abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
včera 17:00 | Nová verze

Simon Long představil na blogu Raspberry Pi novou verzi 2018-11-13 linuxové distribuce Raspbian určené především pro jednodeskové miniaturní počítače Raspberry Pi. Přehled novinek v poznámkách k vydání. Společně s Raspbianem byl aktualizován také instalační nástroj NOOBS (New Out Of the Box Software). Simon Long z novinek zdůrazňuje multimediální přehrávač VLC s hardwarovou akcelerací nebo vývojové prostředí pro Python Thonny ve verzi 3. Ke stažení jsou nově také lite a full obrazy Raspbianu. Raspbian Full opět obsahuje software Mathematica.

Ladislav Hagara | Komentářů: 0
včera 02:00 | Nová verze

Krátce po vydání Debianu 9.6 oznámil Tomáš Matějíček vydání verze 9.6 dnes již na Debianu založené živé linuxové distribuce Slax. Vedle vylepšení z Debianu je opraveno několik malých chyb. Opraveno bylo bootování pomocí PXE. Novinkou je skript s názvem pxe pro spuštění vlastního PXE serveru.

Ladislav Hagara | Komentářů: 0
včera 01:00 | Nová verze

Byla vydána beta verze Red Hat Enterprise Linuxu 8. Přehled novinek v příspěvku na blogu a v poznámkách k vydání.

Ladislav Hagara | Komentářů: 3
15.11. 13:44 | IT novinky

Nadace Raspberry Pi na svém blogu představila (YouTube) jednodeskový počítač Raspberry Pi 3 Model A+. Toto menší Raspberry Pi 3 lze koupit za 25 dolarů.

Ladislav Hagara | Komentářů: 0
15.11. 06:00 | Pozvánky

Dnes a zítra probíhá v Praze konference Internet a Technologie 18 pořádaná sdružením CZ.NIC. Sledovat ji lze online.

Ladislav Hagara | Komentářů: 0
15.11. 01:11 | Komunita

V září proběhl v Madridu Open Source CubeSat Workshop 2018. Videozáznamy přednášek byly zveřejněny na YouTube.

Ladislav Hagara | Komentářů: 1
15.11. 00:55 | Zajímavý software

Společnost Amazon představila Amazon Corretto. Jedná se o fork a distribuci OpenJDK (Open Java Development Kit) s dlouhodobou podporou od Amazonu. Ke stažení je preview verze 8. V plánu je také verze 11. Zdrojové kódy jsou k dispozici na GitHubu. Jedná se o reakci na oznámení společnosti Oracle, že bezplatné aktualizace její Javy nebude možné po lednu 2019 používat komerčně. Název Coretto vychází z Caffè corretto, tj. espressa s alkoholem.

Ladislav Hagara | Komentářů: 9
14.11. 12:44 | Nová verze

Po roce vývoje od vydání verze 5.2.0 byla vydána verze 5.3.0 svobodného integrovaného vývojového prostředí KDevelop (Wikipedie). Novinkou je analyzátor Clazy. Vylepšena byla podpora programovacích jazyků C++, PHP a Python. Ke stažení a k vyzkoušení je i binární balíček s KDevelopem 5.3.0 ve formátu AppImage.

Ladislav Hagara | Komentářů: 0
14.11. 05:55 | Komunita

Ubuntu 19.04 bude mít kódové jméno Disco Dingo. Dle oznámení v diskusním listu ubuntu-devel-announce je ve vývojové verzi Disco Dinga výchozím Pythonem 3 verze 3.7. Perl byl aktualizován na verzi 5.28. OpenSSL 1.0 bude nahrazeno OpenSSL 1.1.1 LTS. Nové instalace Dinga budou mít sloučený /usr. Stane se tak 7 let po sloučení /usr ve Fedoře nebo Arch Linuxu.

Ladislav Hagara | Komentářů: 9
14.11. 02:22 | IT novinky

V pondělí a úterý proběhl v San Franciscu Chrome Dev Summit 2018. Přehled dění v příspěvcích na Chromium Blogu. Videozáznamy přednášek na YouTube. Představen byl například web pro webové vývojáře web.dev nebo rozšíření webového prohlížeče Chrome s názvem VisBug (YouTube) určené pro webdesignery. Slíbená je podpora Firefoxu.

