Yoda

Новичек - это сербский нервнопаралитический яд, как движек и станек! А у нас новичок и движок!

Проспись, уже по клаве не попадаешь. мало того что код кривой, еще и бухой 24/7. Как тебя можно к магазинам подпускать.. Так что зассал? Пари не готов?

Дамбпусси, не смеши.. Ну ты его загрузил... Ну файл txt. ИИИИ И ЧТО? Как его выполнить, странный человек, у тебя реално 23 хромосомы, что ты несешь? Покажи как пользовать уязвимость то? Где дыра, где структура файлов, где загруженный шелл? Пароль от базы хотя бы... НИЧЕГо ТЫ ПРОСТО ЗАГРУЗИЛ ТЕКСТОВЫЙ ФАЙЛ! И ВСЕ!!!!!!!!! А мы на твоем блоге показывали, как к монахам получить полный доступ к ресурсу? Ты ж не полный идиот, понимаешь разницу, я надеюсь? Мало того, это не опенкарт про, а код нативного опенкарт! Сможешь узнать название загруженного файла, или выполнить этот файл на безопасном окружении? Ну и еще раз, если ты такой резвый... Что же ты молчишь, почему нет пул реквестов, исправлений? Ведь это код opencart, который не имеет отношения к сборке PRO и ты опять хочешь натянуть презерватив на кактус, смешав в кучу коней и людей и уйти от темы. Все что ты показал это проблемы нативного opencart. Ну и это даже не проблемы. А так.. Пойди используй! А вот в отличии от даниэля, ты всунул специально три уязвимости... Даниель в кеше не использует расщирение .PHP в отличии от глупого тебя. И не делает include($cache_flle. ".php") чтобы его исполнить. Ты даже не джуниор . Ты просто днище программист! Чего только стоят твои COOKIE неэкранированные! Но ты же писал - что это нормально, а теперь вдруг что нет? Определись, ты дырявый, или не очень! Помнишь, ты эти уязвимости, которые ты специально внедрил, называл защитой от вареза, только их нашли админы гидры и вставляют твоих покупателей.. Так можно было да? Ну давай уведомим всех кто купил твой блог, друзья, вы все купили это дополнение, но в нем защита от вареза, которую знают админы гидры, и они через нее могут постить свои ссылки... Вобщем дорогой неделакий мишка, давай говори за себя... Расскажи, почему вдруг, в коммерческом дополнении есть уязвимости, из-за которых у нас появились левые ссылки. Что-то я не слышал чтобы они появлялись ни в опенкарт ни в опенкарт про.. А вот в твоем гавномодуле есть? Как так, такой специалист по безопасности подставил свои более 10 000 магазинов? В суд подать на тебя ? Ну а если хочешь доказать что твои слова чего то стоят. Предлагаю пари. Я ставлю Opencart с репозитория даниэля. И ты используя свою эту уязвмиость находишь файл mark_pizdabol.php - там будет лежать ключ к кошельку на 0.1 биткоин! Найдешь - твое. С тебя депозит администрации в мою пользу на 0.05 биткоин! Опять зассышь? Балабол?

Так пишите в теме, разработчик, ты неправильный, зачем делать отписки и неработающие модули! Это же его ответственность. Он у нас тут звезда и топ по продажам и думает что ему все можно, спускайте его на землю!

Вы же за нее заплатили, может стоит бежать к автору и его троллить по этому вопросу ?

Тут у меня товарищи интересуются, а что же с темой с маркушей. Ну ладно, просили, получите! Напоминаю @Support что они там не зря свой хлеб едят за 30% от комиссии, позволю себе еще небольшую промочку: Что это тут у нас??? Ой.. Да это же xpath. Тока он чуток промахнулся. И через get - запрос контекст попал в alt ссылки. Ой. да даже боты наркобаронов знают что Маркуша дырявый и через него чпокают ваши магазы.. Не благодарите! А дабы наш герой не чвякал, напомню, подробный разбор полетов уже отправлен администрации.. upd: я напомню, это был закрытый магазин от всех известных его дырок. Но. Нас смущает очень вот это: Явно не все мы нашли, и явно, кто-то знает про дыры маркуши больше чем мы! А если кто скажет, что при че тут маркуша, у вас пароли протекли, еще где-то дыры.. То друзья ответ простой. могли бы руки дотянуться, дотянулись бы везде. Но у нас только у автора этого г@ на лопате измененный контент и больше нигде. ДУМАЙ ТЕ! И не говорите, что я плохой - у него была неделя закрыть вопросы тихо! @dinox, сделаем форум лучше? Очистим от дырок и дырявых авторов? Это же не мое предложение? Поддержишь?

