How to become an author
Search
Write a publication
Pull to refresh

Comments 166

Среди комментов к коммиту по ссылке ржака:
Since you can commit to master, you could just fix the vulnerability :)
Also, Rails is open source — you get it for free, why not make it better for free as well?
Total votes 97: ↑96 and ↓1+95
Парень сегодня на работу не вышел. Позвонил админу, сказал, что всю ночь не спал. Да уж, поднял волну =)
Егор, возвращайся скорее. Мы тебя ждем.
Total votes 10: ↑9 and ↓1+8
yep. тег «егор хомаков» — зачем тег то делать?) Алсо я хомЯков.
Total votes 95: ↑90 and ↓5+85
Исправил, извините, Егор.
Total votes 7: ↑4 and ↓3+1
Ну а что — у Вас теперь есть собственный тег на Хабре!:) Вообще Вам респект, а разрабам минус в карму. Сами виноваты. Надеюсь, Вас разбанят (если это был основной акк).
Total votes 28: ↑21 and ↓7+14
«Как возмужал наш кобелек» (с)
А ведь совсем не так давно… А, ладно. Левел ап.
Total votes 34: ↑12 and ↓22-10
привет. что недавно?) норм же работали :)
Total votes 11: ↑9 and ↓2+7
А не так давно на PHP писали и думать не думали :)
Total votes 23: ↑12 and ↓11+1
Эх, нельзя на хабре негативно отзываться о PHP, разве Вы ещё этого не поняли :)?
Total votes 9: ↑2 and ↓7-5
Это не негативный отзыв. Егор — мой давний коллега. Просто ностальгия накатила.
Total votes 4: ↑3 and ↓1+2
Такс, проверим вашу теорию… PHP фигня
Total votes 11: ↑9 and ↓2+7
PHP Это есть хорошо!
Total votes 10: ↑2 and ↓8-6
PHP не надо есть.
Total votes 4: ↑4 and ↓0+4
Зато теория была опровергнута )
Total votes 2: ↑1 and ↓10
Что-то я сомневаюсь в чистоте вашего эксперимента ;))) Хабрапользователи могли из вредности её опровергнуть ) где-то был эпичный пример этого на хабре…
Total votes 2: ↑1 and ↓10
UFO just landed and posted this here
> Алсо я хомЯков.
homAkov.blogspot.com — оно и видно…
Total votes 13: ↑3 and ↓10-7
Да-да, я вот тоже например хочу, чтобы Youtube, LiveJournal и Яндекс.Деньги заплатили мне за секьюрити аудит.
Егор не позорься.
Total votes 45: ↑9 and ↓36-27
Судя по реакции, Егор сделал всё правильно :)
Total votes 33: ↑31 and ↓2+29
я жаст киддин. за бесплатный аудит меня только забанили и обещали в суд подать =)
Total votes 23: ↑18 and ↓5+13
У гитхаба замечательный саппорт. Можно было и туда обратиться.
Total votes 6: ↑4 and ↓2+2
непонятно, чем этот саппорт такой замечательный, если за классический «хакерский» способ указания уязвимостей чувака забанили. Законодатели мод на «социальный кодинг» не знают традиций «социального кодинга»?
Total votes 35: ↑30 and ↓5+25
по-моему классический способ указания уязвимостей это написание письма в саппорт с подробным описанием что и как, а не вываливание бага на всеобщее обозрение?
Total votes 25: ↑8 and ↓17-9
не спортивно =) и на такое любят отвечать «этого не может быть потому что этого не может быть никогда» =)
Total votes 16: ↑13 and ↓3+10
Егор указал на уязвимость. Разве этого недостаточно для начала принятия мер? Почему он должен был тратить кучу времени на написание подробных писем? Это не его сервис чтобы уделять ему особенное внимание.
Total votes 16: ↑14 and ↓2+12
вряд ли стоило поступать таким классическим способом применительно к одному из наиболее популярных репозиториев в ГХ, тем самым провоцируя менее окрепшие умы на всякие гадости с использованием данной уязвимости.
Total votes 4: ↑2 and ↓20
Зато это хороший пинок, уязвимость реактивно исправится
Total votes 11: ↑9 and ↓2+7
UFO just landed and posted this here
общак же, не по понятиям :)
Total votes 32: ↑23 and ↓9+14
И к закрытым репозиториям доступ есть?
This comment wasn’t rated yet0
я хотел написать подробней но хабр послал нафик. технически доступ есть ко всему — вебморда может и закрыта но имея дропнутый паб-ки можно было бы дергать и приватные. не пробывал — мне тут law весь hackernewys грозится.
Total votes 14: ↑10 and ↓4+6
Вроде можете писать :)
Total votes 1: ↑1 and ↓0+1
судя по комментариям баг уже пофиксили, а автора забанили на гитхабе. непонятно только был ли багрепорт на гитхаб до того как демонстрировать уязвимость публично?
Total votes 2: ↑2 and ↓0+2
туча шороха была наведена перед этим. этот малюсеньких хак был сделал наибезобиднейшим способом. шалость
Total votes 10: ↑5 and ↓50
да, это относится к уязвимости в рельсах. я имею в виду, был ри репорт непосредственно в службу безопасности гитхаба?
Total votes 1: ↑1 and ↓0+1
На самом деле в Rails багов хватает (вот пример еще один: баг rails), не стоило конечно так подло комитить в rails в обход pull request. Но ребята на github должны по-мойму сказать ему спасибо, а не банить.
Total votes 17: ↑11 and ↓6+5
Это называется не «баг на забре», а «Хабрахабр не разрешает употребление HTML обладателям отрицательной кармы».
Total votes 22: ↑19 and ↓3+16
Спасибо, буду знать
Total votes 3: ↑2 and ↓1+1
Чудеснейшим образом у меня домен ka8725.tk отобрали регистраторы. Пока не знаю почему, буду знать — отпишу в чем там дело было. Если кому интересно что было по ссылке, то ее содержание доступно по здесь
This comment wasn’t rated yet0
Егор, прекрати взламывать Github! Саша, не трогай Skype, а то сломаешь! Что за детский сад.
Total votes 64: ↑64 and ↓0+64
made my day. спасибо, дал мозгу отдохнуть :3
Total votes 13: ↑10 and ↓3+7
Как хорошо, что я обновил комментарии. Отличный мем, связанный с данной ситуацией :)
Total votes 10: ↑5 and ↓50
Уязвимость же не совсем в рельсах, а в скаффолдере: он генерирует код с

