2014-12-20

qkowlew: На Зилантконе меня сфоткали мыльницей. Мыльницам не позирую! (фига)
2014-12-20 04:05 pm

mysqld 100% и старый код PHP всякого рода...

Очередной SQL Injection довольно массового характера
Обнаружив на сайте урлы вида
/album.phtml?id=340
бот злоумышленника предлагает php-шному коду к рассмотрению урлы формата например
/album.phtml?id=999999.9+%2f**%2fuNiOn%2f**%2faLl+%2f**%2f
sElEcT+%2f**%2fcAsT(0x393133353134353632312e39+as+char),%2f**%2fcAsT(0x393133353
134353632322e39+as+char),%2f**%2fcAsT(0x393133353134353632332e39+as+char),%2f**%
2fcAsT(0x393133353134353632342e39+as+char),%2f**%2fcAsT(0x393133353134353632352e
39+as+char),%2f**%2fcAsT(0x393133353134353632362e39+as+char)...

что даёт злоумышленнику возможность собрать интересующую его информацию и ею далее воспользоваться.

Так как код сайта ну ОЧЕНЬ древний, приходится лечить примерно вот такими вставками с регекспом, в который укладываются валидные URI этого конкретного сайта:

if ( !preg_match("/^id\=\d{1,3}(|\&track\=\d{1,2})$/", $_SERVER{"QUERY_STRING"})) {
...
}

В этом смысле наименее приятны как раз движки, в которых без дополнительных проверок ищется в базе человекочитаемый URI произвольной длины и практически произвольного содержания. :(
qkowlew: На Зилантконе меня сфоткали мыльницей. Мыльницам не позирую! (фига)
2014-12-20 04:49 pm

Про цену на водку в СССР. Математический прикол

...Народные помыслы
...Инородные промыслы
мои очитки

Если возвести 4.12 в степень 3.62
а 3.62 в степень 4.12
И первое число поделить на второе
От получившегося числа взять арктангенс
То получится 40 градусов с точностью, не худшей, чем содержание спирта в водке.