Как удалить 1500000 записей из базы данных Yahoo

[ZimM]

Ну просто-таки классика жанра.

[AndrewShmig]

Размер вознаграждения автору?

[Nikita_Rogatnev]

Такой информацией не обладаю.
Тоже стало интересно, написал Ибрагиму напрямую, как ответит отпишусь.

[Nedder]

Футболка?

[luckyredhot]

Может, ещё кепка!

[mailbrush]

Помнится, а Facebook похожая бага была в прошлом году.
Она позволяла удалить любую фотографию любого пользователя.

Вознаграждение автору от FB составило $12 500.
thehackernews.com/2013/09/vulnerability-allowed-hacker-to-delete.html

Уж очень интересно, как Yahoo на подобный баг отреагирует в финансовом плане.

[Nikitian]

Ок, нашёл уязвимость, протестировал несколько раз. Но зачем надо было удалять столько данных? Не поверю, что исключительно ради тестирования.

[dixoNich]

Столько? Он удалил пару записей всего. Читайте внимательнее.

[Lockal]

Впервые за долгое время не узнал автора по заголовку.

[Mercury13]

Принял за Ализара?

[toxicdream]

Да, похоже у Ализара появились последователи…

[novoselov]

Заголовок просто пропитан ализарщиной
Ну удалит кто-то 100500 записей
— для рядового пользователя: ад!!! шок!!! крах интернета!!!
— для рядового админа: запрос в тех.поддержку на 3 минуте работы скрипта, запрет на удаление записей, закрытие дырки, откат базы на 5 минуты назад, налить новую чашку кофе

[taliban]

откат базы данных на 5 минут в таких масштабах может удалить на много больше чем было до отката.

[alexrus]

Скорее, не угадал. :-)

[x7mz]

А нет ли какого-нибудь паттерна работы с реляционными базами чтобы такую частую ошибку исключить? Добавить if (owner_id != user_id) может забыть каждый. А вот если бы у каждой записи были бы атрибуты, например, как в файлах: владелец, группа, права доступа, то ошибиться было бы тяжело.

[KawaiDesu]

Создавайте обёртку над функциями, которые у вас работают с таблицей с данными, где будет поле с правами. Функция автоматически будет проверять права. Примерно то, что вам нужно.

[oxyum]

Ну многие думали о том чтобы добавить «row-level permissions» к реляционным базам данных. Но для web это всё равно не подходит — придётся на каждого активного пользователя создавать свое персональное соединение с базой данных, что несколько накладно и в финансовом(в случае коммерческих баз) и техническом планах.

Так что обычно это делается на уровне приложения в библиотеке работы с базой.

[tushkanM]

Обычно логика permissions чуть сложнее, чем «владельцу можно, а остальным — нет». Могут быть группы (вложеные), политики безопасности, суперюзеры и.т.д

[Homakov]

> Ибрагим Раафат (Ibrahim Raafat), специалист по информационной безопасности, обнаружил уязвимость типа 'Небезопасная прямая ссылка на объект' на одном из поддоменов сайта Yahoo

ололо, постоянно угораю над «важными» новостями с thehackernews. Как очередной индуский exp3rt нашел XSS в им же созданном вордпресс плагине.

Видео презентации отличная лакмусовая бумажка. Нормальный эксперт не будет делать ютюб видео чтобы объяснить уязвимость, потому что ее надо понять а не увидеть.

[infi]

Зачем нужен crumb? Было бы логично именно по этому параметру отсекать попытки удалять чужие топики.