@

Соответственно, можно легко обновить все аттрибуты модели, если юзер имеет право на обновление модели и результат пройдет валидацию. Хоть рельсовики и будут говорить, мол, надо читать мануал, использовать всякие схемы защиты аттрибутов, но давайте будем честными — а кто читает мануалы от корки до корки? да никто не читает. Разработчики фреймворков и языков программирования должны ориентироваться на пользователей-идиотов, а не профессоров, которые тщательно прочтут 10 томов документации, прежде чем написать первую строчку.

Точно также, безответственно было у нас в PHP не встроить простое средство для плейсхолдеров, а дать людям mysql_query() — в итоге почти любая открытая наугад книга по PHP содержит пример типа:

mysql_query(«SELECT * FROM user WHERE id = $id»)

и мутное примечание про безопасность и фильтрацию данных (которую начинающий с вероятностью 99% пропустит — ведь код и так работает). Точно также безответственно в PHP-шаблонах выводити сырые значения перемнных — надо было по дефолту встроить контекстный escaping, как например делает в своем шаблонизаторе Гугл.

Ну что, приятно, и Рубивские фреймворки не блещут идеалом, будет чем упрекнуть рубиста.
Total votes 21: ↑19 and ↓2+17
Как люди до сих пор продолжают называть это уязвимостью? (я про rails и mass_assignment) Уязвимости не фиксятся одной строчкой в конфиге. Просто такое поведение по умолчанию.
А если разработчик не удосужился почитать про это — это целиком его вина. В конце концов, он может так же случайно допустить и кучи других security багов.
Total votes 12: ↑4 and ↓8-4
Про SQL-inj тоже везде написано как её не допустить, тоже одной строчкой в конфиге (хотя недавно удалили её), но почему-то многие на PHP наезжают за то, что он позволяет писать приложения с такой уязвимостью.
Total votes 4: ↑3 and ↓1+2
На рельсах тоже можно писать запросы вида «SELECT * FROM users WHERE users.name LIKE %#{name}». И об этом написано в книжке про рельсы. И точно так же написано, что так делать очень нехорошо.

То, что теперь по умолчанию эта уязвимость не работает — это хорошо. Я согласен с разработчиками, пришедшими к такому выводу.
Но никто не помешает программистам просто отключить это, либо, что еще вероятнее, писать «безопасный» код, запихивая в attr_accessible все поля в модельках. Причем это не голословное утверждение, я сам видел такой код :)
Total votes 1: ↑1 and ↓0+1
Теперь им по крайней мере надо поля туда запихивать руками, они не самозапихнутся. Одному индийскому программисту из десяти миллионов в момент оного деяния придет в голову поискать в гугле, почему так, и научиться делать правильно.

