавши парсер модх і трохи погравшись з налаштування серверу вирішуєтся на дуже гарному рівні як найменьше сеьюріті іт аудіт від банку і мобільного оператора і не тількі проходили без проблем
Dmytro
Ну а малим кліентам то не тре там достатьно бекапів у хостера , і оновлювати дірки які закриваемо бо там ніякіх фінансовіх і репутаційних ризикив :)
Volodymyr
добрий вечір шановне товариство, трішки офтоп.
Можливо хтось вкурсі де можна скачати windows 7x32. Бажано з українським інтерфейсом.
Або можливо порадите укр. торрент трекер, бо щось дивлюсь на toloka.to, а він якийсь пустий
Volodymyr
Толока працює, треба було авторизуватись
Artur
Питання секьюрності інсталлера вирішуется на моменті інсталу або апдейту
Єдине питання то можливість залити скрипт інсталлера через стор або створивши сніпет
Але то вже питання інше бо з доступом в адмнінку і так легко добути доступ через той же phx або if
Ну і через дітто або ефоем або доклістер, достатьньо доступ створювати сніпеті в контенті :)
» або апдейту
написати скрипт, який буде пробігатися по відомим сайтам на Evo (нехай 100 шт) через rotating proxy сервіс в декілька потоків та робити POST запит раз в секунду на кожному скрипт в install з кавичкою та insert, наприклад, нового адміна - дуже легко, та він може роками жити непоміченим десь на слабенькій віртуалці чи чиємось поламаному сайті.
Ну тобто як тільки адмін будь-якого з цих сайтів розархівує install - менше через секунду до цього сайта вже буде доступ у хакера, відповідно й можливість зробити там будь що.
Репутаційних рисків для маленьких сайтів може й не бути, бо їх покупці не дізнаються, чому саме їх домашні та платіжні адреси з'явилися з їх іменами (та цікавими покупками) десь на хакерському сайті в базі. Але ж кому хочеться самому туди попасти
Yevhenii
Всім привіт, питання до бувалих. На серверi з 1ГБ RAM чиста свiжа ево+slang вибиває помилку, що не вистачає пам'ятi, причому в помилцi пише що доступно лише 128 мб.
Fatal error: Allowed memory size of 134217728 bytes exhausted (tried to allocate 262144 bytes) in /var/*******/core/vendor/illuminate/container/Container.php on line 878
В ssh команда top показує гiг. Хостинг каже, що проблем на iх сторонi нема, вона точно в скриптi. Як дiзнатись справжню причину?
𝓔𝓾𝓰𝓮𝓷𝓮
Здається в скрипті
𝓔𝓾𝓰𝓮𝓷𝓮
в мене щось подібне було пару раз з Slang
𝓔𝓾𝓰𝓮𝓷𝓮
я так і не зрозумів що воно таке та чого так, просто переустановив да і все
𝓔𝓾𝓰𝓮𝓷𝓮
але там може бути десь цикл по запиту
𝓔𝓾𝓰𝓮𝓷𝓮
ото воно і грузе
𝓔𝓾𝓰𝓮𝓷𝓮
гляньте, там повинно бути
𝓔𝓾𝓰𝓮𝓷𝓮
в логах сервера.
𝓔𝓾𝓰𝓮𝓷𝓮
це дивно
𝓔𝓾𝓰𝓮𝓷𝓮
в мене був лог забитий, постійно були циклічні запити, котли наприклад я переходив на інший ресурс (сторінку)
Yevhenii
я так і не зрозумів що воно таке та чого так, просто переустановив да і все
дякую за вчорашню пораду, перевстановив - запрацювало
Але цiкавий факт - як тягнув композером-глючило, забрав з гiтхабу - норм. Цiкаво.
Vitaliy
гайз. хто використовує smtp.gmail.com замість mail(), були неполадки сьогодні/на днях?
Maxa
@Dmi3yy , @seigerit : це https://extras.evo.im ще працює?
Serhii
Я не вкурсі. Туди ще не добрався.
Serhii
Здається кожен хто відповідає за пакет, той і слідкує
Maxa
а є якісь зв'язок між https://extras.evo.im та https://github.com/orgs/extras-evolution/repositories ?
Serhii
Здається кацапи віджали у нас права туди. Але то @Dmi3yy краще знає.
