michurin Nov 13 2009 at 16:53

Введен в строй сайт Perl.org — первые дыры (upd: уже заткнули)

2 min

878

Information Security*

+68

Comments 62

Andrey_Rogovsky Nov 13 2009 at 17:03

А может стоит написать? Это все можно прикрыть через mod_security, малой кровью

michurin Nov 13 2009 at 17:07

Вот сижу и думаю, как бы это вежливо написать… Как ни напиши звучит примерно как «сэры, вы обосрались». Неужто перл совсем сдох? :-( Ясно, что все там будем, но не ранова-то ли?

UFO landed and left these words here

otaqsun Nov 13 2009 at 18:27

А с другой стороны получается что если больно и показательно не бить, то как то история повторяется раз за разом.

moadib Nov 13 2009 at 17:12

Бегло прочитал — «Выведен из строя» :) Судя по содержанию поста можно и так читать :)

Napolsky Nov 13 2009 at 17:16

обидно за перл =(

vazik Nov 13 2009 at 17:20

Перл не при чем, а вот кодеры…

rev Nov 13 2009 at 17:20

Look at you, hacker. A pathetic creature of meat and bone. How can you challenge a perfect, immortal programming language?

zw0rk Nov 13 2009 at 17:35

так вроде к ЛИСПу у автора претензий в посте нет :))

UFO landed and left these words here

alist Nov 13 2009 at 19:35

За грам_м_атику и орфографию, вы хотели сказать? Держите плюс, чтоб не расстраиваться. С пятницей вас и приятных выходных :)

kossnocorp Nov 13 2009 at 17:24

Все у них с версткой в порядке, по крайней мере со стороны юзера.

Слона из мухи.

Kicker Nov 13 2009 at 18:27

вопроса два:

1. какой у Вас FF стоит?
2. И что Вы имеет ввиду когда пишете — «по крайней мере со стороны юзера»?

kossnocorp Nov 13 2009 at 18:43

3.5

Внешне все ок, код смотреть не стал.

Zada Nov 13 2009 at 17:25

А вам не кажется, что именно Perl.org и то что у вас на скриншоте могут быть совершенно разными вещами? На вид разница между ними лет 5. Вывод: желтый заголовок.

CriggerMarg Nov 13 2009 at 17:35

а вы заходить не пробовали на сайт?
заболели все вокруг, понимаешь, желтыми заголовками

imps Nov 13 2009 at 18:02

лично у меня по ссылке ничего похожего на скриншот

imps Nov 13 2009 at 18:02

Да и судя по заголовкам там всё таки:
Apache/2.0.55 (Unix)

Zada Nov 13 2009 at 19:40

Естественно пробовал. Вы говорите о Perl.org, а ваша ссылка ведет на perldoc.perl.org — разницу видите?

false Nov 13 2009 at 17:45

Дыры сделали специально. Черный пиар нах!

Captcha Nov 13 2009 at 18:02

Прикрыли, похоже, багу с XSS

UFO landed and left these words here

spiritedflow Nov 13 2009 at 19:11

Уже второй раз на хабре вижу этот прием. Начинают с какой-нибудь провокации, как здесь «опенсорс по сути == коммунизм», а заканчивают «не холивара ради».

Хитро, однако. Зерно холивара посадили, а сами в белом, и троллем-холиварщиком уже будет отвечающий. Как это называется? Скрытый троллинг? Троянский тролль? :)

UFO landed and left these words here

gonzo Nov 13 2009 at 18:07

Слева внизу есть раздел Contact и там ссылка на автора сайта и FAQ по сайту:

I've found a problem with the website…

If you come across any issues with the perldoc.perl.org website itself (e.g. formatting errors, missing pages, etc) then contact me at jj@jonallen.info, or raise an issue on the GitHub repository.

egorinsk Nov 13 2009 at 18:12

Мда, сказывается заморочность Перла, мало того, что хрен разберешься, так еще и на дыры провоцирует. Все же это язык для простых консольных скриптов, а не веб-приложений!

Pilat Nov 13 2009 at 19:43

А ещё это язык не для идиотов, не понимающих что такое XSS

gonzo Nov 13 2009 at 18:14

И, кстати, perldoc.perl.org != perl.org, это два разных сайта все-таки.

michurin Nov 13 2009 at 18:21

Там много что обновилось. Совершенно точно обновились dbi.perl.org и learn.perl.org, за perldoc.perl.org побожиться не могу, но раньше я там багов не замечал. (а люблю подковырнуть сайтик :-))

gonzo Nov 13 2009 at 19:24

У perldoc.perl.org — другой автор. Там даже визуально стиль другой. Контакты есть на сайте, где — я написал выше. Контакты команды perl.org можно найти по ссылке Site info справа внизу:
www.perl.org/siteinfo.html

Honeyman Nov 13 2009 at 18:17

Когда весь мир делал статические веб-странички, Perl-хакеры писали CGI-скрипты!

