forum.opennet.ru - "Критическая 0-day уязвимость в Spring Framework, применяемом во многих Java-проектах" (89)

"Критическая 0-day уязвимость в Spring Framework, применяемом во многих Java-проектах"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Критическая 0-day уязвимость в Spring Framework, применяемом во многих Java-проектах"	+/–
Сообщение от opennews (??), 31-Мрт-22, 10:22
В модуле Spring Core, поставляемом в составе фреймворка Spring Framework, выявлена критическая 0-day уязвимость, позволяющая неаутентифицированному удалённому атакующему выполнить свой код на сервере. Пока не ясно насколько катастрофичны могут быть последствия выявленной проблемы и будут атаки столь же массовыми, как в случае с уязвимостью в Log4j 2. CVE проблеме пока не присвоен. В Spring Framework проблема пока остаётся неисправленной и в сети уже доступно несколько рабочих прототипов эксплоитов (1, 2, 3, 4). Проблему усугубляет то, что многие корпоративные Java-приложения на базе Spring Framework выполняются с правами root и уязвимость позволяет сразу полностью скомпрометировать систему... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=56941
Ответить \| Правка \| Cообщить модератору

Оглавление

Жаба как обычно, самая безопасная Банально из-за сложности и многослойных нагро, Аноним (1), 10:22 , 31-Мрт-22, (1) +14

Неа Дело в попытке быстро получить бизнес результат Поэтому халтурят во все лоп, А (??), 10:42 , 31-Мрт-22, (4) +4

Как будто не под рутом что-то изменило бы У жабаприложения и так есть доступ , пох. (?), 10:56 , 31-Мрт-22, (6) +9

Речь про отношение людей к теме Это может и да, если всё в целом А про рута ист, А (??), 11:02 , 31-Мрт-22, (9) –1

Ну потому что правда ни от чего не поможет и только займет лишнее время Обычно , пох. (?), 12:55 , 31-Мрт-22, (25) –1

А уметь-то умеют Только это ж работу работать надо А на улице - весна , A (?), 14:55 , 31-Мрт-22, (55)

Не умеют В гугле искать умеют - но это ж искать надо, а там спринт не ждет На , пох. (?), 16:24 , 31-Мрт-22, (64)

ой, извини сглазил Нашли они в гугле, пока я тебе предыдущее писал как , пох. (?), 16:28 , 31-Мрт-22, (65)

Получил root контейнера, а дальше с ним со делать В контейнере кроме jvm и при, Аноним (17), 11:58 , 31-Мрт-22, (17) –2

Там всякие капабилити включены, конт привилегированный и прочие лёгкие способы , А (??), 12:02 , 31-Мрт-22, (18)

Даже встречал как за своё выдают основную и первую идею контейнеризации и изоляц, А (??), 12:05 , 31-Мрт-22, (20)

А в конфиге приложения - всё, что нужно для доступа к БД, с которой это приложен, YetAnotherOnanym (ok), 12:58 , 31-Мрт-22, (26)

Поэтому я решил что конфиги - г-но, немедля поперекодить все так чтоб все сикрет, твой начальник (?), 14:15 , 31-Мрт-22, (42)

Пральна, и каждый день выпускать апдейт, в котором всё будет в новых местах, что, YetAnotherOnanym (ok), 14:34 , 31-Мрт-22, (49)

Но пароли будут всегда старые, потому что не все те места удается найти и поменя, пох. (?), 16:29 , 31-Мрт-22, (66)

так это же не зависит от того root там или не root Всё самое ценное будет досту, Аноним (67), 16:42 , 31-Мрт-22, (67)

дык Эспертам опеннета это понимание чуждо Другой вопрос, правда, в том, что чер, пох. (?), 17:27 , 31-Мрт-22, (71)

Т е фактически вы своим постом подтвердили, что жаба тотальный легаси Дело был, Брат Анон (ok), 14:13 , 31-Мрт-22, (41) +1

Стандартная история с рефлексией-десериазилацией Такое безопасно делать только , Аноним (27), 12:59 , 31-Мрт-22, (27)

Спасибо г-споди, что я с этим больше не работаю , name (??), 10:35 , 31-Мрт-22, (2)

А с чем работаете , vellkira (?), 10:48 , 31-Мрт-22, (5)

не с этим, Аноним (14), 11:38 , 31-Мрт-22, (14) +1
С лопатой на стройке, Аноним (31), 13:13 , 31-Мрт-22, (31) +8

не воспроизвелось Так херово работает все, что даже эксплойты не работают, Анонимыч (?), 11:02 , 31-Мрт-22, (8) –1
Но ведь даже без учёта уязвимостей - жаба тормозная и жручая Кто в здравом уме , YetAnotherOnanym (ok), 11:06 , 31-Мрт-22, (10) –4

Производители железа одобряют, Аноним (12), 11:16 , 31-Мрт-22, (12) +4
зайдите на хх ру да спросите у всех тамошних работодателей из сферы ИТ, Аноним (15), 11:39 , 31-Мрт-22, (15)

Сейчас в результате февральских событий есть подозрение, что все это последие 30, Аноним (91), 00:00 , 05-Апр-22, (91)

А она настолько была прогрессивнее Сей, что профит от того поборол Как написано , А (??), 11:39 , 31-Мрт-22, (16) +1

Дак класс RC счетчика а смарт поинтеры в плюсах уже из коробки в сях можно нап, Аноним (91), 00:02 , 05-Апр-22, (92)

В синтаксисе Язык идеален для ОЧЕНЬ больших проектов, и наоборот, совершенно не, Z (??), 02:31 , 02-Май-22, (98) +1

Насчет жручести - может быть и правда, но тормоза - чистой воды фантастика В яв, Аноним (19), 12:04 , 31-Мрт-22, (19) +1