Писать кривой код можно на любом языке и с любым фреймворком, тут я полностью согласен. Показательно другое. Разработчики GitHub совсем не новички, не впервые работают с руби и рельсами — если даже они годами не знали про этот баг, наверное, с ним правда что-то не так (и это не совсем то же самое, что "SELECT WHERE %#{name}").
Total votes 4: ↑4 and ↓0+4
Вон Posterous тоже, судя по всему, не знают про это. (Смотреть на комментарий, который датирован «almost 8 years ago», в самом низу страницы.)
This comment wasn’t rated yet0
Таки да, как написали в той же статье «не думаете же вы, что в GitHub не читали как следует документацию?»

GitHub и Posterous — пара major старпапов, которыми так славится rails нынче, и которые сами по себе весьма на слуху. То, что они оба дырявые (а особенно ГитХаб, который без вариантов заставляет тебя работать с паблик/прайват ключами — ведь логин/пассворд аля SVN например для них не секьюрно и не серьёзно), это много о чём говорит.

Предлагаю сделать список 10-15 подобных старптапов (tumblr-ы всякие и иже с ними), и попробовать уязвимость на них, пока не подфиксали — уверен, еще минимум парочка дырявых попадётся.
Total votes 1: ↑1 and ↓0+1
по https можно с паролем работать с гитхабом
This comment wasn’t rated yet0
Вижу, все и так поняли, какой код генерирует скаффолд :) Он по дефолту генерирует где-то в контроллере действие update, которое передает пришедшие POST-параметры в метод модели update_attributes(), соответственно, если есть право на обновление модели (например, обновление своего профиля или своего поста), и нет защищенных аттрибутов или дополнительных проверок (а в автогенерированном коде их нет), можно обновить себе аттрибут is_admin или что-нибудь в этом роде.

Есди подумать, этот тип бага не только в RoR может встретиться, но и в другом идеологически схожем MVC фреймворке, не обязательно на Руби, но и на PHP тоже.
Total votes 2: ↑2 and ↓0+2
Какие к чёрту итоги выборов! — вот здесь события, вот здесь кипит настоящая живая жизнь!
Total votes 41: ↑40 and ↓1+39
товарищъ мицгол. regards:
If I were @homakov, I'd decline. The only GitHub's office is in San Francisco, and I guess he'd remember the United States v. ElcomSoft and Sklyarov case. And the fact that Robert S. Mueller is currently Director of the FBI.

Right now any IRL step on U. S. soil probably means @homakov jailed. He probably should also avoid proximity to U. S. vessels, diplomatic missions and other more or less exterritorial objects within his home city.

чуть подробней? Не светиться на улицах?
не соглашаться ни на какие офферы из асашай? Ты серьезно или шанс мал?
Total votes 13: ↑11 and ↓2+9
Склярова помнишь? Бедняга просто приехал в Штаты на конференцию по безопасности рассказать, как хряпнул продукт Адобе. Его потащили в тюрьму, причём, хотя заявление Адобе было отозвано, держали в тюрьме по настоянию федерального прокурора Мюллера (потенциальное уголовное дело «Адобе против Элкомсофт и Склярова» просто стало делом «Соединённые Штаты Америки против Элкомсофт и Склярова»), пока он не согласился дать показания против «Элкомсофта». Затем выпустили под залог без права возврата в Россию и общения с родными до суда.

Этот самый Мюллер сейчас возглавляет штатовское ФБР. Директор ФБР с такими замашками по отношению к программистам, работающим в области взлома программного обеспечения — это не хухры-мухры. Поэтому ещё раз (на сей раз русским языком) рекомендую избегать любых приглашений на работу или на конференции или для лечения или по любым другим поводам в Штаты, избегать в порту Петербурга (и в зарубежных поездках в третьи страны) судов под штатовским флагом, самолётов штатовской принадлежности, дипломатических представительств Штатов (посольств, консульств) и других экстерриториальных объектов, где могут явиться агенты ФБР и возможен арест. Я бы шугался и тех третьих стран, которые преспокойно могут арестовать человека для выдачи в Штаты — на этом Виктор Бут погорел, как поговаривают.

(Сейчас наверняка явится какой-нибудь сторонник произношения «Эдоуби» вместо «Адобе»; ему заранее блогозапись c сайта «Словомания» предлагаю.)
Total votes 34: ↑33 and ↓1+32
В штатах прецендентное право, а Склярова вроде бы оправдали:

Protests ensued, coordinated from the website freesklyarov.org. The US government agreed to drop all charges filed against Sklyarov, provided that he testify at the trial of his company. He was permitted to return to Russia.

On 17 December 2002, after a two-week trial, a federal jury found ElcomSoft not guilty of all four charges under the DMCA.

