Это получается, что у тебя еще и старая версия телерика?

Ага, точно так. Была где-то статья от автора (анонимного) мини-библиотечки. Что-то там помогала в консоль красиво выводить информацию. Заодно все введенные на формах данных передавала куда нужно. Всё продумано, внедрена система вероятного обнаружения, отложенный старт зловредной активности. У автора основная проблема стала производительность сервака, куда эти данные лились — уж слишком много их было.

0

30.05.2021

Иван

Ayrat Hudaygulov
эт да. И ладно бы телерик, в npm тыщи пакетов уязв...

Так это нужно ещё узнать, что на серваке стоит нода и какие именно пакеты. Ну и вариант не юзать ноду на бэке ты не рассматриваешь, я так понимаю

0

30.05.2021

Ayrat Hudaygulov

Иван
Так это нужно ещё узнать, что на серваке стоит нод...

Я только за то, чтобы не юзать ноду на беке. Но нодеров-то целая орда, как и петонистов.

0

30.05.2021

PavelDmitrenko

Иван
Так это нужно ещё узнать, что на серваке стоит нод...

То, что я описал чуть выше — имеет отношение к клиентам. И, по эффекту, пострашней проникновения на один определенный веб-сервер

0

30.05.2021

Иван

PavelDmitrenko
То, что я описал чуть выше — имеет отношение к кли...

Эм, нет. Там же написано, что клиентский json десериализуется таким образом, что позволяет вызывать зловредный код на бэке С нормальным бэком таких проблем не будет

0

30.05.2021

PavelDmitrenko

Сейчас посмотрел: один из сайтов, содержащих библиотеки, разрабатывался мной в 2013-м году (WebForms), и с тех пор доработок по нему не было (что-то мелкое) На тот момент версия телерика была использована самая актуальная. Так что надо либо постоянно обновлять даже то, что сделано черте когда, либо а/в С учетом того, что, при обновлении, может что-то сломаться (и руководствуясь принципом "работает — не трогай"), выбор не велик.

0

30.05.2021

PavelDmitrenko

Иван
Эм, нет. Там же написано, что клиентский json десе...

не, я про NPM (хелпер вывода отладочной информации в консоль браузера)

0

30.05.2021

Иван

PavelDmitrenko
не, я про NPM (хелпер вывода отладочной информации...

Клиент тебе ничего плохого не сделает, если бэк правильно настроен. Все апихи, что наружу выставлены по-умолчанию могут все ковырять с самыми злыми намерениями

0

30.05.2021

PavelDmitrenko

Иван
Клиент тебе ничего плохого не сделает, если бэк пр...

"Тебе" (веб-серверу) не сделает. А вот зла ("другим") в мир может привнести несравненно больше, чем захватив один веб-сервачок.

0

30.05.2021

Иван

PavelDmitrenko
"Тебе" (веб-серверу) не сделает. А вот зла ("други...

Кому другим-то?

0

30.05.2021

PavelDmitrenko

Иван
Кому другим-то?

Ну вроде же описал принцип... Этот популярный (на тот момент) NPM-пакет ставят много разрабов. Этот пакет был включен и в состав других пакетов. С ним выпускают разработки (сайты). Много разработчиков, очень, очень много сайтов. Код, содержащийся в библиотеках, отрабатывает на машинах пользователей этих сайтов, и сливает разрабу библиотеки все данные (включая авторизационные и платежные), вводимые этими пользователями на сайтах, использующих библиотеку.

0

30.05.2021

Иван

PavelDmitrenko
Ну вроде же описал принцип... Этот популярный (на ...

Ну это не новость, даже через css можно написать кейлоггер, т.е. если даже отключить js на сайте, это не гарантия того, что данные не сольют. От этого никак не защитишься на клиентской стороне Во многих популярных расширениях хрома такая фигня постоянно всплывает, что очередное extension_name что-то слило

0

30.05.2021

PavelDmitrenko

Иван
Ну это не новость, даже через css можно написать к...

Я не преподносил это как новость. Это был ответ Айрату, где я согласился с ним — да, вектор распространения через NPM может быть весьма эффективен.

0

30.05.2021

PavelDmitrenko · Accepted Answer

PavelDmitrenko

Да. У меня сотни сайтов, многие написаны на таких технологиях, что я их просто не пересоберу (без мук). Я, к сожалению, не в силах отслеживать все обновления.

0

30.05.2021

170 похожих чатов

Это получается, что у тебя еще и старая версия телерика?

16 ответов

Похожие вопросы