Тенпеннай
apropos
Тенпеннай
кое-кто тут про xss кукарекал
Тенпеннай
а хранение файлов разметки в директории, доступной из интернета, с возможностью писать в них - это что?
Тенпеннай
лучшие практики по безопасности веб-сайта?
Тенпеннай
прямиком с курсов Попова?
Varyen
а что ты будешь делать, если для выполнения задачи тебе надо дать возможность из админки редактировать какие-то куски кода
Varyen
тут в любом случае риск
Varyen
а где они будут храниться это уже неважно
Тенпеннай
а где они будут храниться это уже неважно
ну, например, если они хранятся в папке сайта - это одно. А если ты их хранишь выше уровнем, и можешь туда писать - это другое
Varyen
так условие - можно писать, раз из админки :)
Тенпеннай
дык зачем ему
Тенпеннай
послушал посонов в падике, которые говорят "Попов заебца"
Тенпеннай
скачал на рутрекере
Тенпеннай
а потом свой BolgenBitrix пилишь
Golodnyi
а хранение файлов разметки в директории, доступной из интернета, с возможностью писать в них - это что?
никто через админку сайты не правит, есть локальная среда, в ней и разрабатываешь, насмотрятся вордпресса.
Golodnyi
про документ рут почитай и посмотри что там должно находиться
Тенпеннай
Тенпеннай
про документ рут почитай и посмотри что там должно находиться
вот ты и предлагаешь дать свозможность писать в документ рут
Sergey
никто через админку сайты не правит, есть локальная среда, в ней и разрабатываешь, насмотрятся вордпресса.
т.е. wordpress, bitrix и прочих modx в твоём мире не существует?
Golodnyi
из вне доступен тольк index.php и статика, все остальное за пределами документ рута, ну в самом деле
Golodnyi
т.е. wordpress, bitrix и прочих modx в твоём мире не существует?
это эталон наихудших практик, эти вещи писали когда тебя еще на свете небыло, тогда хакерство небыло так развито
Тенпеннай
из вне доступен тольк index.php и статика, все остальное за пределами документ рута, ну в самом деле
т.е. писать в файлы за пределы документ рута?
Varyen
лол, как это не было
Тенпеннай
офигенно
Golodnyi
смотри в симфони, ларавель, если хочешь нормальные практики увидеть
Sergey
это эталон наихудших практик, эти вещи писали когда тебя еще на свете небыло, тогда хакерство небыло так развито
я бы воздержался от перехода на личности
Varyen
phpbb все массово ломались только так, а это было очень давно
Golodnyi
т.е. писать в файлы за пределы документ рута?
в файлы вообще писать не надо, но если уж очень хочется, то да
Тенпеннай
т.е. любой, кто похачит твой сайт, автоматически и весь сервер похачит?
Golodnyi
я бы воздержался от перехода на личности
причем тут личности, все старые цмс не рекомендуются как пример программирования, мир сильно изменился с тех пор
Golodnyi
т.е. любой, кто похачит твой сайт, автоматически и весь сервер похачит?
че он похачит? как?
Тенпеннай
причем тут личности, все старые цмс не рекомендуются как пример программирования, мир сильно изменился с тех пор
да, начали за пределы вебрута писать
Golodnyi
не за пределы дирректории сайта, а за пределы документ_рута, то что в веб смотрит
Тенпеннай
которому можно писать на сервер туда же, куда и веб-серверу
Sergey
причем тут личности, все старые цмс не рекомендуются как пример программирования, мир сильно изменился с тех пор
ты путаешь код и ux, второе в них отличное
Golodnyi
вряд ли я тебе что то объясню, просто читай больше
Тенпеннай
не за пределы дирректории сайта, а за пределы документ_рута, то что в веб смотрит
как ты ограничишь-то?
Sergey
там почти всё можно делать
Golodnyi
про линуксы я тебе точно не буду объяснять)
Varyen
его обожают те, кто его продают и делают на нем сайты как партнеры :(
Golodnyi
/me ушел
Тенпеннай
насколько это хорошо
Andrey
еще один irc-джедай…
Тенпеннай
позволять писать сайтам что-то в файловую систему
Sergey
и пользователи у него html не пишут
Varyen
а вы храните все файлы с r--r--r— реально?
Евгений
обычно 644
Varyen
ну и всё, если 0644 - можно писать, сервер то обычно запущен от того же пользователя
Тенпеннай
Varyen
мм, я кстати тоже
Varyen
но наверное можно
Sergey
Varyen
смотрите я о чем, если у вас php-fpm запущен от websitename:websitename и файлы сайта пренадлежат ему же, то они вполне смогут друг друга менять
Евгений
700
Varyen
владелец то совпадает
Sergey
Varyen
немного стало, надо подумать на эту тему )
Sergey
сайт генерирует кэш, шаблоны в php переводит, файлы от пользователей принимает. Почему он не должен уметь писать?
Varyen
если кеш у тебя делается самим php, то должен уметь
Varyen
ай ладно, мы уже о разных вещах
Sergey
чувак с xss странный изначально был
Sergey
каким образом возможность записи html в бд или файл может на xss влиять?
Dmitry
Всем привет! Подскажите, кто работал с modx, откуда подтягивается часть урла что идет перед /assets?
/core/config/config.inc.php переменная $modx_assets_path
B
Golodnyi
каким образом возможность записи html в бд или файл может на xss влиять?
Защита от xss заключается в том, что ты внедряемый код интерпретируешь как текст, через, обрабатывая все переменные вывода, если ты шаблоны выводишь из БД, ты не можешь это интерпретировать как текст, т.к. Тебе шапку как хтмл надо отрисовать, соответственно сли тебе в шапку внедрят код, он исполнится и твои куки убегут хакеру
Golodnyi
С телефона неудобно, но захочешь писать нормальный код, сам почитаешь
Евгений
Защита от xss заключается в том, что ты внедряемый код интерпретируешь как текст, через, обрабатывая все переменные вывода, если ты шаблоны выводишь из БД, ты не можешь это интерпретировать как текст, т.к. Тебе шапку как хтмл надо отрисовать, соответственно сли тебе в шапку внедрят код, он исполнится и твои куки убегут хакеру
интересно, что же я из бд получаю...
Golodnyi
Белый список хтмл блока шапки?)
Sergey
да