Так что больше похоже на страшилки.
Total votes 2: ↑1 and ↓10
Для оправдательного приговора нужно решение суда, а для решения суда человека сначала неплохо арестовать и отвезти в Штаты по конвоем, а там продолжать держать под арестом ну или встретить в аэропорту и арестовать. Неплохой способ съездить в Штаты и провести там время.
Total votes 3: ↑3 and ↓0+3
Не думаю что будут связываться, если понятно что дело безперспективное. Ради чего?
This comment wasn’t rated yet0
>В штатах прецендентное право, а Склярова вроде бы оправдали

Правильно. И Егора оправдают. Правда, для того, чтобы оправдать, его сначала арестуют и посадят за решётку на время следствия, которое будет длиться несколько месяцев (улики, экспертизы, всё такое), после чего наконец-то будет суд, на котором его (ура!) оправдают. Вопрос: кому оно такое надо?
This comment wasn’t rated yet0
Чёрным же по белому написано: Склярова выпустили, потому что он пошёл на сделку со следствием, согласившись дать показания против «Элкомсофта».

Внимание, вопрос: против кого может дать показания Хомяков, если он сам собою ломал GitHub? Может ли ФБР быть вообще заинтересованным в его показаниях против кого-нибудь? Вряд ли, если только не углубиться в область дутой контрразведки и не требовать от него показаний о том, что он русский шпион и что работает на кровавую гэбню. А раз вряд ли, то сидеть ему дольше, чем Рузвельт был президентом.
Total votes 2: ↑2 and ↓0+2
Далее тем же черным цветом по белому написано что Элкомсофт признали невиновным по всем обвинениям DMCA.

Юристам наверное виднее, но по мне так страшилка не слишком вероятная.
This comment wasn’t rated yet0
Дополните пост тем что Github в своем блоге сообщили о том что разбанили товарища Хомякова, и более того — дополнили свои правила новым пунктом в связи с этими событиями.
Ну и там есть еще некоторые непонятно откуда взявшиеся подробности =)
Total votes 10: ↑10 and ↓0+10
О Боги, хабр, куда ты катишься?

Мы имеем: парня, который вовсе и не багу в rails нашёл, а ожидаемое поведение, которое по тупости своей или по пьяни не учли в GitHub.com. И вместо того, чтобы написать патчи и в тех-поддержку гитхабу, он решил наговнять сразу всем. И что? За 10 часов он стал вашим национальным героем, и вы ему накидываете +70 кармы?

Стыд и позор вам всем.
Total votes 58: ↑32 and ↓26+6
+1
как верно отмечали в комментах к блогозаписи гитхаба, почему нельзя было сделать отдельный аккаунт и отдельный реп для тестирования, а надо было именно срать в самый наблюдаемый реп гитхаба?..
Total votes 23: ↑10 and ↓13-3
Да молодец! не слушай этих морализаторов =)
Total votes 34: ↑25 and ↓9+16
4lulz? вырасти, мальчик! здесь люди работают!
Total votes 63: ↑24 and ↓39-15
Всё правильно сделал.
Total votes 17: ↑13 and ↓4+9
Абсолютно согласен. Не просто получил преимущество, но и реализовал его на 100%
Total votes 5: ↑3 and ↓2+1
LOL принудительно запостить в рельсы патч 8)
Респект
Total votes 11: ↑9 and ↓2+7
иначе бы забили и хрен исправили бы
Total votes 13: ↑10 and ↓3+7
если бы забили, тогда уже и орать на весь мир. читай 0-day vulnerability.
Total votes 10: ↑3 and ↓7-4
Безобидный коммит — это не наговнять сразу всем.
Total votes 20: ↑17 and ↓3+14
twitter.com/#!/tenderlove/status/176376463170342914
вот, что о нём думают разработчики rails.
Total votes 13: ↑7 and ↓6+1
Да какая разница что они думают. Если его коммит ничего не поломал — зачем делать трагедию? Наговнять — взять и нарушить работу разработчиков rails, а то, что он сделал — безобидный коммит.
Total votes 12: ↑10 and ↓2+8
Что о нём думают разработчики rails, и что они думают о репортах об уязвимостях было ясно еще после того, как они закрыли и проигнорировали изначальный репорт.
Total votes 16: ↑14 and ↓2+12
какой к чёрту «репорт»? я не знаю, как сейчас учатся рельсам, но 4 года назад, когда я на них садился, параграф про attr_accessible шёл в самом начале знакомства с моделями в любом учебнике. сейчас я на уровне рефлексов добавляю его во все модели, которые модифицируются через контроллеры, и это «нововведение» сломает кучу моего старого кода, который не содержит этой уязвимости. и нововведение это обусловлено а) среднестатистическим отуплением разработчиков на Rails, не знающих об attr_accessible б) багой в одном-единственном github, качество кода которого в общем-то никогда и не было каким-то заоблачным или из ряда вон выходящим.

