Mihail
Ребят есть вопрос. Есть сайт с товарами у товаров есть материал-свойство. К примеру там из Кожи сделан или из Пластика. Суть какая, эти парметры отображаются в фильтре. При загрузке из Файла а там написано все через запятую то получается он грузит это как один тег. Как можно из файла чтобы он разделял?
Сергей Шлоков
Да,
->getObject('xxxx', array('field' => $_GET['field']))
без уязвимости, в отличии от ->getObject('xxx', $_GET['field']);
А сам в PR минишопа просто приводишь к типу int. 😄
Evgeniy
Я за. А Иван, наверно, будет ругаться как обычно 😄
Если грубо, то первая проблема которая была обнаружена в xpdo (а точне, меня интересовал массовый взлом и эта проблема присутсвовала почти во всех компонентах) - отсутствие фильтрации входных параметров. Изначально я выбрал вектор атаки - подмена запросаа кавычками. Получилось что-то вроде ->getObject('xxxx', '`тут какой-то UNION`');
Anonymous
И?
Evgeniy
Это пофисили добавив в ядро что-то вроде https://github.com/modxcms/revolution/blob/2.x/core/xpdo/om/xpdoquery.class.php#L112
Evgeniy
Т.е. первый багрепорт из-за тильды
Evgeniy
Вторая идея была - не использовать вообще кавычки и тильды. Поправили тут https://github.com/modxcms/xpdo/commit/305f2ba75c09a396e33a3b8508f0110524e28301
Evgeniy
Сейчас третий этап - использование массивов
Evgeniy
Вот PR который не закрывает уязвимость, а наоборот нормализует работу скрипта https://github.com/gvozdb/phpthumbon/pull/3
Mihail
Evgeniy
Парни, помогите решить задау для сына)
Evgeniy
В двух четвертых класах 55 учащихся. Сколько учащихся в каждом классе, если в одном из них учащихся больше, чем в другом, на 3 человека? Схематический чертеж поможет тебе решить задачу.
Миша
а смысл указывать какой класс
Evgeniy
Такая задача
Evgeniy
Если я решаю задачу, что в каждом классе на 3 учащихся больше, то это задача с двумя неизвестными. Нехватает данных. Если я решаю защачу, что просто в одном из классов на 3 учащихся больше, то получается 3 верных ответа.
Evgeniy
Пиздец, простите. Начальная школа
Миша
у меня дочка во втором классе, я сам иногда офигиваю
Anonymous
Рисунок рисовать нужно
Anonymous
x+(x+3) = 55
52 = 2x
x = 52/25 = 26
Mihail
Пусть х человек будет в одном классе, х+3 в другом классе.
х + х + 3 = 55
2х =55-3
2х =52
х =26
Класс № 1 = 26 чел.
Класс № 2 = 26 + 3 = 29 чел.
Сергей Шлоков
Сергей Шлоков
Упс, уже написали.
Mihail
Dmytro
1 Клас (55-3)/2 = X
2 Класс = X+3
Evgeniy
x+(x+3) = 55
52 = 2x
x = 52/25 = 26
Да, ?А почему Х и Х равны? Y - классы, а Х - человек в классе. Правильное уравнение
Y * (X + 3) = 55
Anonymous
Откуда умножение взялось?
Anonymous
Ребёнок в каком классе?
Evgeniy
В каждом классе по Х человек
Evgeniy
всего Y классов
Anonymous
Классов 2
Anonymous
Известно же
Сергей Шлоков
Да, ?А почему Х и Х равны? Y - классы, а Х - человек в классе. Правильное уравнение
Y * (X + 3) = 55
Потому что х - это одинаковое число в обоих классах.
Anonymous
Evgeniy
Потому что х - это одинаковое число в обоих классах.
А где сказано, что число учащихся одинаковое?
Миша
😂😂😂
карнас
😂 это пздц)
Сергей Шлоков
Да
Чувствую себя человеком, который прочитал загадку и уже лезет читать отгадку. Ни хрена не понимаю, почему Васин фикс не работает.
Sentinel
Ребят, а кто то делал здесь эту работу? Если да, постучитесь в личку плиз...
https://modx.pro/work/14328
Evgeniy
Чувствую себя человеком, который прочитал загадку и уже лезет читать отгадку. Ни хрена не понимаю, почему Васин фикс не работает.
Потому, что если в условия запроса передать массив, а в массиве использовать что-то вроде EXISTS/IN и т.п. , то внутри скобок можно указать подзапрос.