Ladislav Hagara | Komentářů: 0
Jak nejčastěji otevíráte dokumenty na počítači?
 (91%)
 (4%)
 (5%)
Celkem 110 hlasů
 Komentářů: 9, poslední 15.11. 22:46
Rozcestník

Globální scan otevřených .git repozitářů

Scan velkého množství webových stránek odhalil téměř 400 tisíc webových stránek s přístupným adresářem .git, ze kterého lze stáhnout část jejich zdrojových kódů.

31.8. 23:48 | smíťa | Zajímavý článek


Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

Komentáře

Vložit další komentář

1.9. 00:06 luv | skóre: 18 | blog: luv
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
kudos
1.9. 09:36 mica
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
IDOS
1.9. 11:18 mankind_boost | skóre: 7 | Hliněná chýše, 5482/3
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
MS-DOS
Jen skutečný mankind_boost je zárukou kvality.
xkucf03 avatar 1.9. 12:49 xkucf03 | skóre: 46 | blog: xkucf03
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Uživatel má mít přístup ke zdrojákům, to je přece normální.

Stejně tak je normální nedávat do zdrojáků tajné údaje jako hesla, klíče atd. Takže v čem je vlastně problém? :-)
Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-Výuka.cz, Nekuřák.net
1.9. 17:34 Peter Golis | skóre: 57 | Bratislava
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Ja v tom žiaden problém nevidím. Pán Vladimír Smitka zadefinoval virtuálny problém, pohľadal výskyt a napísal o tom článok. A o tomto je táto správička.

Človek odchovaný korporátnou sférou sa potreboval zviditeľniť, tak vyfabuloval článok. A k rozšíreniu povedomia o tom článku použil techniku známu ako virálny marketing. Mohol radšej napísať prejav premiérovi.
1.9. 23:12 smíťa | skóre: 7 | blog: Zápisky z Lyntu
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Proč myslíš, že bych měl být odchovaný korporátní sférou? To, že ty v tom problém nevidíš pro ty stovky tisíc webů nic moc neznamená.
3.9. 07:52 Peter Golis | skóre: 57 | Bratislava
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Pretože sa potreboval zviditeľniť, a tak nafúkol zbytočný článok. Tie stovky tisíc webov to nezaujímalo pred tým článkom, a nebude ich to zaujímať ani po tom článku.
k3dAR avatar 3.9. 09:40 k3dAR | skóre: 51
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
pripada to jen me, ze potrebu zviditelnit, bohuzel casto tema nejtrapnejsima kecama, tu mas hlavne ty? ;-)
porad nemam telo, ale uz mam hlavu... nobody
3.9. 10:27 Peter Golis | skóre: 57 | Bratislava
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Skús si prečítať autora správičky odkazujúcej na článok ktorého autor je zhodný s autorom správičky. A k tomu sa skús zamyslieť sa aký je problém mať dostupné zdrojáky stránky. Možno potom pochopíš prečo je to len virálny marketing.
Heron avatar 3.9. 10:58 Heron | skóre: 51 | blog: root_at_heron | Olomouc
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
ktorého autor je zhodný s autorom správičky
To už se tady stalo vícekrát. Ať si každý udělá vlastní názor, zda je to dobře či špatně. Stejně jako třeba reklama na Microsoft vypadající jako běžný článek.

K tématu. Ano, podobných scanů jsou desítky, pokud se to prezentuje jako zajímavost, tak proč ne. Ale nesouhlasím s tím, že někdo nějaký jev prezentuje jako problém a je potřeba tomu zabránit apod.
3.9. 12:41 smíťa | skóre: 7 | blog: Zápisky z Lyntu
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
@Peter: Pořád nechápu, s čím máš problém. Věnoval jsem spousty práce výzkumu samotnému, kontaktování velkého množství dotčených stran, vytvořením statistik a publikaci článku. O článku jsem následně informoval na serveru, kde se pohybují lidé, kteří jsou za řešení podobných problémů často zodpovědní. V tom osobně žádný problém nevidím, navíc když článek nemá ani žádný komerční podtext. Pravděpodobně o virálním marketingu moc nevíš, jinak bys za něj nemohl označovat článek, o kterém jsem informoval na 2 místech - na svých osobních sociálních sítích a zde ve zprávičce + ho následně převzal zdroják.