и я сам в принципе не против этого нововведения. и большинство в rails core team тоже. парень молодец, что нашёл эту багу. отвращение вызывает то, КАК он обратил на неё внимание. и как десяток новостных сайтов по всеобщей истерии начали это называть «багой в Rails».
Total votes 24: ↑13 and ↓11+2
А как еще он должен был обратить на нее внимание? Рапорт рельсовикам — проигнорирован. Рапорт гитхабу — проигнорирован.
Или он должен был молча сидеть и ждать, пока до этого додумается кто-нибудь еще и использует себе на пользу?
Даже гитхаб уже признал и простил, а вы все кипятитесь.
Total votes 26: ↑23 and ↓3+20
UFO just landed and posted this here
Рапорт гитхабу был письменным. Уязвимостью он воспользовался спустя два дня после этого, это даже в блоге гитхаба написано. После чего за час дыра была закрыта.
Total votes 6: ↑6 and ↓0+6
эта тема не в первый раз поднималась в сообществе. и всегда были и остаются контр-аргументы против дефолтного attr_accessible. почему его решили включить на этот раз? потому что толпа умственноотсталых хомячков, таких же как 99% читающих эту статью набежало и начало ныть. упираться дальше было бессмысленно, т.к. в такой аудитории трудно аппелировать к здравому смыслу.

извините за грубость, уже накипело.
Total votes 5: ↑3 and ↓2+1
не извиняйся. у меня теже чувства. я не хотел чтобы коры в попыхах что то там фиксили. Рельсы и в правду вообще не причем. Yahuda мне сказал что это все еще в процессе обсуждения но у них небыло выбора — хомячков было слишком много.
This comment wasn’t rated yet0
вот и я не понимаю, как вполне документированное поведение моделей можно считать уязвимостью
This comment wasn’t rated yet0
Потому что в данном топике рассматривается не модель, а система в целом (в данном случае — система под названием GitHub). И для этой системы такое поведение (когда любой пользователь может коммитить в любой репозиторий) — ни хрена не документированное и ни хрена не ожидаемое. Поэтому для системы это — уязвимость.
Total votes 3: ↑2 and ↓1+1
Не знаю про какие модели вы, но в статье упоминается что это уязвимость Rails. Но это косяк конкретного проекта, и печально что из за этого изменили код рельс. Более развернуто уже объяснили выше, можете найти по словам «умственно отсталых» и «хомячков».
Total votes 2: ↑1 and ↓10
>Не знаю про какие модели вы

Я — ни про какие. Модели появились в вашем предыдущем сообщении, я лишь отвечал на него.

>… но в статье упоминается что это уязвимость Rails

В статьях, бывает, упоминается столько всего, что волосы дыбом становятся :)

>Но это косяк конкретного проекта

А я не то же самое сказал? Могу перефразировать для понятности: документированное и предсказуемое поведение модели привело к уязвимости системы (проекта GitHub). Потому что разработчики системы не учли такое поведение.

>… печально что из за этого изменили код рельс

Разумеется, реальный фикс должен быть в коде гитхаба. Однако фикс, внесённый в код Рельс, решает намного больше, чем одну эту проблему: он избавляет от подобных уязвимостей многие существующие (и многие будущие) проекты, а это дорогого стоит. Другими словами, теперь дефолтное поведение Рельс более безопасное для систем, которые строятся на их основе.
Мыслите глобальнее.
This comment wasn’t rated yet0
Могу перефразировать для понятности: документированное и предсказуемое поведение модели привело к уязвимости системы (проекта GitHub).

Спасибо что перефразировали, очень понятно. Ответ: нет, к уязвимости привело головотяпство, и заметили его только потому что здесь фигурирует GitHub. Mass assignment был в рельсах всегда и потенциальную опасность от его безумного использования никто от разработчиков не скрывал, и многие проекты на Rails из-за этого нововведения будут требовать доработки для использования с новой версией.

На нипрокакие модели и волосы отвечать, с вашего позволения, не буду.

This comment wasn’t rated yet0
>Ответ: нет, к уязвимости привело головотяпство

Если бы вы процитировали абзац полностью, а не только первое его предложение, то этого «ответа» не понадобилось бы, т.к. он уже содержится в том абзаце:
Потому что разработчики системы (в данном контексте — проекта GitHub) не учли такое поведение


>На нипрокакие модели и волосы отвечать, с вашего позволения, не буду.