3000 одновременно залогиненых пользователей, каждый - на подсосе минимум одного , Аноним (22), 12:39 , 31-Мрт-22, (22) +1

Целых 3 тысячи При том что стек который это держит скорее всего чуть более, чем, server_push (?), 14:05 , 31-Мрт-22, (38)
64к коннектов одновременно обрабатывали на нескольких томкатах, которые на одной, Анонимыч (?), 16:04 , 31-Мрт-22, (62)
а сессий десятки - сотни тысяч были и все летало на тормозной джаве Надо прос, Анонимыч (?), 16:10 , 31-Мрт-22, (63)

Дооо Уж мы сейчас как всю память в системе отхаваем, да все свои структуры да, YetAnotherOnanym (ok), 12:53 , 31-Мрт-22, (24) –3

это просто у тебя код г-но Вот как надо правильно дорогая техподдержка - а че, пох. (?), 13:01 , 31-Мрт-22, (28)

Ага, LA за сотню, и когда очередь дойдёт до оом киллера - еще неизвестно , YetAnotherOnanym (ok), 13:06 , 31-Мрт-22, (30)

на яве пишут долгоиграющие приложения То, что он будет раз в месяц запускаться , Аноним (19), 13:20 , 31-Мрт-22, (32) +3

Вообще-то, кроме жабы на белом свете существуют не только php и python Ну да ла, YetAnotherOnanym (ok), 13:51 , 31-Мрт-22, (35) –4

Для корпоративных приложений кроме явы есть только сишарп, period А так да, для, Аноним (19), 13:58 , 31-Мрт-22, (36) +2

Ну да, ну да , YetAnotherOnanym (ok), 14:08 , 31-Мрт-22, (39) –3

Да есть, вообще-то, на белом свете один ЯП, специально созданный для написания н, YetAnotherOnanym (ok), 14:04 , 31-Мрт-22, (37) –3

но ты про этот язык никому не расскажешь, верно А если и расскажешь, то выяснит, Аноним (19), 14:17 , 31-Мрт-22, (43) +4

Конечно нет, зачем людей смущать Вон как они бодро плюсуют свои каменты, в их м, YetAnotherOnanym (ok), 14:21 , 31-Мрт-22, (45) –2

ну тогда продолжай пребывать в воображаемом мирке, где изобрели серебряную пулю , Аноним (19), 14:30 , 31-Мрт-22, (47) +2

Имя, брат, имя Неужели эрланг богомерз богоподобный или эликсир, на нем наст, Аноним (82), 11:18 , 01-Апр-22, (82)

Не могу, обещал не говорить Но вобщем - те же яблоки, только в профиль , YetAnotherOnanym (ok), 23:41 , 01-Апр-22, (84)

Бежать немедленно с этой жабы, Аноним12345 (?), 11:26 , 31-Мрт-22, (13)

Дети всегда куда-то бегут Откуда-то или куда-то, неважно, направление задают экс, ms is a piece of s (?), 14:23 , 31-Мрт-22, (46) +2

Жаба это давно уже легаси сводящееся к поддержке и допилу под нужды Джуны нафиг, Смузихлёб (?), 12:06 , 31-Мрт-22, (21) –2
А к embedded tomcat не относится что-ли Только если war-ник и на отдельном Tomc, Аноним (23), 12:49 , 31-Мрт-22, (23)

However, if Spring is deployed using the Embedded Tomcat Servlet Container the c, An onymous (?), 21:03 , 01-Апр-22, (83)

кто из опытных ушел из джавы в Го, как оно , WebBonobo (?), 13:01 , 31-Мрт-22, (29)

Я пытался подучить жабу как-то Что меня с первого же шага выбесило -- нужно прой, Брат Анон (ok), 14:18 , 31-Мрт-22, (44) +1

Скорее всего разработка ПО это не твое Уж жаба-то проще сей и крестов Корпо-лопа, ms is a piece of s (?), 14:30 , 31-Мрт-22, (48) –2

Угу, наверное ты прав Ответил главный эксперт блока по техническому развитию о, Брат Анон (ok), 15:18 , 31-Мрт-22, (58) +2

какая госкорпорация, такие и главные эксперты, Аноним (89), 15:31 , 04-Апр-22, (89) –3

Да Это трудная работа, писать код, в котором сложно отклониться от нужного И и, A (?), 14:54 , 31-Мрт-22, (54) –1
Большей шизофазии ппро джаву почти не встречал, Джавистсанитар (?), 15:37 , 31-Мрт-22, (60) –4
Когда java разрабатывалась utf-8 еще небыло Для внутренних строк используется е, Аноним (67), 16:54 , 31-Мрт-22, (69) –2

это не аргумент питон например еще старше и прожувал эту проблему utf16 скорее, Аноним (86), 17:41 , 02-Апр-22, (86) +3
Жабка вышла в 95-ом utf-8 - в 1992-ом А используемый жабкой utf-16 - в 96-ом Но, Аноним (89), 15:28 , 04-Апр-22, (88) –1

Насколько нужно затупить чтобы такое написать , eugener (ok), 22:12 , 31-Мрт-22, (76) –4

Нисколько Все файлы сохранял в UTF-8 кодировка по умолчанию , и компилятор не , Брат Анон (ok), 09:09 , 01-Апр-22, (79) +4

Походу в винде дело происходило У Java в винде кодировка по умолчанию как раз 1, eugener (ok), 09:25 , 01-Апр-22, (80) +1

Почему-то компилятору golang, или pyhon -- никакие кодировки указывать не надо , Брат Анон (ok), 14:40 , 03-Апр-22, (87) +3