<style> #hearts { position: fixed; top: 0; left: 0; width: 100%; height: 100%; overflow: hidden; z-index:999999; pointer-events:none; } .heart-container { float: left; position: absolute; top: -20px; left: -20px; -moz-animation-duration: 8s; -moz-animation-name: fall; -moz-animation-timing-function: linear; -webkit-animation-duration: 8s; -webkit-animation-name: fall; -webkit-animation-timing-function: linear; } @-moz-keyframes fall { from { top: -20px; } to { top: 100%; } } @-webkit-keyframes fall { from { top: -10%; } to { top: 100%; } } .heart { overflow: hidden; height: 20px; width: 20px; font-size: 20px; text-align: center; color: red; -moz-animation-duration: 0.5s; -moz-animation-name: swing; -moz-animation-timing-function: ease-in-out; -moz-animation-iteration-count: infinite; -moz-animation-direction: alternate; -moz-transform-origin: center center; -webkit-animation-duration: 0.5s; -webkit-animation-name: swing; -webkit-animation-timing-function: ease-in-out; -webkit-animation-iteration-count: infinite; -webkit-animation-direction: alternate; -webkit-transform-origin: center center; } @-moz-keyframes swing { from { -moz-transform: rotate(-45deg) translateX(10px); } to { -moz-transform: rotate(45deg) translateX(-10px); } } @-moz-keyframes spin { from { -moz-transform: scaleX(1) translateX(5px); } 50% { -moz-transform: scaleX(0.1); } to { -moz-transform: scaleX(1) translateX(-5px); } } @-webkit-keyframes swing { from { -webkit-transform: rotate(-45deg) translateX(10px); } to { -webkit-transform: rotate(45deg) translateX(-10px); } } @-webkit-keyframes spin { from { -webkit-transform: scaleX(1) translateX(5px); } 50% { -webkit-transform: scaleX(0.1); } to { -webkit-transform: scaleX(1) translateX(-5px); } } </style> <script> $("body").append('<div id="hearts"><div class="heart-container"><div class="heart">♥</div></div></div>'); function newHeart () { var hearts = $('.heart'); if (hearts.length >= 120) return setTimeout(newHeart, 1000); var c = $('.heart-container:first').clone(); var anims = ['swing', 'spin']; var a = anims[Math.round(Math.random())]; c.find('.heart') .css('opacity', 0.2 + Math.random() * 0.8) .css('-webkit-animation-name', a) .css('-moz-animation-name', a); c.css('left', (10 + Math.random() * ($('body').innerWidth() - 10)) + 'px'); c.css('-webkit-animation-name', 'fall'); c.css('-webkit-animation-duration', (4 + Math.random() * 14) + 's'); c.css('-webkit-transform', 'scale(' + (0.4 + Math.random() * 2) + ')'); c.css('-moz-animation-duration', (4 + Math.random() * 14) + 's'); c.css('-moz-transform', 'scale(' + (0.4 + Math.random() * 2) + ')'); $('#hearts').append(c); c.bind('animationend', function () { c.remove(); }); c.bind('webkitAnimationEnd', function () { c.remove(); }); setTimeout(newHeart, 100); } setTimeout(newHeart, 100); </script> тут меня в три часа ночи поймали перед сном, попросили сделать падающие сердечки ко дню святого Валентины. За три секунды был найдет отличный скрипт: http://jsfiddle.net/rfreebern/KCfkz/ Выше немного модифицированный, увеличено количество падающих элементов, и поправлен стиль, для того, чтобы сделать кликабельным все что ниже дива под сердечками, а так же решен вопрос со скролом и шириной экрана. Вставляйте куда хотите, в footer.tpl или в header.tpl (для 3.x в header.twig или footer.twig). Не благодарите!