Когда весь мир делает AJAX-сайты на MVC-фреймворках, Perl-хакеры… пишут CGI-скрипты.

michurin Nov 13 2009 at 18:23

Не надо грязи в солдатских песнях! Посмотрите сорцы, там jQuery используется! Всё по-взрослому :-)

Setti Nov 13 2009 at 18:26

и чеснок не помог…

Regis Nov 13 2009 at 18:28

Черт. А у меня Noscript всё заблокировал :(
И даже когда я разрешил для сайта исполнение Javascript, то всё равно получил от Noscript предупреждение про XSS-атаке. Пришлось и это блокировку снимать :)

UFO landed and left these words here

Regis Nov 13 2009 at 19:23

«Я понимаю ваш язык. Вы выбрали язык иронии. Не самый удачный выбор...» :)

А вы во время сезонных эпидемий гриппа небось всем подряд жмете руки?

UFO landed and left these words here

Regis Nov 13 2009 at 19:55

Тут основных два вопроса:
1. Как часто вы посещаете новые сайты?
2. Как часто для этих новых сайтов действительно нужна поддержка Javascript?

Если ответ на оба вопроса «часто», то, действительно, вещи вроде Noscript вам не нужны.

UFO landed and left these words here

Regis Nov 14 2009 at 14:39

Хм. С последним согласен :)

rill Nov 13 2009 at 19:08

Пентагон

rill Nov 13 2009 at 19:12

Дурацкая привычка ctrl+enter. Извините за бессмысленный пост. Хотел дополнить что xss проблемы всех крупных проектов. Гугл, яндекс, hotmail и т.д.
Тем, кто интересуется, советую почитать

vasfed Nov 13 2009 at 19:21

Привычка привычкой, а случайно повалили сайт пентагона хабраэффектом :)
Небось завтра где-нить в новостях проскочит про DDoS атаки из России и окрестностей на штаты :)

DSmirnov Nov 13 2009 at 20:01

Я лично не думаю, что разработчики ядра, и пр. имеют отношение к сайту. Команда Перл-а давно не домашняя студия из 3-4х человек.
Это большая компания. А как в любой большой компании, там есть иерархия, структура, кадровые органы и пр.
Являясь сотрудником большой компании, могу сказать так — в любой семье бывают Фейк-Апы. К сожалению, это чисто человеческий фактор.
То, что написано в данном посте ни на йоту не умоляет того, что сделано разработчиками. Никак не влияет на мнение о языке, и уж никак не является темой для обсуждения. Сапожник без сапог в таких масштабах — лишь пунктик в планировщике на новый джоб).

cosmocarrot Nov 13 2009 at 20:11

Это же Perl, что вы хотели?!

DSmirnov Nov 13 2009 at 20:14

А что Перл? До сих пор приложения на Перл работают намного лучше, чем на ПХП и иже с ними. И дело не в языке, а в людях, которые набирают код. Все, кто начинал с перла, понимают, что пишут. А если взять пхп, питон и иже с ними — только в последние годы появились вменяемые программисты, и то, образование академическое, а не «я скинил это двигло».

cosmocarrot Nov 13 2009 at 20:39

Hoт гей, нот холивар.
Ничего личного, дядь.

crash Nov 13 2009 at 20:27

>>Server: Apache/1.3.33 (Unix) mod_perl/1.29
это ты из ответа сервера узнал да?

michurin Nov 13 2009 at 20:32

да. вот так
$ wget -qO- --save-headers perl.org | less
Думаете, они подменяют заголовки, а на самом деле там IIS?

crash Nov 13 2009 at 20:34

думаю, что защиту от простейшего фингерпринтинга эти люди должны делать)

michurin Nov 13 2009 at 20:48

Может быть ) но тогда это вдвойне комично )
Ребята сделали дырявую калитку, но, чтобы всех обмануть, подписали мелом «этим доскам уже пять лет». Интересно, они думали, что все затрепещут, и такой хитрый ход навсегда прикроет дырки, которые они напрогали? ,-)

UFO landed and left these words here

VovixLDR Nov 13 2009 at 21:49

Иногда она возвращается:)

glorybox Nov 13 2009 at 22:40

что-то я не понимаю, почему у меня другой дизайн там?

sleepnow Nov 14 2009 at 09:18

А зачем ЭТО на хабре?

michurin Nov 14 2009 at 10:23

Интересно. Живой пример уязвимости на известном ресурсе.

sgnppv Nov 14 2009 at 14:01

Интересно, а зачем было делать на главной perl.org две надписи на флеше? «Flexible n Powerfull That's why we love Perl». Использую flashblock, увидел флеш — включил, и сильно удивился, обнаружив только две строчки текста без каких-либо «фишек».

Это модно сейчас? Или png/svg с Perlовкой не вкусно?

medvoodoo Nov 14 2009 at 14:18

upd4 Отбой! Дырку заткнули :-) Оперативненько — пара часов — и готово! :-)
Search results for query "%3Cimg%20src=http://www.stavnet.ru/users/Russian-Fight/index_files/file1536.gif%3E"
висит на сайте

michurin Nov 14 2009 at 19:22

Ну да, квотируют они коряво, но всё же квотируют. Так или иначе, XSS ликвидировали.

cdev Nov 18 2009 at 18:39

Может тему передвинуть куда-то в администрирование?
А точнее в «Информационная безопасность», что подсказывает блок похожих тем справа от постинга.

Искать давно известные баги на сайте это не то же что минера на bat файлах писать или C превращать в ООП язык ;)

michurin Nov 19 2009 at 16:56

Спасибо за совет — перенёс.