Проблема с УТФ-8 в консоли винды 8211 бага самой винды, а не джавы Проблема , Z (??), 02:02 , 02-Май-22, (95)

Ещё раз внимательно читаем текст При чём тут консоль При чём тут венда utf8 -, Брат Анон (ok), 12:41 , 02-Май-22, (99)

Игого корпо-лопатен на уровне генетики Crystal прямой ему конкурент и заменитель, ms is a piece of s (?), 14:34 , 31-Мрт-22, (50)
Попробуй свой собственный ямл конфиг распарсить, со своей сложной схемой Хоро, A (?), 15:01 , 31-Мрт-22, (56)
Попробуй свой собственный ямл конфиг распарсить, со своей сложной схемой Хоро, A (?), 15:01 , 31-Мрт-22, (57)

Проверил, на пашет если сервисы сделаны норм и разрешено только то, что разрешен, Аноним (34), 13:50 , 31-Мрт-22, (34)
Еда Есть в конторе бизнесовое приложение Дико важное бизнесу Пилят типа ми, Funkey_33333 (?), 14:10 , 31-Мрт-22, (40) +3

Бежать без оглядки надо из такой конторы Работа должна приносить удовольствие, , Z (??), 02:11 , 02-Май-22, (96) +1

Запускающим java приложения из под рута должны выдаваться трудовые книжки Адеква, ms is a piece of s (?), 14:41 , 31-Мрт-22, (51)

Уязвимости класса privilege elevation находят довольно часто, про них часто в но, Фняк (?), 17:27 , 04-Апр-22, (90)
Вы из какого года вещание Трудовые книжки сейчас остались лишь в госучреждениях, Z (??), 02:13 , 02-Май-22, (97) +1

Любителям тащить в рот всё новое посвящается , Аноним (52), 14:47 , 31-Мрт-22, (52) +1
А кто-то использует что-то новее JAVA8 для серьезных задач Там где легаси и коп, IdeaFix (ok), 15:26 , 31-Мрт-22, (59) +2

На уже предыдущей работе использовали java 11, что openjdk Собирались java 13, , Stanislavvv (?), 15:47 , 31-Мрт-22, (61) –1

А какой смысл использовать не LTS У нее же срок поддержки пол года, пока что-то, Аноним (67), 16:57 , 31-Мрт-22, (70)

JDK 11 она LTS и много где давно уже используется Через год можно будет уже 17 и, ms is a piece of s (?), 16:53 , 31-Мрт-22, (68)
почти все вакансии во всяких криптостартапах, яндексы, тупкофф и остальном подоб, лютый жабби__ (?), 18:10 , 31-Мрт-22, (73)

Поддерживаю несколько легаси проектов моё легаси еще поддерживается разработчик, IdeaFix (ok), 21:48 , 31-Мрт-22, (75)

поискал бы нормальную работу а я уже накатил 2 6 6 и забыл хотя у нас только , лютый жабби__ (?), 23:03 , 31-Мрт-22, (77)

Хз, мне нравится к тому же, поддержка легаси - это скорее дополнительное на п, IdeaFix (ok), 13:31 , 02-Апр-22, (85)

Предложенное решение НЕ сработает условие внутри матчера patternMatchUtils не , Аноним (72), 17:30 , 31-Мрт-22, (72)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 31-Мрт-22, 10:22 +14 +/–

Жаба как обычно, самая безопасная. Банально из-за сложности и многослойных нагромождений легаси.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4, #27

2. Сообщение от name (??), 31-Мрт-22, 10:35 +/–

Спасибо г-споди, что я с этим больше не работаю.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #5

4. Сообщение от А (??), 31-Мрт-22, 10:42 +4 +/–

Неа.
> многие корпоративные Java-приложения на базе Spring Framework выполняются с правами root и уязвимость позволяет
Дело в попытке быстро получить бизнес результат. Поэтому халтурят во все лопатки. И таки - да, оно в контейнерах под рутом, и без контейнером под рутом. Так руководство топит за скорость.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #6, #17, #41

5. Сообщение от vellkira (?), 31-Мрт-22, 10:48 +/–

А с чем работаете?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #14, #31

6. Сообщение от пох. (?), 31-Мрт-22, 10:56 +9 +/–

Как будто "не под рутом" что-то изменило бы. У жабаприложения и так есть доступ ко всему, что вообще представляет хоть какую-то ценность. Причем обычно это ВСЬО значительно больше и дальше чем никому ненужный контейнер в контейнере в контейнере, хоть ты там будь рутом, хоть Г-дом Б-гом, все равно от юзера nobody (от которого, допустим на минуточку, выполняется весь твой из себя такой сесюрный жабокод из этого контейнера) есть доступ к хранилищу документов, базам, сервисным системам и так далее - иначе бы этот жабокот в сферическом вакууме никому нужен и не был.
Не в ту сторону воюете, ик-сперды по безопастносте.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #9

8. Сообщение от Анонимыч (?), 31-Мрт-22, 11:02 –1 +/–

не воспроизвелось. Так херово работает все, что даже эксплойты не работают

Ответить | Правка | Наверх | Cообщить модератору

9. Сообщение от А (??), 31-Мрт-22, 11:02 –1 +/–

Речь про отношение людей к теме.
Это может и да, если всё в целом. А про рута история про снижение скорости развития вектора атаки, про уменьшение возможностей. И что это не делают сознательно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #25

10. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 11:06 –4 +/–

Но ведь даже без учёта уязвимостей - жаба тормозная и жручая. Кто в здравом уме будет будет её использовать?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #12, #15, #16, #19

