1. Python / Говнокод #25451

    +2

    1. 1
    int(data[:4][::-1].encode('hex'),16)

    Кто-то не знал про struct

    Запостил: syoma, 16 Марта 2019

    Комментарии (85) RSS

    • показать все, что скрытоvanished
      Ответить
      • показать все, что скрытоvanished
        Ответить
      • показать все, что скрытоvanished
        Ответить
        • показать все, что скрытоvanished
          Ответить
          • У "PHP" даже сайт без https.
            насколько все таки зашкварная технология, как из параши хлебушка покушал
            Ответить
            • показать все, что скрытоvanished
              Ответить
              • показать все, что скрытоvanished
                Ответить
                • Боишься, что mysql_real_escape_string спрячут?
                  Ответить
                  • За щекой?
                    Ответить
                  • показать все, что скрытоvanished
                    Ответить
                    • В Англии ружья кирпичом не чистят. Передайте, чтобы и у нас не чистили.
                      Ответить
                    • Какое отношение имеет "HTTPS" к "PHP"?
                      Ответить
                    • А если серьёзно, то какой смысл шифровать то, что индексируется «Яндексом» и «Гуглом»? Шифровать открытый сайт –— всё равно, что ставить ворота в пустыне:
                      https://s00.yaplakal.com/pics/pics_original/7/8/3/7049387.jpg
                      Ответить
                      • MITM — это, к сожалению, далеко не выдумка параноиков-криптоанархистов. Слушать и менять трафик в современном Интернете может (и успешно это делает) целая куча народа — начиная слишком грамотными соседями и заканчивая товарищем майором, кулхацкерами в открытых вай-ваях и даже операторами связи (извините за волан-де-сайт!):
                        https://habr.com/ru/post/142909/
                        https://habr.com/ru/post/262631/

                        Недавно, кстати, арендовал впску, запустил на ней «tcpdump» и полюбовался несколькими мегабитами чужого трафика, в котором были и плейнтекстовые http-запросы.
                        Ответить
                        • Зачем слушать трафик с сайта, который и так индексируется «Яндексом» и «Гуглом»? Открытый сайт и так можно выкачать вне зависимости от того, на http он или на https.

                          В принципе, у http-сайта есть некоторая вероятность подмены страниц каким-то маньяком. Но зачем подменять документацию по mysql_real_escape_string? Кому это может быть выгодно?
                          Ответить
                          • К примеру, можно подменить документацию mysql_real_escape_string на mysqli_real_escape_string, и пхпшники будут делать неправильно. И можно будет легче взламывать сайты.
                            Ответить
                            • Ещё на http сайте у тебя может открыться какой-нибудь "wifi.ru".
                              Ответить
                              • показать все, что скрытоvanished
                                Ответить
                              • Он и на https-сайте откроется, проверь. Браузер поматерится, что сертификат недействителен, а потом перенаправит на какой-нибудь «wifi.ru», чтобы показать рекламу и предложить тебе аутентифицироваться.
                                Ответить
                                • Ну инахуй это надо? Тупой юзер проигнорирует предупреждение и перейдёт на хацкерский сайт.
                                  Ответить
                                  • Именно поэтому придумали «HTTP Strict Transport Security». Если тупой юзер заходит на сайт со включённым «HSTS», то браузер запоминает этот сайт и при попытке подмены сертификата пользователь туда больше никак не зайдёт (ну, можно удалить сайт из списка HSTS где-то в глубоких недрах «about:config», но это куда лучше простого нажатия кнопочки).

                                    Ещё в браузерах есть зашитый список сайтов/зон, на которые можно ходить только при наличии валидного сертификата — и это уже обойти нельзя никакими настройками.
                                    В частности, года полтора назад произошёл багор — «Google» купил зону .dev и повесил её в список HSTS (https://ma.ttias.be/chrome-force-dev-domains-https-via-preloaded-hsts/), после чего благодарные разработчики, использовавшие эту зону для локального тестирования, обнаружили, что зайти на тестовые сайты не представляется возможным (спойлер: по заветам «IETF» для тестирования надо использовать зону .test).
                                    Ответить
                                    • То есть если в метро тензорный петух зайдёт на https://vk.com, он сможет перейти на vk2019.com wifi.ru?
                                      Ответить
                                      • Не сможет, если у метра нет валидного сертификата для домена «vk.com». Если метро попытается подсунуть невалидный — тензорный петух получит ошибку наподобие такой:
                                        Веб-сайт vk.com использует механизм HSTS. Открыть сайт в настоящее время нельзя.
                                        Сбой мог быть вызван сетевой ошибкой или действиями злоумышленников. Скорее
                                        всего, сайт заработает через некоторое время.
                                        Ответить
                                    • Именно поэтому я использую зону .holocaust .localhost.
                                      Ответить
                          • показать все, что скрытоvanished
                            Ответить
                          • показать все, что скрытоvanished
                            Ответить
                          • показать все, что скрытоvanished
                            Ответить
                            • 1. Регистрирую домен vk2019.com.
                              2. Подписываю его своим сертификатом.
                              3. На сайте пишу, что это специальная новая версия «Вконтакта» с дополнительными функциями.
                              4. Пользователи видят зелёный замочек, все довольны.

                              Вот ты, вероятно, будешь смеяться, а таким способом реально немало паролей уведено.
                              Ответить
                              • показать все, что скрытоvanished
                                Ответить
                                • Кстати, некоторые браузеры сертификаты с «EV» показывают на зелёном, а без «EV» –— на жёлтом. Правда, у «Хрома» всё на зелёном.

                                  «EV» сто́ит дороже и требует предоставления документов о неверблюдности.
                                  Ответить
                                  • > Правда, у «Хрома» всё на зелёном.
                                    Странно, только что проверил — для сертификата от «Let's Encrypt» показывает незаметный серый замок.
                                    Ответить
                                • Именно поэтому я против «зелёного замочка». И не только я один — уже давно большинство браузеров планируют от него отказаться. «Хром», к примеру, для не-EV сертификатов уже рисует незаметный серый замочек (кто понимает, зачем это надо — заметит), а для «HTTP»-сайтов — надпись «не защищено» (сменяющуюся красным сломанным замочком, если на сайте обнаруживается форма для ввода логина/пароля).
                                  Ответить
                          • > Но зачем подменять документацию по mysql_real_escape_string? Кому это может быть выгодно?
                            Реклама сама себя не посмотрит.

                            > Зачем слушать трафик с сайта, который и так индексируется «Яндексом» и «Гуглом»?
                            Ну, например, можно спиздить пароли или сессию. Собственно, до начала массового распространения «HTTPS» это была распространённая схема — прийти в какую-нибудь оживлённую кафешку с открытым вай-фаем, запустить на ноуте кулхацкерскую утилиту и радоваться куче халявных акков от вк/одноклассников/чего угодно.

                            В любом случае, приватность — это банальная сетевая гигиена. Чем меньше людей потенциально имеют доступ к трафику пользователя — тем лучше, вне зависимости от того, какие это люди и чего они хотят.
                            Ответить
                        • показать все, что скрытоvanished
                          Ответить
                        • показать все, что скрытоvanished
                          Ответить
                    • Есть только одна причина: браузер рисует зелёный замочек и долбоёбы-пользователи ему больше доверяют.
                      Ответить
                    • показать все, что скрытоvanished
                      Ответить
                    • Поддерживаю.
                      Ответить
    • https://cs11.pikabu.ru/post_img/2019/03/16/6/1552723709197758546.gif
      Ответить
    • https://youtu.be/8gMuEP8Ed8s?t=76
      Ответить

    Добавить комментарий