У нас тут в rails комьюнити опять драма.
Есть методы типа find_by_* которые проецируются на модели в find_by_title например и find_by_id.
Их можно использовать так
find_by_id(params[:id], select: «CUSTOM SQL»)
Но обычно их используют вот так
find_by_id(params[:id])
И происходит SQL Injection если в params[:id] лежит {:select => «CUSTOM SQL»}. Обратите внимание — :select это символ а не «select»(строка). Это значит что трюк ?id[select]=SQL не пройдет т.к. ключ окажется строкой.
И вообще params это хеш типа HashWithIndifferentAccess. Те у него ВПРИНЦИПЕ не может быть символов в ключах т.к. они все уничтожаются при создании.
Есть такой gem authlogic, в общем виде он использует find_by_token(token) где token это объект из сессии(которая хранится в куках и подписана session_secret). Чтобы в него записать :select => «SQL» вам нужно знать session_secret, поэтому уязвимость крайне редкая.
Весь этот SQL Injection CVE не стоит выеденного яйца! И ради чего пост? DDoS!
Читать полностью »
Архив за 04 января 2013 - 5
Rails params & GC
2013-01-04 в 6:36, admin, рубрики: ruby, ruby on rails, security, XML, Егор Хомяков, информационная безопасность, метки: ruby, security, XML, Егор ХомяковСерия твердотельных накопителей Intel SSD 530 будет представлена во втором квартале
2013-01-04 в 5:59, admin, рубрики: Новости, метки: новостиВ конце декабря прошлого года китайский источник рассказал кое-какие новые подробности о твердотельных накопителях Intel серии 335, а сейчас на том же сайте появились данные и о другой линейке SSD Intel — Series 530. Как сообщается, эта серия дебютирует во втором квартале текущего года двумя моделями — объемом 80 и 180 ГБ.
Системная плата MSI FM2-A75MA-P33 рассчитана на APU AMD в исполнении FM2
2013-01-04 в 5:30, admin, рубрики: Новости, метки: новостиВ каталоге MSI появилась системная плата FM2-A75MA-P33, оснащенная процессорным разъемом FM2, в который можно установить APU AMD серии A10, A8, A6 или A4. Основой платы служит набор системной логики AMD A75.
Плата типоразмера microATX оснащена пятифазной схемой питания APU и двумя слотами для модулей памяти DIMM, в которые можно установить до 32 ГБ памяти DDR3-1866 МГц.
Стала известна стоимость флагманского смартфона Sony Xperia Z
2013-01-04 в 5:30, admin, рубрики: Новости, метки: новостиСпустя всего два дня с момента появления первого официального изображения смартфона Sony Xperia Z, в Сети всплыли новые подробности о нем: на одном из тайских форумов появилось очередное качественное изображение устройства, а также информация о цене изделия.
Появились новые фото смартфонов Huawei Ascend W1, Ascend Mate и Ascend D2
2013-01-04 в 5:10, admin, рубрики: Новости, метки: новостиНа выставке CES 2013, где Huawei представит свои новые смартфоны, остается считанные дни, поэтому в Сети появляются все новые подробности о новинках китайской компании. Так, на сей раз «всплыли» официальные изображения смартфонов Ascend Mate и Ascend D2, а также изображение Ascend W1, демонстрирующее цветовую гамму смартфона.
В оснащение Huawei Ascend Mate, напомним, входит сенсорный дисплей диагональю 6,1 дюйма разрешением 1920 х 1080 точек, четырехъядерный CPU частотой 1,8 ГГц и аккумулятор большой емкости — 4000 мА•ч. Около десяти дней тому назад аппарат также Читать полностью »
Альтернативный терминал для Windows
2013-01-04 в 5:03, admin, рубрики: windows, Программирование, системное администрирование, метки: terminal, windowsЧасто путают терминал и шелл. В тех же *nix есть шеллы (bash, csh, zsh, …) и терминалы (konsole/guake/yaquake/tilda и т.д. и т.п.) Для мира Windows общеизвестный терминал только один – стандартное консольное окошко, которое часто ошибочно называют «cmd.exe». И мало кто знает о существовании множества других эмуляторов терминала. Известных шеллов больше, их целых два: cmd.exe и powershell.exe. И хотя есть как минимум три порта bash (MinGW, CygWin, GIT) многие юниксоиды предпочитают ругать cmd.exe.
Меня не устраивал ни один из найденных альтернативных терминалов (как в 2009-м, когда я начал работу над ConEmu, так и сейчас). Казалось бы требований немного, вот основные:
Читать полностью »
Samsung ориентирует внешний оптический привод SE-218CB на использование совместно с ультрабуками
2013-01-04 в 5:00, admin, рубрики: Новости, метки: новостиХотя открытие выставки CES 2013 состоится лишь на будущей неделе, компания Samsung Electronics уже начала представлять новинки, которые смогут увидеть посетители этого мероприятия. Вслед за мониторами SC770 и SC750 и обновленными ноутбуками Samsung Series 7 Chronos южнокорейский производитель представил тонкий внешний оптический привод SE-218CB.
Производительность твердотельного накопителя Marvell DragonFly NVDRIVE превышает 200 000 IOPS
2013-01-04 в 4:30, admin, рубрики: Новости, метки: новостиВ прошлом году в составе смартфонов и планшетов было отгружено более миллиарда камер
2013-01-04 в 4:00, admin, рубрики: Новости, метки: новостиВсе выпускаемые сейчас смартфоны имеют хотя бы одну камеру, а каждый третий — две камеры. Доля планшетов с двумя камерами даже больше. По подсчетам аналитиков ABI Research, в течение прошлого года в составе смартфонов и планшетов было отгружено более миллиарда камер.
Исключая стоящую особняком модель Nokia PureView 808 (Читать полностью »
CMS Products выпускает первый внешний жесткий диск объемом 500 ГБ с интерфейсом USB 3.0, защищенный шифрованием по стандарту TGP Opal
2013-01-04 в 3:30, admin, рубрики: Новости, метки: новостиКомпания CMS Products, специализирующаяся на такого рода изделиях, объявила о выпуске внешнего жесткого диска CE-Secure DiskVault объемом 500 ГБ, защищенного шифрованием. По словам производителя, CE-Secure DiskVault — первый внешний жесткий диск с интерфейсом USB 3.0, соответствующий требованиям соответствующего стандарта OpalЧитать полностью »