Evgeniy
Да, результат вывода ты не увидишь, но запрос выполнится. Если нет возможности использовать IF для явной идентификации, то можно использовать тайминги. Если твой запрос обраатывается Х секунд, то запрос выполнился, а если у - то нет.
Evgeniy
Если интересно, то загугли blind sql injection time based
Сергей Шлоков
Так а смысл, если результата не видно?
Сергей Шлоков
Лезть в код неохота. Но вроде тема была, что если передать массив, то будет создан подготовленный запрос. Разве не?
Evgeniy
Так а смысл, если результата не видно?
Смсысл в том, что если очень нужно, то можно сбруить данные из базы
Evgeniy
Смсысл в том, что если очень нужно, то можно сбруить данные из базы
Я думаю очень актуально для http://www.mil.gov.ua/
Sentinel
Да
Mihail
а какие популярные сайты есть на модексе?) где то есть список?)
Mihail
можно в личку а то проспал)
Evgeniy
summerfest.com
jewishnews.com.ua
xn----ctbhofdbekubgb2addy.xn--p1ai
call-centervko.kz
ostirke.ru
klinika29.ru
feldhaus.ru
o-ws.ru
detalikuzova.by
ib-t.by
raskachaem.ru
marcandandre.com
c20337.shared.hc.ru
hisradio.com
business-platform.ru
insysrx.com
harleytherapy.co.uk
andersdx.com
footmanjames.co.uk
bsm.co.uk
mbp.inpsycho.ru
clinic.inpsycho.ru
egemetr.ru
codelibs.org
futurefit.co.uk
modxcloud.com
gigantmebeles.lv
merch.modmore.com
solvex.ru
zoloto-md.ru
blackdesert.info
ww12.all-tv.org
eric.bayguzin.ru
minzdrav.sakhalin.gov.ru
Evgeniy
По алексе отсортированы
Th0r
Evgeniy
https://trends.builtwith.com/framework/MODX
Если есть выгрузка, поделитесь? Покупать не охото(
Evgeniy
https://trends.builtwith.com/framework/MODX
Россия, Беларусь, Казахстан, Украина, Узбекистан, Лативия... На нас по сути ориентированы разработчики!
Mihail
посмотрел список но не могу сказать что показав потенциальному клиенту этот список он не скажет а ля типо - о фига Бауманка на модексе тоже хочу.....
Mihail
сайты так себе
Роман
summerfest.com
jewishnews.com.ua
xn----ctbhofdbekubgb2addy.xn--p1ai
call-centervko.kz
ostirke.ru
klinika29.ru
feldhaus.ru
o-ws.ru
detalikuzova.by
ib-t.by
raskachaem.ru
marcandandre.com
c20337.shared.hc.ru
hisradio.com
business-platform.ru
insysrx.com
harleytherapy.co.uk
andersdx.com
footmanjames.co.uk
bsm.co.uk
mbp.inpsycho.ru
clinic.inpsycho.ru
egemetr.ru
codelibs.org
futurefit.co.uk
modxcloud.com
gigantmebeles.lv
merch.modmore.com
solvex.ru
zoloto-md.ru
blackdesert.info
ww12.all-tv.org
eric.bayguzin.ru
minzdrav.sakhalin.gov.ru
Сложно поверить, что на этих сайтах посещаемость превышает 10-20 уников в сутки…
Evgeniy
Сложно поверить, что на этих сайтах посещаемость превышает 10-20 уников в сутки…
Сорян. отсортировал по дате добавления в базу
Evgeniy
Сложно поверить, что на этих сайтах посещаемость превышает 10-20 уников в сутки…
kkb.nur.kz
kfm.gov.kz
kz.energo.gov.kz
bko.gov.kz
bilimvko.gov.kz
nebesna.pravda.com.ua
notepad-plus-plus.org
gorcveti.tomsk.ru
sonata.tomsk.ru
safety.vl.ru
abiturient.tpu.ru
ekb9.sletat.ru
charters.support-dev.sletat.ru
russia.support-dev.sletat.ru
hosting2.sletat.ru
cheb2.sletat.ru
ekb.sletat.ru
spb10.sletat.ru
barnaul22.sletat.ru
mon.gov.ua
dmsu.gov.ua
davno.ru
runews24.ru
examen.ru
l-electronics.96.lt
bionet.nsc.ru
sport-centre.synergy.ru
regions.synergy.ru