Permission granted.
This comment wasn’t rated yet0
Что-то не клеится с вами диалог. Суть моей мысли в том что рельсы под эту ерунду патчить не надо было, потому что эта ошибка пустяковая. Что вы мне хотите доказать?
This comment wasn’t rated yet0
Я — вам? Да ничего, собственно. Взгляните на мой первый ответ на ваш комментарий в этой ветке: в нём говорится лишь о том, что рассматриваемая в топике ситуация, когда любой пользователь может коммитить в любой репозиторий, является уязвимостью в одном известном Rails-приложении под названием GitHub.

Причина — документированное и предсказуемое поведение моделей, помноженное на головотяпство разработчиков. Возможных решений два:
1) изменить дефолтное поведение моделей
2) пофиксить головы всем разработчикам приложений на Rails, не учитывающим это поведение (или даже банально не подозревающим об этом), коих, смею предположить, большинство (буду счастлив ошибиться, однако это не только моё мнение).

Второе — правильнее, первое — проще и эффективнее.
Хорошая цитата из одного из комментариев сверху:
Разработчики фреймворков и языков программирования должны ориентироваться на пользователей-идиотов, а не профессоров, которые тщательно прочтут 10 томов документации, прежде чем написать первую строчку.

Я не согласен с ним дословно (ибо никто никому ничего не должен), но если разработчики хотят, чтобы их языком/фреймворком пользовался как можно более широкий круг разработчиков, им придётся снижать порог вхождения и самим заботиться обо многих вещах (и безопасность — первая из них).
This comment wasn’t rated yet0
ок. я уже высказал свое мнение о том что нужно фиксить головы и привел доводы против изменений в ActiveRecord. Дальше есть о чем спорить?
Total votes 1: ↑0 and ↓1-1
Я тоже высказал своё мнение и тоже привёл свои доводы.

>Дальше есть о чем спорить?

Спорить изначально было не о чем — разработчики уже давно приняли решение руководствуясь своим мнением и своими доводами. Кстати, каким бы ни было их решение, всё равно остались бы недовольные :)
Total votes 1: ↑1 and ↓0+1
>… но в статье упоминается что это уязвимость Rails

Кстати, текст коммита: «another showcase of rails apps vulnerability». Перевод: «ещё одна иллюстрация уязвимости Rails-приложений».
Приложений, а не самих Rails.
This comment wasn’t rated yet0
классика батхерта:)
Total votes 3: ↑2 and ↓1+1
>вот, что о нём думают разработчики rails

Да срать на их мнение.
Репорт по-человечески — не нравится. Натыкали носом — опять не нравится. Вместо того, чтобы признать откровенный проёб с их стороны — пытаются обосрать человека, вскрывшего охрененного размера проблему (и не воспользовавшегося ею в деструктивных или корыстных целях).
Мудаки, что ещё сказать.
Total votes 8: ↑7 and ↓1+6
Что значит проигнорировали?

Егор спросил: «Как заставить разработчиков всегда объявлять attr_accessible?»
Ему сразу же ответили: «Используй config.active_record.whitelist_attributes, Люк»

Это игнор? Это проёб?

А вот показать в воскресенье всем серьезную уязвимость на сервисе, которому стольким многие разработчики обязаны — это как минимум очень некрасиво.
Total votes 3: ↑1 and ↓2-1
Это не проеб конкретно рельс. Это проеб разработчиков, забывших о mass assignment и attr_accessible.
This comment wasn’t rated yet0
Действительно, претензия пошла не по адресу.
Заочно прошу прощения у разработчиков Рельс за заочное же оскорбление (хоть я всё равно с ними и не согласен — способ репорта об ошибке вполне зачётный: действенный, и в то же время не деструктивный).
Лучи RTFM-а разработчикам ГитХаба.
This comment wasn’t rated yet0
А мне почему-то кажется, что кое кто ему просто завидует.
Total votes 6: ↑2 and ↓4-2
а мне почему-то кажется, что кому-то не стоит проецировать свои эмоции на всех окружающих
Total votes 4: ↑3 and ↓1+2
Я то как раз и не завидую, между прочим.
This comment wasn’t rated yet0
А мы Егора собеседовали полгода назад… Не взяли, когда узнали, сколько лет. Глядишь, служил бы его гений мирным целям.
Total votes 79: ↑7 and ↓72-65
UFO just landed and posted this here
И правильно! Ведь самое главное в работнике — это подходящий возраст! А что он там умеет — это пустяки.

Бесят такие «работадатели».
Total votes 66: ↑64 and ↓2+62
По договору подряда можно было его взять.
Total votes 2: ↑2 and ↓0+2
UFO just landed and posted this here
Это Вы просто ну капец как подставились этим комментарием.
Total votes 24: ↑24 and ↓0+24
Да у вас просто гениальная корпоративная политика. Полагаю, у вас говно, а не фирма.
Total votes 38: ↑35 and ↓3+32
ребята. я перестал с вами разговаривать когда узнал что это вообще то java вакансия и я зря потратил время.

