Как стать автором
Обновить
5
0

Пользователь

Отправить сообщение
Вы же сами упомянули имя пользователя, что является пользовательским вводом.
На канал к боту заходит такой пользователь и автоматом выполняется какой-то нежелательный код на сервере.
Быстрый поиск показал к примеру вот этот класс — github.com/xtrime-ru/MadelineProto/blob/master/src/danog/MadelineProto/Logger.php, который можно вызвать через github.com/xtrime-ru/MadelineProto/blob/master/src/danog/MadelineProto/MTProto.php#L925. Особо интересна эта строка github.com/xtrime-ru/MadelineProto/blob/master/src/danog/MadelineProto/Logger.php#L205, которая удаляет лог файлы на сервере на основе переданных настроек.
А вообще, если даже сейчас нет уязвимых классов, они могут появится в будущем. Не в этом репозитории так в любой композер зависимости.

В общем, сериализировать юзер инпут — зло. Лучше заменить на json.
Ну чтож, похоже вы привнесли в серьезный баг в открытый проект — «небезопасная десериализация в пхп»
Можно взять почти любое выражение и под него найти человека которого оно если и не обидит то будет неприятно и что теперь?)


Не совсем так. К примеру, в США в основном используют этот список — en.wikipedia.org/wiki/Protected_group. Т.е. нужно прям обидеть кого-то по какой-то теме. Избегаешь темы — обвинений не будет.
А разве 2FA защищает от man-in-the-middle?
Пример для перевода не удачный. Люди не умеют готовить микросервисы

Украинские ПДД 2.14.е:


отступать от требований законодательства в условиях действия непреодолимой силы или если другими средствами невозможно
предотвратить собственную гибель или увечье граждан
А не могли бы Вы добавить содержание к этой замечательной статье(Как было в предудущих главах)?
Видимо еще есть Move, но при беглом осмотре правил я его пропустил.

Методы setSpeedUp и setTurn класса Move позволяют крутить и ускорять игрока.
Да, ошибся. Извините
Плох тем, что в данный момент существует минимум 24 таймстампа для текущего времени
Слишком много в статье крутится вокруг фраз типа — «пользователю не удобно будет раз в 20 минут менять аккаунт», «он так же быстро сделает действие на основном аккаунте» и т.д. Но боты на то и боты, чтобы работать на многих аккаунтах ОДНОВРЕМЕННО.
Мне кажется, что лучше ориентироваться не на программистов, т.к. они и сами способны тоже самое написать в любимом редакторе. Поэтому я бы работу с хтмл(как минимум) перевел на человеческий язык: h1 -> заголовок, p -> абзац, img -> изображение и т.д.
Кроме того у зенда своя читалка mo файлов, которая не зависит от глобальной локали, что позволяет использовать 2 локали на одном движке
Для вызова метода

Mage::getModel('novaposhta/import')->runWarehouseAndCityMassImport();


можно воспользоваться кусочком кода файла cron.php. Скорее всего автор что-то лишнее вырезал.
Я бы еще хотел видеть знания о уязвимостях
Мне кажется, что список из 9 не автоматических действий при рефакторинге сложно назвать автоматическим
Я бы порекомендовал использовать Varien_Db_Ddl_Table для создания таблиц вместо прямых MySQL запросов. Это облегчит переход на новые версии Magento, в случае введения дополнительных адаптеров баз данных.
1

Информация

В рейтинге
Не участвует
Откуда
Киев, Киевская обл., Украина
Дата рождения
Зарегистрирован
Активность