Serhii
У мене туди нема доступу.
Dmytro
Так до репозіторію доступа нема він у русні.
Але замінити лінк на пакет не є проблема тому якщо якійсь пакет має кращій репозіторій то кидайте лінк я оновлю
Dmytro
На ділі тре створити новий і туди закинути все що треба
Dmytro
Бо це ж опенсорс клонувати репозіторій задача на 2хв
Maxa
Здається кацапи віджали у нас права туди. Але то @Dmi3yy краще знає.
там в People значиться дві особи, одна з них yama. це ж не русня? міг би повернути доступ )
Serhii
там в People значиться дві особи, одна з них yama. це ж не русня? міг би повернути доступ )
Ну, кацап це не про національнвсть...
Maxa
Так до репозіторію доступа нема він у русні.
Але замінити лінк на пакет не є проблема тому якщо якійсь пакет має кращій репозіторій то кидайте лінк я оновлю
та було питання стосовно "репозиторіїв "на сайті та як воно працює. бачив Мій репозиторій, але не зрозуміло він private чи public.
Dmytro
там в People значиться дві особи, одна з них yama. це ж не русня? міг би повернути доступ )
Вроді спілкувався з ним але не памʼятаю що там було. Але і негативу не памʼятаю :). Yama з Японіі
Dmytro
та було питання стосовно "репозиторіїв "на сайті та як воно працює. бачив Мій репозиторій, але не зрозуміло він private чи public.
Воно тількі з паблік працює ба стягує просто по гіт
Dmytro
Щоб приватні працювали то тре авторізацію допілювати але то не має сенсу бо це легше зробити через екстрас який з композером працює
Dmytro
Бо там тоді нативна авторизація йде
Maxa
тобто якщо я додаю на сайт в Мій репозиторій щось його побачать усі?
Dmytro
В цілому то ідея якраз і була в тому що ми переробили технічну частину в Ево 3 щоб воно працювало з композером нативно а до UI модуля не добрались
Dmytro
тобто якщо я додаю на сайт в Мій репозиторій щось його побачать усі?
Ось там ні, ніхто не бачить
Dmytro
Верніше як:
Воно доступно у списку тільки якщо авторизувались в адмінці в учетку а так його не видно
Dmytro
Там логіка в тому що на ділі пакет == лінк на zip
Maxa
Ось там ні, ніхто не бачить
тоді усі пакети на сайті це не з "Мій репозиторій" тягнеться а з іншого місця і додається окремо навченою людиною, так?
Dmytro
Extras працює на ево там пакет Це документ в адмінці
Dmytro
Можу дати доступ якщо є бажання навести там порядок
Maxa
Extras працює на ево там пакет Це документ в адмінці
тобто хтось має/мав час та додавав пакети на сайт. ок )
Dmytro
тобто хтось має/мав час та додавав пакети на сайт. ок )
Відсотків 90 то я робив :)
Бо це було в часи коли треба було збирати по 2-3 сайти на тиждень то був сенс зібрати все до купи щоб оптимізувати процес розробки і максимально його пришвидшити
Serhii
Я більше налаштований на встановлення пакетів через Композер.
Maxa
Я більше налаштований на встановлення пакетів через Композер.
варіант "вказати в Extras на zip архів" та натиснути Install - дуже розслабляє :)
Serhii
варіант "вказати в Extras на zip архів" та натиснути Install - дуже розслабляє :)
Згоден. Все ще не добрався щоб це реалізувати.
Dmytro
Я більше налаштований на встановлення пакетів через Композер.
Ну так ти обираєш консольний варіант а треба UI
Dmytro
Да і все бо як раз технична частина вона 100% має бути через композер бо це універсальний менеджер пакетів в цілому для php і тут не тре писати велосіпедів
Null
Створення простого блогу на Evolution CMS https://youtube.com/playlist?list=PL8n893kQxfwkImEHFPk8lhv3Q9t14mf9W&si=OOkBPxtzrLKT6XCU
Yevhenii
Дякую за відеокурс. Там уроків 8 чи 10 ? Останні файли в плейлисті приховані
Serhii
Дякую за відеокурс. Там уроків 8 чи 10 ? Останні файли в плейлисті приховані
Поки що 10. Але буде новий сезон як трохи розвантажусь.
Serhii
Наразі активно sCommerce займаюсь.