Proč je problém mít dostupné zdrojáky stránky? Ve tvém utopickém světě to samozřejmě problém není - všechno je opensource, nad projektem máš kompletní kontrolu, nikdo se nikdy neodvážil do repozitáře přidat jakékoliv citlivé informace (třeba klíče k AWS), nikdo nikdy neupravoval soubor přímo na produkčním serveru, je dokonalý patch management proces, kdy se všechny knihovny okamžitě automaticky aktualizují i s testy, které samozřejmě vždy projdou, a všechny webové servery jsou bezchybně nakonfigurované. A samozřejmě se nenajde nikdo, kdo by případných problémů chtěl zneužít. Reálný svět vypadá ale dost jinak...

@Heron Nemyslím si, že podobných scanů, které by problém prozkoumaly v takové šíři (většinou se používá Alexa TM) a snažily se o kontakt s postiženými stranami, jsou desítky. To že jsem na ně nenarazil, ale moc neznamená. Podrobnější prověření kontrolního vzorku právě ukázalo, že to problém opravdu je a právě proto jsem se rozhodl udělat scan v globálním kontextu. Jak je v článku uvedeno, tak problém je i v tom, že v repozitáři jsou i minulé soubory a v nich bohužel často jsou informace, které později byly odstraněné. Scanu ukazuje i na velké množství špatně nakonfigurovaných serverů, které servírují libovolné soubory - takže i když v repu třeba není soubor s konfigurací databáze a třeba údaji k SMTP, tak se dozvím, kde by mohl být a stáhnu ho přímo. Statisticky vztaženo ke kontrolnímu vzorku, bude takových serverů tisíce. Za mě tečkové soubory a složky nemají být veřejně přístupné - stejně jako nedávám třeba veřejně .htpasswd, by to mělo platit pro všechny tyto soubory. Obecně je potřeba dávat pozor na to, co na webserver nahrávám a i když jsem třeba jen vývojář, tak se zajímat o to, zda je server dobře nastaven - administrátor serveru nemusí mít ponětí, v jaké části aplikace jsou citlivé informace.
Heron avatar 3.9. 13:18 Heron | skóre: 51 | blog: root_at_heron | Olomouc
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Nemyslím si, že podobných scanů, které by problém prozkoumaly v takové šíři (většinou se používá Alexa TM) a snažily se o kontakt s postiženými stranami, jsou desítky.
No nám chodí jednotky mailů ročně (za celou dobu života firmy už určitě desítky) o tom, že někde je otevřený nějaký port a že bychom to měli zavřít apod. To se dá brát jako "díky za info". Horší jsou ovšem dopisy od NCKB a CSIRT, které rozesílají na různé úřady a kde jim říkají, jak mají mít zabepečenou síť a ty úřady to často vezmou jako příkaz a vyžadují to, i když je to zcela nesmyslné a v jejich síti neaplikovatelné.

Naposledy minulý týden někdo poslal výsledek jakéhosi obskurdního scanu webu a dožadoval se "nápravy". Nástroje jsou to užitečné, ale je potřeba s nimi umět pracovat.

Jinak ono to spíš ukazuje na jiný problém. A to, že ti lidé neumí zacházet s verzovacím systémem. Podle mě není příliš řešení ve stylu "zakážeme přístup do tečkových adr a souborů", protože všechny tyto ochrany potom v praxi vedou k "ok, a teď za tou zdí můžeme prasit". Viděl jsem to několikrát.

Prostě .git adresář do DocumentRootu nepatří. Nemá tam co dělat. Pokud to tam někdo má, je to špatně. Existují nástroje na deploy. Dokonce i git lze využít na deploy a vůbec to neznamená, že tam bude celé repo.

Takže dík za scan, určitě je užitečné lidem připomenout, že možná dělají něco, nad čím by se měli zamyslet, ale celkem bych byl nerad, kdyby si to někdo nastavil tak, že tečky jsou nepřístupné a prasili dál.
3.9. 13:29 smíťa | skóre: 7 | blog: Zápisky z Lyntu
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Naprostý souhlas :-) Také proto v upozornění jako nejlepší řešení problému uvádím změnu deployment workflow a doporučuji prozkoumat třeba Fabric, Capistrano nebo alespoň změnu worktree.
k3dAR avatar 3.9. 21:10 k3dAR | skóre: 51
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Petera bez s nekolikanasobnou reservou, staci se podivat na jeho dalsi prispevky a uvidis ze 97.5% z nich jsou trapne narazky, je to takovej specifickej trolling kterej mu dela dobre ;-)
porad nemam telo, ale uz mam hlavu... nobody
xkucf03 avatar 3.9. 21:24 xkucf03 | skóre: 46 | blog: xkucf03
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Skús si prečítať autora správičky odkazujúcej na článok ktorého autor je zhodný s autorom správičky.