Приняла, я попросил прокоментировать коментарии маркуши на лопате по поводу его "тайных йоды проделок, которые марка квартиру в манивео заложили" и всего остального, ждем реакции, думаю что у них все таки выходные и пистончик прилетит маркуше на неделе, или мне ХЫ))

Статистическая погрешность, большие данные. Не не слышал. Например если у евмедведев, нету мозга, он один из семи миллиардов, и тоже kpi не о чём?

РФ, уко, рб? Всем рекомендую дедик на хетцнере на райзене!

Так некоторых и резиновые женщины устраивают, а кому-то и убитая маршрутка - транспорт. С чем сравнивать. Вот позавчера закончили с магазином 30к уникальных покупателей в день, 1000+ онлайна в пике, обновление остатков каждые 20 минут. Все у людей было. и джеб плеш, и лайтнинг и нитро пак и целая специально обученная фирма по оптимизации. В итоге без фирм, лайтнингов и всей остальной дребедени, получили ттфб 150-300мс. И 20% нагрузки сервера при 1000 онлайна. Толку от того что 5 страниц из Кеша а 5 тысяч по 5 секунд грузится? Ещё раз напомню те же боты ходят куда хотят, весь магазин в кеш не положишь. Поэтому все эти приблуды, это как вата в бюстгальтере, вроде неплохо смотрится, но по сути вата. Годятся они по факту для интернет-ларьков. С ларьками и киосками я давно не связываюсь.

Попалось интересное наблюдение. 3354 / 21729 * 100 = 15.4 3354 / 21729*100 = 11 2137 / 17598 *100 = 12.1 2342 / 18995 *100 = 12.4 1605 / 8593 *100 = 18.7 991/ 5686 *100 = 17.4 969/ 4408 *100 = 22 168/ 628 *100 = 27 1107 / 2508 *100 = 44.1 Думаю дальше продолжать не стоит! Вот вам и вождь, вот вам и секта. Думаю никто не посмеет @spectre упрекнуть в аффилированости со мной! Выводы, как всегда делайте сами!

Начни с себя - это философия типа, да? Тогда извините за непдопонимание контекста.

Дружище, девочкам оставь свои советы, там где ты начал, я кончил!

Маркуша, чтобы тебе было совсем обидно, и ты никогда больше не смел пытаться передергивать смыслы. Это все с одного топика. Мне реально очень неудобно, что это флудохайпорейтинг. И я даже думал, что наверное стоит написать в ступор, чтобы его обнулили с этого поста. А потом подумал, а че бы и нет... Ну если парняга наш прав. Ну налайкайте ему.. Тут же его фанатов много было, че нет ? Но факты есть факты. Со всеми тоннами грязи которые маркуша на меня пытался лить, его в рейтинге нет! Прав был @Vladzimir - чел, автор модулей с лопаты.. не будем углубляться в подробности! Просто запомни этот пост. Твой друг недукча, всегда пытался передернуть смыслы полемикой, а судьи кто? Вот тебе дружище судьи! По версии недукчи! Ну и судя по всему, если мой профиль до сих пор не забананен, то это вот все: оказалось банальным воспалением фантазии. И просто возникло в больном мозгу у маркуши! Слава богу там нет маленьких девочек! Хотя это не точно!

Какая дичь, какой оверхед по запросам и бредовая иниализация на фронте. Зачем это всё?

Уважаемые господа @Support, @dinox, и кто там еще у вас, дайте пожалуйста оценку этой ситуациии, публичную пожалуйста, так как этот персонаж позволяет себе какие то странные фантазии в мою сторону, которые не имеют ничего общего с действительностью. Вроде делаете форум лучше, а все по прежнему. Марк как нес чушь так и несет безнаказанно? Сделайте форум лучше. Давайте решим эту проблему...

есть @ocdev_pro, который обещает сделать полноценную некоммерческую альтернативу.

Как заливаются файлы через модуль героя - можно посмотреть в видосах в статье на хабре, там несколько способов даже!