12. Сообщение от Аноним (12), 31-Мрт-22, 11:16 +4 +/–

Производители железа одобряют

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10

13. Сообщение от Аноним12345 (?), 31-Мрт-22, 11:26 +/–

Бежать немедленно с этой жабы

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #46

14. Сообщение от Аноним (14), 31-Мрт-22, 11:38 +1 +/–

не с этим

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

15. Сообщение от Аноним (15), 31-Мрт-22, 11:39 +/–

зайдите на хх.ру да спросите у всех тамошних работодателей из сферы ИТ

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #91

16. Сообщение от А (??), 31-Мрт-22, 11:39 +1 +/–

А она настолько была прогрессивнее Сей, что профит от того поборол.
Как написано - столько и жрёт. Кто хорошо пишет, тот тоже будет использовать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #92

17. Сообщение от Аноним (17), 31-Мрт-22, 11:58 –2 +/–

Получил root контейнера, а дальше с ним со делать?
В контейнере кроме jvm  и приложения ничего нет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #18, #26

18. Сообщение от А (??), 31-Мрт-22, 12:02 +/–

Там всякие капабилити включены, конт. привилегированный и прочие лёгкие способы достижения целей. Такая себе помойка.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #20

19. Сообщение от Аноним (19), 31-Мрт-22, 12:04 +1 +/–

> тормозная и жручая
Насчет жручести - может быть и правда, но тормоза - чистой воды фантастика. В яве тормозили только т.н. "ява-аплеты" (были популярны до того, как ты родился) и свинг. А серверная ява довольно шустра и всего в полтора раза медленнее плюсов (всякие пихтоны и пыхи -- на порядки порядков порядков медленнее плюсов). Любой, находящийся в здравом уме, предпочтет использовать уже состоявшуюся Платформу со стандартами на все случаи жизни вместо того, чтобы изобретать квадратное колесо в пихтонах/пыхах. Таких платформ сейчас всего две - сишарп и ява. Сишарп отбросим за его проприетарность. Остается только ява.
Но на пихтонах/пыхах все еще можно клепать гостевухи -- там, где производительность не важна. Эта гостевуха блестяще справится с двумя-тремя пользователями в месяц.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #22, #24, #37

20. Сообщение от А (??), 31-Мрт-22, 12:05 +/–

Даже встречал как за своё выдают основную и первую идею контейнеризации и изоляции - типа собственного изобретения "новый", свой!, способ применения для безопасности. Настолько много тех, кому неизвестно для чего всё было придумано. Настолько неиспользуется.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18

21. Сообщение от Смузихлёб (?), 31-Мрт-22, 12:06 –2 +/–

Жаба это давно уже легаси сводящееся к поддержке и допилу под нужды. Джуны нафиг не нужны, поэтому учить с нуля точно не стоит.

Ответить | Правка | Наверх | Cообщить модератору

22. Сообщение от Аноним (22), 31-Мрт-22, 12:39 +1 +/–

> Но на пихтонах/пыхах все еще можно клепать гостевухи -- там, где производительность не важна. Эта гостевуха блестяще справится с двумя-тремя пользователями в месяц.
3000 одновременно залогиненых пользователей, каждый - на подсосе минимум одного вебсоскета. И всё это держит один пихтон-контейнер, ибо больше и не надо. Просто справляется и всё.
Я сам не фанат пихтонов, пыхов и прочих жабогадюк, но попросил бы тебя не болтать ерундой при людях.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #38, #62, #63

23. Сообщение от Аноним (23), 31-Мрт-22, 12:49 +/–

А к embedded tomcat не относится что-ли? Только если war-ник и на отдельном Tomcat сервере?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #83

24. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 12:53 –3 +/–

> серверная ява довольно шустра
Дооо... Уж мы сейчас как всю память в системе отхаваем, да все свои структуры данных как проинициализируем, да кэши как прогреем, да после этого как попрём, как попрём, так попрём, что о-го-го, как попрём, ой, что-то как-то всё тормозить стало, ой памяти не хватает, ой, для свопа уже раздела не хватает, ой, всё раком встало, даже оом киллер не успел нашу шуструю серверную жабу пристрелить.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #28, #32

25. Сообщение от пох. (?), 31-Мрт-22, 12:55 –1 +/–

Ну потому что правда ни от чего не поможет и только займет лишнее время.
Обычно не от рута имеет смысл не ради этого а ради того что от рута у нас все еще вообще не все идеально работает - юникс-шмуникс какой-то, что-ли там был - некоторый софт все еще на полном серьезе рассчитывает, к примеру, что файл с правами 200 нельзя прочитать - и вместо ошибки доступа  получает полузаписавшиеся данные.
Но это ж надо хотя бы суметь юзера внутри контейнера поменять.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #55

26. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 12:58 +/–

> В контейнере кроме jvm  и приложения ничего нет.
А в конфиге приложения - всё, что нужно для доступа к БД, с которой это приложение работает.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #42, #67

27. Сообщение от Аноним (27), 31-Мрт-22, 12:59 +/–

Стандартная история с рефлексией-десериазилацией. Такое безопасно делать только по белым спискам. В любом, внезапно, языке, где есть что-то похожее. Это очень, кстати, похоже на старую уязвимость в Drupal - с именем функции-коллбэка в пейлоаде.
Короче, в сотый раз те же грабли.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

28. Сообщение от пох. (?), 31-Мрт-22, 13:01 +/–

> ой, что-то как-то всё тормозить стало, ой памяти не хватает, ой,
> для свопа уже раздела не хватает, ой, всё раком встало, даже
> оом киллер не успел нашу шуструю серверную жабу пристрелить.
это просто у тебя код г-но. Вот как надо правильно: "дорогая техподдержка - а чего это у нас через некоторое время работы вашего [очень ентер-прайсный протухт] он выжырает все выделенные жабовм терабайты, после чего начинает жрать еще и процессор как не в себя, так что и пристрелить его почти невозможно? - А это потому что когда у нас память кончается, автоматически запускается GC, шерстящий все эти понавыделенные терабайты. И чем больше их понавыделено тем медленнее он их перебирает. А поскольку памяти от этого нихрена не прибавляется - мы ему в подмогу запускаем еще один. И еще. И еще. Вот, теперь вам хорошо - у вас не только памяти нет, но и процессорные ядра все заняты непойми чем!"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #30

