Size: a a a

2021 December 15

RB

Roman Bolkhovitin in rannts
Он как бы есть, но кто его должен настраивать я не знаю, кажется что наши же безопасники, но есть подозрение что они его тупо готовить не умеют — он то просто падает, и до нас трафик тупо не доходит, то TLS-хэндшейки по полсекунды на этом WAF-e. Короче работает в режиме "от безопасников одни проблемы", а мы за ним сидим и учимся правильно запросы подписывать 😊
источник

SA

Sergey Arkhipov in rannts
что это за кошмар вы такой купили, если не секрет?
источник

RB

Roman Bolkhovitin in rannts
кажется Imperva, но могу обмануть, точно не знаю. Ну и я повторюсь, я сомневаюсь что дело в самом WAF'e
источник

KK

Kirill (Cykooz) Kuzm... in rannts
Нее, нельзя живые токены в базе хранить. Максимум какой-то ID от них. А то хацкер базу сольёт и все токены прочитает.
источник

AZ

Alexander Zelenyak in rannts
Это правильно, да. Я предложил просто один из вариантов решения. Плохой.
источник

AZ

Alexander Zelenyak in rannts
Хотя не сильно плохой. Окно гонки небольшое и строго на время окна можно положить токен в какое-нить автоматически очищаемое хранилище.
источник

AZ

Alexander Zelenyak in rannts
Без доступа на получение списка значений.
источник

SA

Sergey Arkhipov in rannts
Если у тебя хакер базу сольет, то чего ты о токенах переживаешь
источник

KK

Kirill (Cykooz) Kuzm... in rannts
Ну слить можно по разному. Например через уязвимость в API как-то суметь вычитать одну табличку из базы. Ну или просто получить доступ к базе, но ни к чему другому. Т.е. к бекенду, к хранилищу файлов или ещё чего нет доступа. Т.е. можно из базы только метаданные узнать, а реально полезный контент где-то в другом месте лежит.
источник

RB

Roman Bolkhovitin in rannts
😆😆
источник

RB

Roman Bolkhovitin in rannts
«О чём они говорят?»
источник

💭П

💭 Руслан Прохоров... in rannts
ахахаахахах
источник

SZ

Sergey Z in rannts
В питоне подобное возможно провернуть через f-strings?
источник

KK

Kirill (Cykooz) Kuzm... in rannts
Нет, нельзя. Т.к. там оно не в рантайме обрабатывается на самом деле.
источник

KK

Kirill (Cykooz) Kuzm... in rannts
По сути это сахарок поверх старого доброго %s и ко.
источник

с

сонная википедия... in rannts
а %s когда обрабатывается?

в log4j две проблемы
1) текст сообщения не эскейпится и не отделяется от форматирования
2) какой-то умник решил, что будет отличной идеей в форматинг засунуть сетевые запросы
источник

SZ

Sergey Z in rannts
смотрю я на ваш ник :) и думаю что это была неплохая попытка поломать телегу. простите :)
источник

SZ

Sergey Z in rannts
взываю о помощи к макоюзерам, как в этих наших сафари переключать вкладки хронологически????
мне не надо влево на одну, не надо вправо на одну, и совсем не надо по номерам, которых я никогда не знаю.
мне надо на предыдущую использованную в обратном хронологическом порядке. как в фф, как вроде бы можно в хроме.
источник

SZ

Sergey Z in rannts
интернеты совсем не помогают
источник

SA

Sergey Arkhipov in rannts
Серёг, так ты пользуйся фф тогда. Я вот им пользуюсь
источник