Taky už jsem párkrát psal zprávičky o vlastních článcích/projektech. Jasně, že by bylo lepší, když to napsal někdo jiný, ale zprávičkářů je málo a ne všechno sledují. Nakonec je to stejně na tom, kdo zprávičky schvaluje, aby posoudil, jestli je to dostatečně zajímavý obsah i pro čtenáře.

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-Výuka.cz, Nekuřák.net
xkucf03 avatar 3.9. 21:20 xkucf03 | skóre: 46 | blog: xkucf03
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů

+1

Já jsem ten svůj komentář napsal napůl ze srandy a taky se smajlíkem. Peter se toho bohužel nějak chytl a začal se zle navážet do autora.

Mám rád, když se lidé přou, znamená to, že vědí, co dělají, a že mají směr. Frantovo.cz, SQL-Výuka.cz, Nekuřák.net
4.9. 12:25 Peter Golis | skóre: 57 | Bratislava
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Do virálu. Keby ten autor nevytvoril imaginárny problém na ktorý si musel zapnúť clickbait, tak mi je to jedno. Ale smejem sa na tom ako mu to vyšlo.
4.9. 15:17 smíťa | skóre: 7 | blog: Zápisky z Lyntu
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Však to také beru :-) Diskuze o tom, co by mělo být veřejné, co ne a jaké jsou vhodné postupy rozhodně dává velký smysl. Většina z nás to ví a ví to často i postižené strany. Desítky z nich se mnou podělilo o to, jak k problému došlo, nejčastěji změnou migrace serveru/případně netušením, kde projekt v produkci poběží, někdy to bylo omylem člena týmu, změně v nějaké dockerové vrstvě, někdo naopak neměl tušení, že z .git lze zdrojový kód zpětně sestavit.
1.9. 23:20 smíťa | skóre: 7 | blog: Zápisky z Lyntu
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
To je samozřejmě normální, ale bohužel to z globálního pohledu není tak moc dodržováno. Problém je v tom, že nejde jen o současné soubory, ale i minulé. A ty mohou občas prozradit zajímavé informace. Nalezl jsem například ve starším commitu info o python skriptu na zálohování s hesly, ke kterému přístup samozřejmě nebyl, ale už to nebylo ošetřené pro kompilovaný pyc... A také nejde jen o ty tajné informace, ale třeba o zjištění, jaké knihovny se používají, což otvírá opět vrátka k dalšímu hledání chyb.
3.9. 09:41 smíťa | skóre: 7 | blog: Zápisky z Lyntu
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Zkoumal jsem, jak se přístup k .git objevil třeba u Python a Ruby aplikací. V naprosté většině případů je to z důvodu, že je chybně nakonfigurovaný webserver. Ve snaze na něj přenést práci se statickými soubory jsou exponované úplně všechny soubory, když člověk zná jejich jméno (a to zná z .git). Takže lze získat konfiguraci i když v repu není... Problém se tak týká i aplikací, které mají zdrojové kódy veřejné.
Petr Tomášek avatar 1.9. 17:37 Petr Tomášek | skóre: 38 | blog: Vejšplechty
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
A kolik z nich je pod GPL a kolik pod BSD? :-)
multicult.fm | monokultura je zlo | welcome refugees!
1.9. 23:15 smíťa | skóre: 7 | blog: Zápisky z Lyntu
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
To je bohužel dost těžké určit bez vytažení samotných souborů :-). Každopádně zhruba 24 000 z nich mělo definovaný remote origin na GitHubu, což ale ještě neznamená, že některé z nich nejsou privátní repo, nebo že nemají lokální "privátní" commity.
4.9. 12:27 debian
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Trapná reklama
4.9. 15:05 smíťa | skóre: 7 | blog: Zápisky z Lyntu
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Trapná reklama na co přesně? :-)
4.9. 15:29 debian
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Na tvoji tlamu
4.9. 15:47 smíťa | skóre: 7 | blog: Zápisky z Lyntu
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
Není trochu povrchní hodnotit lidi jen podle tlamy? :-)
4.9. 18:57 debian
Rozbalit Rozbalit vše Re: Globální scan otevřených .git repozitářů
je, já je hodnotím podle toho kde spamují s reklamou

Založit nové vláknoNahoru


ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.