Нас взломали за 15 минут... Сегодня на криптоконфе в Дубаи

Question

Клуб Vue.js-разработчиков

Const 🇷🇺🇺🇲🇺🇦🇮🇱🇯🇴🇿 ҈҈҈҉҉҉҉҈҈҈҈҈҉҉҉҉҈҈҈҉҉҉҈҈҈҉҉҉҈҈҈҈҉҉҉ 🇮🇱🇯🇴🇹🇷🇶🇦🇦🇪🇬🇪🇪🇬ㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤ◡̈⃝ㅤ

Нас взломали за 15 минут... Сегодня на криптоконфе в Дубаи

.

Как быстро ща пофиксить?
pre-wrap? Или санитайзить теги скрипта ?

#programming #russian #vue.js

0

17.03.2022

12 ответов

14 просмотров

Const 🇷🇺🇺🇲🇺🇦🇮🇱🇯🇴🇿 ҈҈҈҉҉҉҉҈҈҈҈҈҉҉҉҉҈҈҈҉҉҉҈҈҈҉҉҉҈҈҈҈҉҉҉ 🇮🇱🇯🇴🇹🇷🇶🇦🇦🇪🇬🇪🇪🇬ㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤ◡̈⃝ㅤ Автор вопроса

на конфе хакеры зарабатывают вот такими чекамми на уязвимости ; Заливают через FIDDLER в каждый инпут и смотрят как рендерится

0

17.03.2022

Const 🇷🇺🇺🇲🇺🇦🇮🇱🇯🇴🇿 ҈҈҈҉҉҉҉҈҈҈҈҈҉҉҉҉҈҈҈҉҉҉҈҈҈҉҉҉҈҈҈҈҉҉҉ 🇮🇱🇯🇴🇹🇷🇶🇦🇦🇪🇬🇪🇪🇬ㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤ◡̈⃝ㅤ Автор вопроса

а подходы типа такого? https://lodash.com/docs/4.17.15#escape потом безопасно ли его рендерить с помощью v-html? Просто у меня чатик, в котором надо выводить теги, ссылки, упоминания юзеров, простым pre-wrap не получится, а юзеры могут писать и скрипты . unsafe .replaceAll('&', '&') .replaceAll('<', '<') .replaceAll('>', '>') .replaceAll('"', '"') .replaceAll("'", ''');

0

17.03.2022

Const 🇷🇺🇺🇲🇺🇦🇮🇱🇯🇴🇿 ҈҈҈҉҉҉҉҈҈҈҈҈҉҉҉҉҈҈҈҉҉҉҈҈҈҉҉҉҈҈҈҈҉҉҉ 🇮🇱🇯🇴🇹🇷🇶🇦🇦🇪🇬🇪🇪🇬ㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤ◡̈⃝ㅤ Автор вопроса

Const 🇷🇺🇺🇲🇺🇦🇮🇱🇯🇴🇿 ҈҈҈҉҉҉҉҈҈҈҈҈҉҉҉҉҈҈҈҉҉҉҈҈҈҉҉҉҈҈҈҈҉҉҉ 🇮🇱🇯🇴🇹🇷🇶🇦🇦🇪🇬🇪🇪🇬ㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤ◡̈⃝ㅤ

а подходы типа такого? https://lodash.com/docs/4.1...

короче ,решил вручную обходить всю строку и превращать его в объект . Потом рендерить — в зависимости от типа . Так я смогу выводить и скрипты и все. что наши хакеры захотят pre-wrap . + так же сделаю еще методы для линков и хештегов #job5

0

17.03.2022

Const 🇷🇺🇺🇲🇺🇦🇮🇱🇯🇴🇿 ҈҈҈҉҉҉҉҈҈҈҈҈҉҉҉҉҈҈҈҉҉҉҈҈҈҉҉҉҈҈҈҈҉҉҉ 🇮🇱🇯🇴🇹🇷🇶🇦🇦🇪🇬🇪🇪🇬ㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤ◡̈⃝ㅤ Автор вопроса

. Тут сеня с таким боролся

0

17.03.2022

Illya Klymov 🇺🇦

Const 🇷🇺🇺🇲🇺🇦🇮🇱🇯🇴🇿 ҈҈҈҉҉҉҉҈҈҈҈҈҉҉҉҉҈҈҈҉҉҉҈҈҈҉҉҉҈҈҈҈҉҉҉ 🇮🇱🇯🇴🇹🇷🇶🇦🇦🇪🇬🇪🇪🇬ㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤ◡̈⃝ㅤ
. Тут сеня с таким боролся

Неожиданно было увидеть v-html в коде

0

17.03.2022

Const 🇷🇺🇺🇲🇺🇦🇮🇱🇯🇴🇿 ҈҈҈҉҉҉҉҈҈҈҈҈҉҉҉҉҈҈҈҉҉҉҈҈҈҉҉҉҈҈҈҈҉҉҉ 🇮🇱🇯🇴🇹🇷🇶🇦🇦🇪🇬🇪🇪🇬ㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤ◡̈⃝ㅤ Автор вопроса

Illya Klymov 🇺🇦
Неожиданно было увидеть v-html в коде

Это легаси хз от кого перепало, не успел за 4 месяца заняться безопасностью((

0

17.03.2022

Maxim Bazuev

Преврап конечно, но если нужны теги, то санитайзить теги которые не из вайт листа

0

17.03.2022

Const 🇷🇺🇺🇲🇺🇦🇮🇱🇯🇴🇿 ҈҈҈҉҉҉҉҈҈҈҈҈҉҉҉҉҈҈҈҉҉҉҈҈҈҉҉҉҈҈҈҈҉҉҉ 🇮🇱🇯🇴🇹🇷🇶🇦🇦🇪🇬🇪🇪🇬ㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤ◡̈⃝ㅤ Автор вопроса

Maxim Bazuev
Преврап конечно, но если нужны теги, то санитайзит...

Там чатик, сообщение человека должно доставляться как есть, + парсить надо и вставлять как ссылки, например - ссылки , упоминания юзеров, хештеги . Не придумал ничего лучшего, чем спарсить весь текст в массив из объектов с указанием типа контента

0

17.03.2022

Maxim Bazuev

Const 🇷🇺🇺🇲🇺🇦🇮🇱🇯🇴🇿 ҈҈҈҉҉҉҉҈҈҈҈҈҉҉҉҉҈҈҈҉҉҉҈҈҈҉҉҉҈҈҈҈҉҉҉ 🇮🇱🇯🇴🇹🇷🇶🇦🇦🇪🇬🇪🇪🇬ㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤ◡̈⃝ㅤ
Там чатик, сообщение человека должно доставляться ...

В телеге тоже чатик, а вот одинарная скобка не долетает как надо если их несколько))

0

17.03.2022

Алексей

V8 говорят такое не любит

0

18.03.2022

Const 🇷🇺🇺🇲🇺🇦🇮🇱🇯🇴🇿 ҈҈҈҉҉҉҉҈҈҈҈҈҉҉҉҉҈҈҈҉҉҉҈҈҈҉҉҉҈҈҈҈҉҉҉ 🇮🇱🇯🇴🇹🇷🇶🇦🇦🇪🇬🇪🇪🇬ㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤㅤ◡̈⃝ㅤ Автор вопроса