29. Сообщение от WebBonobo (?), 31-Мрт-22, 13:01 +/–

кто из опытных ушел из джавы в Го, как оно?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #44, #50, #56, #57

30. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 13:06 +/–

Ага, LA за сотню, и когда очередь дойдёт до оом киллера - еще неизвестно ))

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

31. Сообщение от Аноним (31), 31-Мрт-22, 13:13 +8 +/–

С лопатой на стройке

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

32. Сообщение от Аноним (19), 31-Мрт-22, 13:20 +3 +/–

> свои структуры данных как проинициализируем, да кэши как прогреем
на яве пишут долгоиграющие приложения. То, что он будет раз в месяц запускаться секунд 10 - не важно, это же твой IИDEX.рнр, запускающийся с полного нуля при каждом запросе.
> всю память в системе отхаваем
не позорься, погугли про Xmx/Xms и возвращайся править IИDEX.рнр (напрямую через FTP естессно, и не забудь в битриксе активировать режим проактивной защиты).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #35

34. Сообщение от Аноним (34), 31-Мрт-22, 13:50 +/–

Проверил, на пашет если сервисы сделаны норм и разрешено только то, что разрешено, можно до усрачки создавать все, что угодно, доступа туда не будет. Но в целом прикольно.

Ответить | Правка | Наверх | Cообщить модератору

35. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 13:51 –4 +/–

Вообще-то, кроме жабы на белом свете существуют не только php и python. Ну да ладно, не буду тебя грузить ненужностями.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #36

36. Сообщение от Аноним (19), 31-Мрт-22, 13:58 +2 +/–

Для корпоративных приложений кроме явы есть только сишарп, period. А так да, для твоих хелловорлдов и HQ9+ сойдет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #39

37. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 14:04 –3 +/–

> Остается только ява
Да есть, вообще-то, на белом свете один ЯП, специально созданный для написания неубиваемого ПО, главным образом серверного, разрабы которого в своё время на вопрос "как ваш язык справляется с проблемой 10к соединений" удивлённо ответили "а разве 10к соединений - это проблема?", но ты не обращай внимания, забей, правило "меньше знаешь - крепче спишь" никто не отменял.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #43, #82

38. Сообщение от server_push (?), 31-Мрт-22, 14:05 +/–

> 3000 одновременно залогиненых пользователей, каждый - на подсосе минимум одного вебсоскета
Целых 3 тысячи! При том что стек который это держит скорее всего чуть более, чем полностью сишный
По секрету скажу что любой асинхронный jvm фреймворк у которого на github хотя бы 100 звездочек будет держать и 100к websocket
А те кто тюнит джаву получал 12 млн еще в 2013 году
https://migratorydata.com/blog/migratorydata-with-12-million.../

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

39. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 14:08 –3 +/–

Ну да, ну да...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36

40. Сообщение от Funkey_33333 (?), 31-Мрт-22, 14:10 +3 +/–

Еда... Есть в конторе бизнесовое приложение. Дико важное бизнесу. Пилят типа "мидлы', обученные де то на супер-курсах и в ютюбах. У нас, у админов, которые занимаются внедрением всей этой дичи, и обеспечением cicd и отказоустойчивости её, раньше была "палка", чтобы бить по рукам тем деятелям... После жалоб бизнесу на то, что мы тормозим их супер эффективный АДжаил своими придирками, и что им, несчастным, приходится тратить свое драгоценное время не на сам супер проект, а на ненужное замыкание дыр, бизнес у нас, вместе с ИБ отобрал "палку"... Вот так оно и живёт... Пипец, в общем.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #96

41. Сообщение от Брат Анон (ok), 31-Мрт-22, 14:13 +1 +/–

Т.е. фактически вы своим постом подтвердили, что жаба тотальный легаси. Дело было только за желающим это легаси пошатать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

42. Сообщение от твой начальник (?), 31-Мрт-22, 14:15 +/–

Поэтому я решил что конфиги - г-но, немедля поперекодить все так чтоб все сикретные данные были в сикретных местах в самом коде. И чтоб никто не мог их потом найти!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #49

43. Сообщение от Аноним (19), 31-Мрт-22, 14:17 +4 +/–

но ты про этот язык никому не расскажешь, верно? А если и расскажешь, то выяснится, что "серверное ПО" и "корпоративное ПО" - это, мягко говоря, разные вещи, и требования к ним существенно отличаются.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #45

44. Сообщение от Брат Анон (ok), 31-Мрт-22, 14:18 +1 +/–

Я пытался подучить жабу как-то.
Что меня с первого же шага выбесило -- нужно пройти регистрацию чтобы скачать СДК.
Потом начал писать код по метаниту. И когда понял, что жаба не поддерживает UTF-8 -- сказать что я немного прифигел -- ничего не сказать.
Дальше началась песня с какими-то промежуточными файлами, какими-то мутными настройками, манифестами... Короче меня это задолбало и  бросил учить.
Гошечка просто кратно проще и логичней.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #48, #54, #60, #69, #76, #95

45. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 14:21 –2 +/–

Конечно нет, зачем людей смущать? Вон как они бодро плюсуют свои каменты, в их мире всё стройно, гармонично и однозначно, зачем им его ломать?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43 Ответы: #47