questback.com
synergy.ru
summerfest.com
justscoundrel.myjino.ru
sbriciolo.netsons.org
assettocorsa.club
newtimes.ru
vse-raskraski.ru
gips.org
a0086309.xsph.ru
c20334.shared.hc.ru
c20337.shared.hc.ru
clinic.inpsycho.ru
mbp.inpsycho.ru
uaz.ru
draytek.com
stkate.edu
rus-fishsoft.ru
mz-clinic.ru
b2b.seven-sky.net
printclick.ru
uaztts.ru
bayguzin.ru
eric.bayguzin.ru
hostwash.mcdir.ru
evgeniypopov.com
saloncentr.ru
sbs.edu.ru
u46739.netangels.ru
itchief.ru
vklybe.tv
maksavit.ru
seo-akademiya.com
dostaevsky.ru
basketblog.gr
animeru.tv
expo2017astana.com
gkbrsm.grodno.by
file.modx.pro
en.modx.pro
id.modx.pro
inpsycho.ru
shopmodx.h1n.ru
agitblog.ru
kras.ru
elderscrollsonline.info
pmlp.gov.lv
forexfraud.com
nau.edu.ua
g-ek.com
4.lpo09.z8.ru
gru.spb.su
hymer.com
alertlogic.com
vgif.ru
tsutmb.ru
api.vtt.ru
c-t-s.ru
buytoplay.ru
agros.obninsk.ru
lingvister.ru
modx.pro
belmontstakes.com
torshina.me
mirprognozov.ru
volmed.org.ru
ww12.all-tv.org
transakpp.ru
growinggarden.ru
big-funny.com
afterpay.nl
remont.portative.by
Evgeniy
TOP-100
Evgeniy
О, наши kz засветились
notepad-plus-plus.org
davno.ru
runews24.ru
examen.ru
questback.com
synergy.ru
summerfest.com
assettocorsa.club
newtimes.ru
vse-raskraski.ru
gips.org
uaz.ru
draytek.com
stkate.edu
rus-fishsoft.ru
mz-clinic.ru
printclick.ru
uaztts.ru
bayguzin.ru
evgeniypopov.com
saloncentr.ru
itchief.ru
vklybe.tv
maksavit.ru
seo-akademiya.com
dostaevsky.ru
basketblog.gr
animeru.tv
expo2017astana.com
inpsycho.ru
agitblog.ru
kras.ru
elderscrollsonline.info
forexfraud.com
g-ek.com
hymer.com
alertlogic.com
vgif.ru
tsutmb.ru
c-t-s.ru
buytoplay.ru
lingvister.ru
modx.pro
belmontstakes.com
torshina.me
mirprognozov.ru
transakpp.ru
growinggarden.ru
big-funny.com
afterpay.nl
global.weir
a9.com
ulia.net
essen-bei-sodexo.de
russkievesti.ru
hosting-ninja.ru
modxcloud.com
invoicebox.ru
comixbook.ru
xn--80awam.kz
ardamax.com
radiozvuk.com
tulun-admin.ru
realadmin.ru
cosmopolitonline.ru
school-remont.tv
apalienko.com
animalsasia.org
demis.ru
softcat.com
ideco.ru
miniquadtestbench.com
gebetsroither.com
goldrussian.ru
otdyh-bez-posrednikov.ru
doomxtf.com
vovremia.com
pobeda26.ru
nanoplast-forte.ru
hisradio.com
iiko.ru
rgisi.ru
alg-massage.ru
bir.by
chem-polezno.com
business-platform.ru
raskachaem.ru
xn----8sbaphmhjgygfxfk.xn--p1ai
totaltest.ru
xn----ctbhofdbekubgb2addy.xn--p1ai
animal-store.ru
avk-wellcom.ru
iskatel.info
cha.ru
truelaunchbar.com
cityinfo.kz
covalentworks.com
esphere.ru
calcoast.edu
k-lightshop.ru
Evgeniy
TOP-100 доменов первого уровня
Миша
modx.kz))
Evgeniy
Холивар поднимем? Evolution смотреть будете?
Anonymous
А я что-то вот этого сайта не увидел в топе https://www.flyuia.com/manager/
Роман
Холивар поднимем? Evolution смотреть будете?
Конечно, будем.
Но интересна статистика, а не список.
Т. е. что-то типа:
<сайт> — <посещаемость> (даже лучше <rps>)
Evgeniy
А я что-то вот этого сайта не увидел в топе https://www.flyuia.com/manager/
Ну у меня не весь интернет в базе. Не по всем сайтам проверены CMS и Alexa. Я скинул только то, что 100% есть
Anonymous
Ну у меня не весь интернет в базе. Не по всем сайтам проверены CMS и Alexa. Я скинул только то, что 100% есть
А я думал это у тебя так откуда-то содранная база