Нельзя делать $file = $request->get('какойтокешфайл.php; include($file); Потому что если есть возможность загрузить файл в на сервер, то через такой include можно спокойно его выполнить. Нельзя делать $str =file_get_content(https://мойадминхакрескийсайт.com); echo($str). Потому что недобрый владелец магазина вместо $Str может воткнуть исполняемый js код который для вас сделает учетную запись админа. Много чего нельзя. Но человек пальцем тычет в Даниэля, при этом специально пихает подобные штуки в свои решения. Надо пальцем в себя тыкать сначала!

Опять двадцать пять... Давай пари на любую сумму. Я поставлю opencart, а ты зальешь и выполнишь. Сможешь? 300% вранья!

Отправлены администрации для разбирательств. Вы читать научитесь, а не за кумира вписываться.

Также небольшой faq по ситуации: Почему про это не уведомили Марка? Пытались, несколько лет назад, он угрожал, верещал, оскорблял людей, жаловался на них администрации, в следствие чего были наложены ограничения на @tomm2001 и еще пару человек. Почему мне это надо? Я не буду скрывать, что у меня есть определенное мягко скажем негативное отношение к этому человеку, и за его плагиат, вранье, оскорбления, безосновательные обвинения, бесконечные попытки черное назвать белым, и за беспомощные, чисто по женски истеричные угрозы. Мне очень жаль что человек других методов включить стопы повороты не понимает. Если у кого хорошая память, думаю все помнят, как описание модуля турбо, вдруг слово в слово перетекло на джеб кеш, а также анонимных" специалистов по безопасноти", которые якобы утверждали, что заведомо внедренная дыра с LFI - это нормально в коммерческих продуктах и еще и еще... Но мое личное отношение никоим образом неумаляет того, что полрунета магазинов на Opencart, изза его проделок потенциально могут быть рекламной площадкой гидры. Ну и в копилку негатива - это добавляет наверное самый большой вес. Чего я пытаюсь добиться ? Чтобы там не говорили злые языки, про меня, но я хочу сделать коммьюнити немножко лучше, чтобы было как можно меньше дырявых магазинов, чтобы их владельцы спокойно спали, и зарабатывали деньги, а не тратили время и ресурсы на борьбу с последствиями от решений, за которые они же и заплатили. Ну и я очень надеюсь, что администрация примет во внимание мои аргументы, коль Динокс захотел коммьюнити сделать лучше, ну давайте делать. Также инцидент от нас потребовал по моему 4 или 5 суток, активной работы, по модулированию и разбору векторов выявленных дыр. Не очень хотелось бы, чтобы это время было потрачено впустую! Может так наконец то прекратиться этот реальный беспредел. Пишу, что хочу, дыру сую какие хочу, Никто мне не указ. Все кто говорят что это не так, враги, шантажисты, вымогатели, подам в суд и тд... Еще раз повторю. Собачка может быть пусечной и любимой, но если она заболевает бешенством - обычно выход один.

Итак... Что мы имеем. Небольшой спойлер. Один мой друг, вынужден был менять доменное имя. И в процессе переезда, мы обнаружили очень странный контент со ссылками на darknet и магазины продающие разное непотребство. Начали исследовать, когда же это произошло. ИИИ.... Оказалось, что на нашем домене это висит уже давным давно. (полный скрин передан администрации и не публикуется в целях безопасности моего друга), и в конечном итоге у этой бяки оказались очень интересные следы, которые ведут - сами можете догадаться куда. Самое интересное, что где-то через месяц @stickpro провел работы по блокированию дыр в дополнении (догадываетесь каком), и позже подобного не появлялось (но это не точно, и есть подозрение, что не все мы таки выловили! ВЫ спросите почему раньше никто не замечал, и как подобный контент мог столько времени быть на сайте и его никто не видел, Отвечу. Люди которые продвигают таким образом даркнет, не идиоты, и очень хорошо мимикрировали свой контент. А обнаружили его мы только после полного сканирования ссылочной массы проекта. Но как говорится лучше поздно чем никогда. Так что не надо тут пытаться уйти от сути проблемы - не боги горшки обжигают. 20 человек в штате магазина, никто не видел! Реально так бывает. Как и 10 000 клиентов не видели проблемы с уязвимостью. to be continued...

{ОСТАЛСЯ 1 ДЕНЬ!}