Ruby on Rails Day

[webarto]

https://github.com/rails/rails/commi...2b1aa393e6dc57
https://github.com/rails/rails/issues/5228
https://github.com/blog/1068-public-...and-mitigation

[jablan]

Nisam samo skontao da li su mu na kraju vratili nalog.

Edit: Vidim da jesu, što je ok.

[webarto]

Jesu, dobro je, meni su na Envato tek kroz mjesec dana vratili Mislim da je ovo moguće abuseati i u PHP FW.

[djipko]

Ako se zadje (malo) dublje u ono sto je bio uzrok ovog exploita - jako lepo se nastavlja na ovu temu od pre koji mesec: http://www.devprotalk.com/t10734-fat...s-reverse.html

Inace - mislim da je ovo jako veliki propust, i da ce GitHub pretrpeti veliku stetu zbog ovoga, sto mislim da nije kul jer su puno toga uradili za celu industriju.

Takodje ovo je dobar pokazatelj u kojem je stadijumu razvoja nasa celokupna industrija (hint: jako je mlada).

[ivanhoe]

Ne radim u Railsu, pa ne mogu da procenim koliko je ovo rasprostranjen propust, ali u PHP svetu bih ja ovo smatrao jako amaterskim... da dozvolis da ti neko injectuje properties u model tako sto updejtujes sva prosledjena polja, bez provere, to je bas nedostatak razmisljanja o tome sta se desava u software-u i kako to moze da se zloupotrebi...

BTW, slicne mogucnosti ima i vecina PHP fw-ova, kao sto rece Webarto, tako da je sasvim moguce da i tu gomila ljudi ne proverava te stvari, koliko god mi to izgledalo neverovatno...

[webarto]

Fails:

PHP kôd:

def signup
  params[:user]
  @user = User.new(params[:user])
end 


Kohana:

PHP kôd:

$user = ORM::factory('user')
           ->values($this->request->post())
           ->create(); 


Ali u oba je moguće začepiti rupu, za RoR http://edgeguides.rubyonrails.org/se...ass-assignment je attr_protected, a za Kohanu (primjer PHP FW, poštenog) je dovoljno dodati drugi parametar tipa ['username', 'password'] i ostalo će se ignorisati.

[jablan]

Originalno napisao ivanhoe

Ne radim u Railsu, pa ne mogu da procenim koliko je ovo rasprostranjen propust, ali u PHP svetu bih ja ovo smatrao jako amaterskim...

Ja pretpostavljam da je jako rasprostranjen. Iako je ceo problem prilično dobro dokumentovan, kao default je ostavljena mogućnost mass assignmenta. A s obzirom da je jedan od postulata Railsa "convention over configuration", većina ljudi se oslanja na "sane defaults", s tim što u ovom slučaju default nije "sane".

[kickloop]

Opet merite čiji je veći.

[degojs]

Mislim da to može da se uradi i na ASP.NET MVC-u... :-)

[webarto]