46. Сообщение от ms is a piece of s (?), 31-Мрт-22, 14:23 +2 +/–

Дети всегда куда-то бегут.
Откуда-то или куда-то, неважно, направление задают эксперты на опеннете.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

47. Сообщение от Аноним (19), 31-Мрт-22, 14:30 +2 +/–

ну тогда продолжай пребывать в воображаемом мирке, где изобрели серебряную пулю "убийцу явы, сишарпа, сишки, неба, и вообще всего"

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

48. Сообщение от ms is a piece of s (?), 31-Мрт-22, 14:30 –2 +/–

Скорее всего разработка ПО это не твое.
Уж жаба-то проще сей и крестов.
Корпо-лопатный игого тоже не вариант, он за тебя качественный код не напишет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #58

49. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 14:34 +/–

Пральна, и каждый день выпускать апдейт, в котором всё будет в новых местах, чтобы хакеры не успевали узнать где и что спрятано.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42 Ответы: #66

50. Сообщение от ms is a piece of s (?), 31-Мрт-22, 14:34 +/–

Игого корпо-лопатен на уровне генетики.
Crystal прямой ему конкурент и заменитель.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

51. Сообщение от ms is a piece of s (?), 31-Мрт-22, 14:41 +/–

Запускающим java приложения из под рута должны выдаваться трудовые книжки.
Адекватный работодатель только так и должен поступать в своих же интересах.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #90, #97

52. Сообщение от Аноним (52), 31-Мрт-22, 14:47 +1 +/–

> Эксплуатация уязвимости .. при .. Java/JDK 9 или более новой версии
Любителям тащить в рот всё новое посвящается.

Ответить | Правка | Наверх | Cообщить модератору

54. Сообщение от A (?), 31-Мрт-22, 14:54 –1 +/–

Да. Это трудная работа, писать код, в котором сложно отклониться от нужного. И инструмент давно уже вышел.
Для Гошечки наработок мало. А под Жаву написано мириады уже делающего нужное кода.
Гошечка смутила признаками сейчас недоделанности всех фич, которые задуманы вообще. Возможно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

55. Сообщение от A (?), 31-Мрт-22, 14:55 +/–

А уметь-то умеют. Только это ж работу работать надо. А на улице - весна.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25 Ответы: #64

56. Сообщение от A (?), 31-Мрт-22, 15:01 +/–

> кто из опытных ушел из джавы в Го, как оно?
Попробуй свой собственный ямл конфиг распарсить, со своей сложной схемой... Хороший пример, что иногда употеешь почти как на Яве, пока напишешь нужное. Вероятно дело в молодости языка.
Мало наработок типа Спринга... :) Как появятся, так Гошечка тоже и ожиреет и притормозит.
Позитив, что сырцы автоматически прикапываются в папочку на диске. И из той помойки можно в оффлайне собраться. Качество помойки не обязательно контролируется каким-либо автором. Но тут особой новизны нет. Всегда смотреть надо было.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

57. Сообщение от A (?), 31-Мрт-22, 15:01 +/–

> кто из опытных ушел из джавы в Го, как оно?
Попробуй свой собственный ямл конфиг распарсить, со своей сложной схемой... Хороший пример, что иногда употеешь почти как на Яве, пока напишешь нужное. Вероятно дело в молодости языка.
Мало наработок типа Спринга... :) Как появятся, так Гошечка тоже и ожиреет и притормозит.
Позитив, что сырцы автоматически прикапываются в папочку на диске. И из той помойки можно в оффлайне собраться. Качество помойки не обязательно контролируется каким-либо автором. Но тут особой новизны нет. Всегда смотреть надо было.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

58. Сообщение от Брат Анон (ok), 31-Мрт-22, 15:18 +2 +/–

> Скорее всего разработка ПО это не твое.
Угу, наверное ты прав. Ответил главный эксперт блока по техническому развитию одной из госкорпораций.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #89

59. Сообщение от IdeaFix (ok), 31-Мрт-22, 15:26 +2 +/–

А кто-то использует что-то новее JAVA8 для серьезных задач? Там где легаси и копро... корпоративщина - там Java8, лог4ж 1.х и полные лепота и благолепие.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #61, #68, #73

60. Сообщение от Джавистсанитар (?), 31-Мрт-22, 15:37 –4 +/–

Большей шизофазии ппро джаву почти не встречал

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

61. Сообщение от Stanislavvv (?), 31-Мрт-22, 15:47 –1 +/–

На уже предыдущей работе использовали java 11, что openjdk. Собирались java 13, но на момент увольнения проектов с 13 не было.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #70

62. Сообщение от Анонимыч (?), 31-Мрт-22, 16:04 +/–

64к коннектов одновременно обрабатывали на нескольких томкатах, которые на одной тачке стояли. Обрабатывали бы и сильно больше, но обычно необходимости не было, поэтому роутер никто не менял.
Еще помню, заказчик часть сервисов отдал пихтонистам и пыхыпешникам - те даже запросы подписывать и расшифровывать не умели, приходилось за них все делать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

63. Сообщение от Анонимыч (?), 31-Мрт-22, 16:10 +/–

а сессий десятки - сотни тысяч были и все летало на "тормозной" джаве. Надо просто писать нормально, тогда и лагать ничего не будет и ресурсов будет хватать на все.
В том же постгресе миллиарды записей было, но мы даже на гибернейте работали с ним и нагружали одно ядро всего. Просто надо было запросы все оптимизировать, бд затюнить и кэши на серваке нормально настроить.
А если писать кривыми руками, то вам и один пользователь сервак положить сможет

