829

Robert'); DROP TABLE Students;--

Девушка по имени Rachel True не могла получить доступ к iCloud из-за своей фамилии

Интересно, что на протяжении шести месяцев у девушки регулярно снималась плата за облачное хранилище, к которому у неё не было доступа по вине Apple.


True - это её настоящая фамилия. Более того, она достаточно известная актриса, если не ошибаюсь:

https://en.wikipedia.org/wiki/Rachel_True


Комментаторы шутят, что ей стоило бы сменить фамилию на Null. Или добавить к фамилии .toString()


Ну и классический комикс XKCD в тему:

Изначальная новость уже проскакивала на Пикабу, но в кратком виде


Update: в комментах привели хабрастатью (не видел в поиске, увы), в которой упоминается, что Павел Джундик (Pavel Djundik) показал, где именно возникает проблема в коде:

IT-юмор

7.1K поста53.2K подписчик

Правила сообщества

Не публикуем посты:
1) с большим количеством мата
2) с просьбами о помощи
3) не относящиеся к IT-юмору

72
Автор поста оценил этот комментарий

Когда то давно читал статью как мужик на машину наклеил sql запрос вместо номера и гонял по городу очищая в камерах инфу по штрафам. Это было до того времени когда каждая кружка подключена к интернету.

раскрыть ветку (1)
76
Автор поста оценил этот комментарий

google "SQL injection licence plate" - 2014 год, уже всё было подключено :-)

Иллюстрация к комментарию
показать ответы
5
Автор поста оценил этот комментарий

Всмысле сработало?

раскрыть ветку (1)
35
Автор поста оценил этот комментарий

Да не, вряд ли такое сработает сходу, но выглядит весело :-)

показать ответы
26
Автор поста оценил этот комментарий

А булевое поле всегда возвращало "success"?

Если нет, то это обычная "слепая" sql-injection которая хоть и сильно замедляет процесс, но с помощью автоматизации позволяет извлечь небольшой объём данных.


(SELECT 1 from users)=1

Узнаём существует ли таблица users

ascii(substring((select concat(column_name) from information_schema.columns where table_name=users+limit 0,1),1,1))> 100

Узнаём имеет ли код первого символа названия первого столбца значение больше 100


Так можно вытащить имена таблиц с их полями, а дальше можно искать админские хеши паролей, после чего если повезёт с админскими правами пробовать вынести всю БД.

раскрыть ветку (1)
20
Автор поста оценил этот комментарий

Безопасник влез в тему и всё сломал :-)

87
Автор поста оценил этот комментарий

Читал про чела, который получил номера NULL, чтобы избегать штрафов. Эффект был обратный, ему стали приходить все штрафы чужих нарушений где номер автомобиля был не распознан.

раскрыть ветку (1)
15
Автор поста оценил этот комментарий

А, да, он еще на DefCon потом про это рассказывал. Собрал какую-то огромную кучу штрафов.

https://www.wired.com/story/null-license-plate-landed-one-ha...

показать ответы
3
Автор поста оценил этот комментарий
Это капец, говно программист с проверкой стригового true и супер апупенная нестрограя типизация... Слава богам у меня такого не бывает)
раскрыть ветку (1)
4
Автор поста оценил этот комментарий

Ну так вы и не в Apple работаете. Всё впереди :-)

6
Автор поста оценил этот комментарий
У меня чувство дежавю.
Как будто эта новость была уже и я ее читал лет 10 назад.
раскрыть ветку (1)
6
Автор поста оценил этот комментарий

Событие от марта 2021. Хотя, может быть, 10 лет назад разработчики Apple лажали примерно так же.

12
Автор поста оценил этот комментарий
Комментарий удален. Причина: данный аккаунт был удалён
раскрыть ветку (1)
2
Автор поста оценил этот комментарий
Иллюстрация к комментарию
4
Автор поста оценил этот комментарий
Весело? Да это шедевр, просто крякаю в голос
раскрыть ветку (1)
3
Автор поста оценил этот комментарий

Весело для тех, кто знает слово SQL-инъекция. Да не, это нормально чего-то не знать, ИТ - оно большое. Ниже объяснение на пальцах: #comment_201442030

показать ответы
раскрыть ветку (1)
1
Автор поста оценил этот комментарий

Хабровскую статью не видел. Ожидаемо хорошая (поскольку не рекламная, как 95% там)

показать ответы
2
Автор поста оценил этот комментарий

"True" ни при каком сравнении не будет равна true, даже true == "true" //false

раскрыть ветку (1)
0
Автор поста оценил этот комментарий
2
шаг вперёд,
Автор поста оценил этот комментарий

Мне кажется, или Павел Джундик пиздит?
"true" не будет === "True", или тётя свою фамилию с маленькой буквы пишет?

В смысле ошибка где-то в другом месте.

раскрыть ветку (1)
0
Автор поста оценил этот комментарий

Да, в одной статье как раз умоминалось, что с маленькой. Так-то пофиг, но вот именно в контексте эппловского скрипта разница срабатывает.

0
Автор поста оценил этот комментарий

Да нет, мне что-о ответили, но быстро почистили

раскрыть ветку (1)
0
Автор поста оценил этот комментарий

Возможно, это был я. Там что-то сглючило при вставке картинки.

показать ответы
0
DELETED
Автор поста оценил этот комментарий

Видимо у огрызка только манагеры хорошо работают.

раскрыть ветку (1)
0
Автор поста оценил этот комментарий

Ну и продажники!

показать ответы
0
Автор поста оценил этот комментарий

Это результат "сейчас образование не требуется".

Знаешь сколько дохуя таких "пробитий" на code review можно наблюдать?

А самое страшное то, что ревьюер проблем не видит.

раскрыть ветку (1)
0
Автор поста оценил этот комментарий

Добавил в пост картинку. Вы правы, да.

показать ответы
1
Автор поста оценил этот комментарий

Хабровскую статью не видел. Ожидаемо хорошая (поскольку не рекламная, как 95% там)

раскрыть ветку (1)
0
Автор поста оценил этот комментарий

Добавил в пост.

1
Автор поста оценил этот комментарий

Нет, меня там передастом назвали

раскрыть ветку (1)
Автор поста оценил этот комментарий

Ничего не имею против вас лично, но удалили тот коммент-то зря :-)

Темы

Политика

Теги

Популярные авторы

Сообщества

18+

Теги

Популярные авторы

Сообщества

Игры

Теги

Популярные авторы

Сообщества

Юмор

Теги

Популярные авторы

Сообщества

Отношения

Теги

Популярные авторы

Сообщества

Здоровье

Теги

Популярные авторы

Сообщества

Путешествия

Теги

Популярные авторы

Сообщества

Спорт

Теги

Популярные авторы

Сообщества

Хобби

Теги

Популярные авторы

Сообщества

Сервис

Теги

Популярные авторы

Сообщества

Природа

Теги

Популярные авторы

Сообщества

Бизнес

Теги

Популярные авторы

Сообщества

Транспорт

Теги

Популярные авторы

Сообщества

Общение

Теги

Популярные авторы

Сообщества

Юриспруденция

Теги

Популярные авторы

Сообщества

Наука

Теги

Популярные авторы

Сообщества

IT

Теги

Популярные авторы

Сообщества

Животные

Теги

Популярные авторы

Сообщества

Кино и сериалы

Теги

Популярные авторы

Сообщества

Экономика

Теги

Популярные авторы

Сообщества

Кулинария

Теги

Популярные авторы

Сообщества

История

Теги

Популярные авторы

Сообщества