а меня то оказывается не взяли…
Total votes 42: ↑39 and ↓3+36
В описании вакансии была java. Тем не менее компиляторной компании нужен был и ruby программист. А ещё там был переезд в Москву. Федотов решил не брать на себя ответственность за то, что потащит школьника в другой город без жилья.

Хотя, конечно, было бы лучше жевать, чем говорить, а то уже всю карму убили. :-)
Total votes 30: ↑11 and ↓19-8
Ну тут посты про непрофессионализм HR снимают килоплюсы, и тут ваш комментарий. Все закономерно. А еще айтишники все гордые и предпочитают выбирать человека, который будет им платить деньги за работу, а не «наниматься» :) Сам такой.
Total votes 3: ↑3 and ↓0+3
bq. Хотя, конечно, было бы лучше жевать, чем говорить, а то уже всю карму убили. :-)

Лучше грязное белье при себе держать, а не вываливать на Хабру.

ИМХО ваши действия противоречат бизнес этике — почему, из-за чего и при каких обстоятельствах не взяли человека на работу, это информация которую должны знать только работодатель и соискатель, даже если соискатель оказался наиглупейшим человеком.
Total votes 9: ↑9 and ↓0+9
Егор, к слову, один из немногих, кто прошёл тест.
Total votes 6: ↑3 and ↓30
Из спортивного интереса решил задачку. Как я понял, там может быть несколько решений, хотелось бы найти наиболее отпимальное. У меня получился такой вариант:

^(?:(?:..)*[^a]a)*[^a]*$

Интересно, у ваших спецов такое же решение, или другое?

P.S. В условии задачи забыли указать, что имеется в виду диалект регулярных выражений, используюшийся в JS.
Total votes 2: ↑1 and ↓10
Вообще забавная задача. Можно просто глянуть тесты в коде:
var tests = ['a', 'b', 'aa', 'ba', 'babab', 'babdca', 'bba', 'baa', 'bacadaeafagaeahija']
var results = [0, 1, 0, 1, 1, 1, 0, 0, 1]

и захардкодить ответы :)
This comment wasn’t rated yet0
посмотрел логи почты

^([^a][^a])*a([^a]([^a][^a])*a)*[^a]*$
зааксептили это решение. я правда потом помнится получше находил, раза в два кароче. В q&a его тут публиковал — там и всплыла вакансия
This comment wasn’t rated yet0
Странно что это решение зааксептили, так как, к сожалению, оно неверно. И даже на сайте с задачей этот регексп не проходит проверку. Например сразу видно, что этот регексп не будет корректно работать на строках, в которых вообще нет символа 'a'. Да и остальные простые варианты типа 'ba' и т.д. не сработают корректно.
This comment wasn’t rated yet0
А, стоп, я разобрался. Это у Вас вариант для четного числа символов перед каждым 'a', хотя и не работающий, если строка не содержит 'a'. Я решал для нечетного, как это на данный момент указано в задаче на сайте (возможно, с тех пор задание на сайте изменилось, мало ли).
Total votes 1: ↑1 and ↓0+1
Вот улучшенный вариант для НЕчётного числа символов перед 'a':

^(?:[^a].)*[^a]?$
This comment wasn’t rated yet0
>Хотя, конечно, было бы лучше жевать, чем говорить

Ну или хотя бы думать перед тем, как говорить.
Total votes 5: ↑4 and ↓1+3
Посмотрел на ваш профиль… Коммент вполне подходит шестилетней девочке :-) Вы берёте на работу только учеников начальных классов? Все кто старше — не могут играть в вашей песочнице?
Total votes 18: ↑17 and ↓1+16
Так как этот коммит безобиднее известного «rm / usr», можно отнести его к разряду шутки.
Некоторые люди имеют завышенное ЧСВ и чувство юмора у них отсутствует.
Total votes 10: ↑10 and ↓0+10
программист из Санкт-Петербурга Егор Хомяков

Он из Саранска. Местный webdev гордится тобой, Егор)
Total votes 10: ↑9 and ↓1+8
Не только он, но и Испания с Тарифой. ;)
Total votes 4: ↑3 and ↓1+2
UFO just landed and posted this here
UFO just landed and posted this here
А все началось с безобидной шутки 3 дня назад.

Total votes 26: ↑26 and ↓0+26
[sarcasm] Ну да, ничего не делают это бездари, лентяи, один Хомяков нормальный пацан, наш русский, за всех буржуев работу делает. [/sarcasm]
Total votes 13: ↑11 and ↓2+9
Немного неэтично Егор поступил, но понимание этого придет с возрастом. В частности, денег просить за найденный дефект в открытом софте не стоит, конечно, если авторы софта сами за это денег не предлагают. На этом же и базируется опенсорс — каждый может этот софт улучшить. А то выглядит как вымогательство, что, в случае, если с той стороны окажется э… прямолинейный человек, может и проблемы вызвать.