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

64. Сообщение от пох. (?), 31-Мрт-22, 16:24 +/–

Не умеют. В гугле искать умеют - но это ж искать надо, а там спринт не ждет!
На улице ночь полярная, я только что в окно выглядывал.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #65

65. Сообщение от пох. (?), 31-Мрт-22, 16:28 +/–

ой, извини... сглазил... Нашли они в гугле, пока я тебе предыдущее писал... как тебе контейнер после запуска которого надо вручную поменять ВНУТРИ права на некоторые подкаталоги? А то оно туда хочет записать - но не может. (Ну, ясен пень, снаружи к нему мапится дофига всего чему тоже нужно поменять, лучше сразу на 666, а то они сами не в курсе какой там userid и какой будет после автопересборки их чудо continuous desintegration, но на фоне вот этой простоты "залезь и поменяй!" уже мелочи)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64

66. Сообщение от пох. (?), 31-Мрт-22, 16:29 +/–

Но пароли будут всегда старые, потому что не все те места удается найти и поменять.
Причем, разумеется, это пароль 123.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #49

67. Сообщение от Аноним (67), 31-Мрт-22, 16:42 +/–

так это же не зависит от того root там или не root. Всё самое ценное будет доступно независимо от того  под каким пользователем java запущено.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #71

68. Сообщение от ms is a piece of s (?), 31-Мрт-22, 16:53 +/–

JDK 11 она LTS и много где давно уже используется.
Через год можно будет уже 17 использовать на не сильно критичных задачах.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59

69. Сообщение от Аноним (67), 31-Мрт-22, 16:54 –2 +/–

Когда java разрабатывалась utf-8 еще небыло. Для внутренних строк используется единственная кодировка UTF-16, наружу она всю жизнь могла сохранять в любой кодировки, какую укажешь. А не укажешь, сохранит в системной.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #86, #88

70. Сообщение от Аноним (67), 31-Мрт-22, 16:57 +/–

>Собирались java 13
А какой смысл использовать не LTS? У нее же срок поддержки пол года, пока что-то дельное напишешь уже поддержку прекратили.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #61

71. Сообщение от пох. (?), 31-Мрт-22, 17:27 +/–

> так это же не зависит от того root там или не root.
> Всё самое ценное будет доступно независимо от того  под каким
> пользователем java запущено.
дык. Эспертам опеннета это понимание чуждо.
Другой вопрос, правда, в том, что через какой-нибудь чатик сделанный индусским аутсорсером на от...сь и без поддержки потому что всего лишь чяаааатик - могут поломать инфраструктуру, потому что все контейнеры крутятся на одних и тех же серверах и иногда, уп-с, протекают.
Но поможет ли от этого не-рут - в общем-то не факт. Например, предыдущие протечки позволяли запустить от нерута контейнер внутри контейнера - ой, с рутом. Который незамысловатыми телодвижениями внезапно становился системным рутом - с доступом ко всем контейнерам разом.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67

72. Сообщение от Аноним (72), 31-Мрт-22, 17:30 +/–

Предложенное решение НЕ сработает!
условие внутри матчера "patternMatchUtils" не выполнится "if (simpleMatch(pattern, str))" в следствии чего поля не будут удалены в методе "checkAllowedFields(MutablePropertyValues mpvs)" вызовом метода mpvs.removePropertyValue(pv); - класс DataBinder

Ответить | Правка | Наверх | Cообщить модератору

73. Сообщение от лютый жабби__ (?), 31-Мрт-22, 18:10 +/–

>кто-то использует что-то новее JAVA8 для серьезных задач
почти все вакансии во всяких криптостартапах, яндексы, тупкофф и остальном подобном ) но если им сказать, что они дурачки, не поверят

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #59 Ответы: #75

75. Сообщение от IdeaFix (ok), 31-Мрт-22, 21:48 +/–

>>кто-то использует что-то новее JAVA8 для серьезных задач
> почти все вакансии во всяких криптостартапах, яндексы, тупкофф и остальном подобном )
> но если им сказать, что они дурачки, не поверят
Поддерживаю несколько легаси проектов (моё легаси еще поддерживается разработчиком) на java8 и с любопытством смотрю на гитхабе.... в легаси версиях 100% новостей - бекпортирование фич, а в куррент версии на ява11 - сплошные цве. Вот тебе и копро-легаси.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73 Ответы: #77

76. Сообщение от eugener (ok), 31-Мрт-22, 22:12 –4 +/–

> жаба не поддерживает UTF-8
Насколько нужно затупить чтобы такое написать?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #79

77. Сообщение от лютый жабби__ (?), 31-Мрт-22, 23:03 +/–

>Поддерживаю несколько легаси проектов
поискал бы нормальную работу )
>а в куррент версии на ява11 - сплошные цве
а я уже накатил 2.6.6 и забыл ) хотя у нас только один проект из кучи был "надо чтобы на томкэте разворачивалось в виде WAR", остальные unaffected

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #75 Ответы: #85

79. Сообщение от Брат Анон (ok), 01-Апр-22, 09:09 +4 +/–

>> жаба не поддерживает UTF-8
> Насколько нужно затупить чтобы такое написать?
Нисколько. Все файлы сохранял в UTF-8 (кодировка по умолчанию), и компилятор не стал исходник кушать, пока принудительно не сохранил в CP-1251.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #76 Ответы: #80

80. Сообщение от eugener (ok), 01-Апр-22, 09:25 +1 +/–

> Нисколько. Все файлы сохранял в UTF-8 (кодировка по умолчанию), и компилятор не
> стал исходник кушать, пока принудительно не сохранил в CP-1251.
Походу в винде дело происходило? У Java в винде кодировка по умолчанию как раз 1251, потому что это кодировка по умолчанию в Windows.
У компилятора есть опция для указания кодировки.
Я уж подумал что вы имели в виду что "жаба не поддерживает UTF-8" вообще. Решил что вы начали работать в 1996-ом году с JDK 1.0, там действительно не было работы с кодировками. И тогда же сразу разочаровались, не дождавшись версии 1.1 от 1997-го. И тогда же перешли на Go.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #79 Ответы: #87

