Меню
Что нового?

интересная уязвимость в проектах, которые используют svn

Wicked

Wicked

Новичок
whirlwind
боян - потому что лично ты прочитал на хабре ранее?
или боян - потому что это уязвимости сто лет в обед, и она посему неактуальна?
 
Krishna

Krishna

Продался Java
Это потому, что куча идиотов заливает через свн файло на боевой сервер, не понимая для чего он вообще нужен.
 
Dovg

Dovg

Продвинутый новичок
Krishna
А как настоящие джедаи заливают файло на боевой сервер?
 
Adelf

Adelf

Administrator
Команда форума
Боян, потому, что вещь довольно очевидная :) неужели в .svn ради интересу не заглядывал?
Я никогда свном не заливал файлы на сервак. Отдельным механизмом надо.
 

MiksIr

miksir@home:~$
А вообще все глубже - поколение windows =) Не зря служебная папка svn начинается с точки, как и многие скрытые файлы.
 
Krishna

Krishna

Продался Java
Dovg
Заливают как угодно, главное что они пользуют систему контроля версий для разработки проекта, а не заливки чего-либо на боевой сервер.

Типичная совковая манера - прогер девелит на рабочей станции, нередко под виндой и каким-нибудь денвером, чтобы потом закоммитить изменения в свн/цвс, после чего увидеть, что на рабочем сервере всё упало, поправить, заново закоммитить.
 

ys

отодвинутый новичок
А что, еще у кого-то разрешен доступ в http сервере к тем местам, которые в конечном итоге оказываются директориям и файлами, начинающимся с точки?
 
DiMA

DiMA

php.spb.ru
Команда форума
есть еще одна, не то что уязвимость, а место для разнообразных багов

Пока SVN заливает в каталог новую версию проекта (процесс, допустим, длится 5 минут из-за большого числа файлов), в какой-то момент времени веб-скрипт может подключить 2 нужных разных библиотеки из старой (еще не обновившейся) и новой версий (уже обновившейся).

Решается так же элементарно, если голову включить и задуматься.
 
fixxxer

fixxxer

К.О.
Партнер клуба
Ага, и мало того, что деплоить надо в новый фолдер - надо еще после деплоя менять в конфиге веб сервера путь к докруту (а не юзать например симлинки) и релоадить конфиг - иначе бывает что вылазят глюки с отдачей старого закэшированного байткода из акселератора.

Кстати практически во всех современных фреймворках в докруте достаточного одного index.php в пяток строк. Ну не считая статики.
 
whirlwind

whirlwind

TDD infected, paranoid
боян, потому что если ты хоть раз разбирал дефолтный httpd.conf, то ежу понятно, что

<FilesMatch "^\.ht">
блаблабла

это того же поля ягода. А если не читал, ну тогда это твои проблемы. Ващето эти 5 строк в дефолтном конфиге уже лет эдак пять.

-~{}~ 24.09.09 01:08:

PS. но проблема тут лежит несколько в другой плоскости, на самом деле. Проблема из разряда - как мне защитить мой любимый гавнакод, чтоп его не спизд*ли.
 
antson

antson

Новичок
Партнер клуба
Вообшем тема поста в том, что разработчики ленивы, то что так делать нельзя говорил чуть ли не с момента появления svn.
Напоминали и в этом году, а вся заслуга кулцхакеров, в том, что огласили размер пофигизма.
 
FractalizeR

FractalizeR

Новичок
Не совсем понятно, почему это называется "уязвимость". Это не уязвимость, это невнимательность пользователей системы. Так ведь и файлы с паролями можно по FTP закачать и сказать, что это уязвимость.
 

Farsh

~ on ~ high ~ wave ~
А я ток что в логах запалил, как уже кто-то из Нидерланд пробивается в /.svn/entries .
Видимо народ засуетился ;)
 
fixxxer

fixxxer

К.О.
Партнер клуба
Автор оригинала: whirlwind
боян, потому что если ты хоть раз разбирал дефолтный httpd.conf, то ежу понятно, что

<FilesMatch "^\.ht">
блаблабла

это того же поля ягода. А если не читал, ну тогда это твои проблемы. Ващето эти 5 строк в дефолтном конфиге уже лет эдак пять.
Нажмите для раскрытия...
причем давно пора по дефолту поменять на "^\."

.svn, .git, .ftppasswd etc
 
Войдите или зарегистрируйтесь для ответа.
Сверху