Ну а пока что следует отметить, что Егор реально крут для своих лет в техническом плане. Я завидую такому уровню и такому потенциалу, по-доброму завидую, конечно. Молодец!
Total votes 12: ↑7 and ↓5+2
Не понимаю, почему Ваш комментарий минусуют. Строить из себя почти вымогателя — пускай и в шутку, как многие, подумав, осознали — это единственная ошибка Хомякова в этой затее.
Total votes 4: ↑2 and ↓20
Она то единственная, но вот для самого Егора очень уж юридически опасная.
This comment wasn’t rated yet0
Эм. Как я понял, уязвимость в том, что забывают пользоваться attr_accessible?
Total votes 3: ↑3 and ↓0+3
Именно. Кто-то из разработчиков гитхаба допустил ошибку, о которой предостерегают всех начинающих рельсовиков, неправильно использовав стандартное, задуманное поведение. Кто-то другой решил поиграть в хацкера. В результате рунет пестрит жёлтыми заголовками и комментариями людей не в теме, типа «АААААААА РЕЛЬСЫ ДЫРЯВЫЕ ВСЕМ КОНЕЦ КАК ЭТО ПАТЧИТЬ», а начинающий хацкер пожинает плоды славы.
Total votes 7: ↑7 and ↓0+7
Интересно, если даже ГитХаб пишут девы, которые хуже нубов, отчего в Постероус тот же баг?
This comment wasn’t rated yet0
Как-то фигово предостерегают. Генератор даже комментария в модели не оставляет.
This comment wasn’t rated yet0
Сделайте тогда что-нибудь, что бы ею гордились!
Total votes 6: ↑6 and ↓0+6
github.com/toastdriven/django-haystack
github.com/django-extensions/django-extensions
github.com/ask/django-celery
github.com/ericflo/django-pagination
github.com/maraujop/django-crispy-forms
github.com/tilgovi/gunicorn/
github.com/dcramer/sentry
github.com/dcramer/raven

не полный список приложений из одного проекта. как теперь все это в продакшн вываливать? :( спасибо, распиздяиразработчики гитхаба!

This comment wasn’t rated yet0
стапэ. там везде этот баг или что? мне сказали у django с этим проблем нет т.к. формы наследуются
This comment wasn’t rated yet0
Я к тому, что много кода с гитхаба используется в проектах. Теперь гарантии нет, что в него не накоммитили бекдоров.

У джанги — да, подобных проблем быть не должно, при правильном использовании, данные без валидации в БД не попадают.
This comment wasn’t rated yet0
Использую все вами написанные кроме gunicorn(предпочитаю uwsgi) в своих проектах.
This comment wasn’t rated yet0
А вам не кажется что это спасибо Егору, за то что он выкатил публично данные о не исправленной уязвимости. Не нужно тут говорить что его игнорировали только, 2 дня ждал и не выдержал, бедняга.
Total votes 3: ↑2 and ↓1+1
А сколько надо было ждать?
This comment wasn’t rated yet0
Сколько нужно чтобы закрыли баг. Баги бывают у всех
Total votes 1: ↑1 and ↓0+1
Тащить с PyPI, надеясь, что там стабильная версия.
This comment wasn’t rated yet0
chrisacky.posterous.com/github-you-have-let-us-all-down

«So what should the next person do who discovers a vulnerability?

> As soon as we detected the attack we expunged the unauthorized key and suspended the user.

GitHub, make it sound like @homakov was being seriously malicious.

Well GitHub, This is a shocking portrayal of the actual occurrences.
You make it sound like you were always a step ahead and had everything always under control.
You didn't really „detect“ anything. You were informed. It also wasn't an attack. If it was an attack, you wouldn't have seen it coming, or in the very least more damage would have been done.

As far as attacks go, this was probably the „whitest“ of white that has ever gone down. Not only did the „attacker“ not do any actual damage, but he was continually ignored.
This is a shameful handling of the actual events, more so that he was suspended as a result of drawing attention this devastating attack.»

ППКС
Егора в президенты, Рельсы и ГитХаб фтопку.
Total votes 1: ↑0 and ↓1-1
Осторожнее с такими заголовками. Сколько Егоров вздрогнуло, не дочитав до конца?
This comment wasn’t rated yet0
Sign up to leave a comment.

Articles

Show the best of all time
Unlock dark mode

Your account

Sections

Information

Services

Support
© 2006–2024, Habr