Aktywne Wpisy
![sztywny_misza](https://wykop.pl/cdn/c0834752/56872d5fa68f235cacf9f21b26d674da9b73b9553f85030b2897e33cc87b1e79,q60.jpg)
Znajoma mi nie chce oddać kasy co mam robić
#prawo
#prawo
![sztywny_misza - Znajoma mi nie chce oddać kasy co mam robić
#prawo](https://wykop.pl/cdn/c3201142/448024d8786d017f08b17e2ac01b5840c94b7f66d857605f9b8e2344dccf0f28,w150.jpg)
![ZAKAPIOREK](https://wykop.pl/cdn/c0834752/e449471ef1f6fc76e28ec985781475167d09214892d728865554a505801430c5,q60.jpg)
ZAKAPIOREK +22
próbowaliście?
dla mnie to smakuje jak 3 dniowa rozgazowana najtańsza cola XD
dla mnie to smakuje jak 3 dniowa rozgazowana najtańsza cola XD
![ZAKAPIOREK - próbowaliście?
dla mnie to smakuje jak 3 dniowa rozgazowana najtańsza ...](https://wykop.pl/cdn/c3201142/3236e2d8eb5bb8a757642d482ce6c626b57b02d6780aca05c0296868fe6df033,w150.jpg?author=ZAKAPIOREK&auth=80c7166c3af3638815ca72129522e6a1)
Skopiuj link
Skopiuj linkWykop.pl
Jest sobie urządzenie sieciowe, zarządzane zarówno przez SSH, jak i przez WEB GUI. Jeden z klientów mojego pracodawcy (IT/Telecom) postanowił zrobić coś z bezpieczeństwem sieci i zamiast jak wszyscy inni używać jednego hasła dla wszystkich takich urządzeń, albo wręcz zostawić domyślne hasło "password" (szokujące, jak wielu naszych klientów tak robi, poważne firmy telekomunikacyjne), zaczęli generować losowe hasła dla każdego urządzenia osobno. No i znaleźli nam buga :)
Bug polega na tym, że istnieją hasła, które znakomicie działają po SSH, jednak gdy się je ustawi przez GUI, traci się dostęp do urządzenia. Moje pierwsze podejrzenie, to że udało się im trafić w zestaw znaków, który zawiera w sobie jakiś kod sterujący HTML czy cóś i wysyłany ze strony www dochodzi do urządzenia w zmienionej formie.
Przykład takiego źle działającego hasła: P6Kr5RK&A)esV* - czy ktoś z was drodzy specjaliści od HTML widzi w tym stringu coś, co może tu być problemem?
no tak, bo wcale nie dziala na linuxie i innym oprogramowaniu open source
@Jarek_P: dramat, wolaj dalej specjalistow od htmla xD
@brakloginuf: kurna, skup się: tak, działa na linuksie, ja jednak operuję na urządzeniu wyłącznie przez nakładkę. Logi też widzę tylko takie, które zbiera owa nakładka, nie mam dostępu do innych.
@brakloginuf: tak, dzięki za pomoc. Tylko może już nie pomagaj, jeśli masz pomagać w ten sposób.
Ustalcie zestaw znaków jakie mogą być wykorzystywane jako hasło i napiszcie w końcu testy. Skoro teraz system nie ogarnia losowych danych, to pomyśl co można zrobić preparując złośliwe dane.
W prawdziwym świecie każdy ze znaków specjalnych może w jakiś sposób na jakimś etapie rozwalać najróżniejsze elementy systemu w których zapomniano o sanityzacji danych.
@MilionoweMultikonto: właśnie sęk w tym, że testy skupiają się raczej na zasadniczych dla tych urządzeń sprawach, czyli samym ich działaniu, nikt nie testuje takich pierdół, bo zwyczajnie nie ma na to czasu, management wychodzi z założenia, że najwyżej wyjdzie w praniu. Znamienne jest też to, że urządzenia istnieją w ciężkich tysiącach sztuk na świecie od lat i
@Jarek_P: Jeśli to jest obsługiwane jak zwykły html to & oddziela kolejną zmienną
Twój case jest gorszy - hasło przyjmie, ale już go nie użyjesz...
@testuser: no właśnie stąd całe jaja, bo średniej wielkości ISP z UK mi takie zgłoszenie przysłał: po implementacji losowo generowanych haseł w całej sieci stracili dostęp do niektórych obiektów. My jako producent mam swojego backdoora, więc dostęp im przywróciłem piorunem, sposoby na obejście problemu są dwa (nie używać &, zmieniać hasło przez CLI), ale trochę wstyd, że takie numery
my swego czasu dostaliśmy CPE od pewnego producenta które wyświetlało hasło admina webgui w kodzie strony, wystarczyło kliknąć Pokaż źródło strony ( ͡º ͜ʖ͡º)
@tajek: na polskim rynku właściwie w ogóle nieznany: Adtran.
@tajek: no fajne security. A co powiesz o firmie (nie będę podawał nazwy), która system zgłaszania krytycznych awarii, takich które mają skutkować natychmiastową reakcją ze strony wsparcia technicznego ma po pierwsze oparty na prostym i niczym nie zabezpieczonym systemie mail-to-phone (wysłanie maila na specjalną skrzynkę wywołuje automatyczną akcję dzwonienia na
@Jarek_P: dla niektórych mógłby yo być krytyczny problem ( ͡° ͜ʖ ͡°)
widziałem przypadek gdzie formularz zgłoszeniowy nie wysyłał wiadomości - wystarczyło odpowiednią kombinację krzaczków zaznaczyć i cyk zgłoszenie nie dochodziło ( ͡º ͜ʖ͡º)
był tu fajny tag o testach, strasznie życiowy XD