82. Сообщение от Аноним (82), 01-Апр-22, 11:18 +/–

Имя, брат, имя! Неужели эрланг богомерз... богоподобный или эликсир, на нем настоянный?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #84

83. Сообщение от An onymous (?), 01-Апр-22, 21:03 +/–

However, if Spring is deployed using the Embedded Tomcat Servlet Container the classloader is a LaunchedURLClassLoader which has limited access.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23

84. Сообщение от YetAnotherOnanym (ok), 01-Апр-22, 23:41 +/–

Не могу, обещал не говорить. Но вобщем - те же яблоки, только в профиль.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #82

85. Сообщение от IdeaFix (ok), 02-Апр-22, 13:31 +/–

> поискал бы нормальную работу )
Хз, мне нравится... к тому же, поддержка легаси - это скорее дополнительное на парт-тайм.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #77

86. Сообщение от Аноним (86), 02-Апр-22, 17:41 +3 +/–

это не аргумент. питон например еще старше и прожувал эту проблему. utf16 скорее бы уже всем забыть

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

87. Сообщение от Брат Анон (ok), 03-Апр-22, 14:40 +3 +/–

> Походу в винде дело происходило? У Java в винде кодировка по умолчанию
> как раз 1251, потому что это кодировка по умолчанию в Windows.
> У компилятора есть опция для указания кодировки.
Почему-то компилятору golang, или pyhon -- никакие кодировки указывать не надо. Нигде. Совсем.
Java точно нормальные люди разрабатывали? Однобайтовая кодировка по умолчанию -- это из какого пещерного века стандарт?
> Я уж подумал что вы имели в виду что "жаба не поддерживает
> UTF-8" вообще. Решил что вы начали работать в 1996-ом году с
> JDK 1.0, там действительно не было работы с кодировками. И тогда
> же сразу разочаровались, не дождавшись версии 1.1 от 1997-го. И тогда
> же перешли на Go.
Нет, разумеется. Go ещё и 20 лет нету.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #80

88. Сообщение от Аноним (89), 04-Апр-22, 15:28 –1 +/–

> Когда java разрабатывалась utf-8 еще небыло
Жабка вышла в 95-ом.
utf-8 - в 1992-ом. А используемый жабкой utf-16 - в 96-ом.
Но в целом, это религиозный вопрос что лучше иметь внутри: utf-8, или utf-16.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69

89. Сообщение от Аноним (89), 04-Апр-22, 15:31 –3 +/–

> Ответил главный эксперт блока по техническому развитию одной из госкорпораций
какая госкорпорация, такие и главные эксперты

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58

90. Сообщение от Фняк (?), 04-Апр-22, 17:27 +/–

Уязвимости класса privilege elevation находят довольно часто, про них часто в новостях даже не пишут

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

91. Сообщение от Аноним (91), 05-Апр-22, 00:00 +/–

Сейчас в результате февральских событий есть подозрение, что все это последие 30 лет были подсадные вакансии в подсадных проектах с нулевым результатом.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

92. Сообщение от Аноним (91), 05-Апр-22, 00:02 +/–

Дак класс RC счетчика (а смарт поинтеры в плюсах уже из коробки) в сях можно написать за час рабочего времени
В чем преимущество сегодня тогда в этих ваших джавах?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #98

95. Сообщение от Z (??), 02-Май-22, 02:02 +/–

Проблема с УТФ-8 в консоли винды – бага самой винды, а не джавы. Проблема старая ещё с до-юникодовой эпохи. Решается флагом -encode utf8.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #99

96. Сообщение от Z (??), 02-Май-22, 02:11 +1 +/–

Бежать без оглядки надо из такой конторы. Работа должна приносить удовольствие, а потом уже деньги. Живём один раз, не хватало ещё мучать себя аджаилами.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #40

97. Сообщение от Z (??), 02-Май-22, 02:13 +1 +/–

Вы из какого года вещание? Трудовые книжки сейчас остались лишь в госучреждениях, в остальных случаях это договор на минимальную по закону ЗП + "бонусы".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

98. Сообщение от Z (??), 02-Май-22, 02:31 +1 +/–

> В чем преимущество сегодня тогда в этих ваших джавах?
В синтаксисе. Язык идеален для ОЧЕНЬ больших проектов, и наоборот, совершенно не расчитан для одностраничных хеллоуворлдов. Про тормознутость тоже улыбнуло, ведь джава всего в полтора раза медленнее Си, в то время, как богомерзкий питон в десятки раз медленнее.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #92

99. Сообщение от Брат Анон (ok), 02-Май-22, 12:41 +/–

> Проблема с УТФ-8 в консоли винды – бага самой винды, а не
> джавы. Проблема старая ещё с до-юникодовой эпохи. Решается флагом -encode utf8.
Ещё раз внимательно читаем текст. При чём тут консоль? При чём тут венда? utf8 -- это дефолтная кодировка у меня в IDE. Где вы всю эту чушь берёте? В каком месте я написал про венду и консоль?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #95

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 31-Мрт-22, 10:22	+14 +/–
Жаба как обычно, самая безопасная. Банально из-за сложности и многослойных нагромождений легаси.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #4, #27

2. Сообщение от name (??), 31-Мрт-22, 10:35	+/–
Спасибо г-споди, что я с этим больше не работаю.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #5

4. Сообщение от А (??), 31-Мрт-22, 10:42	+4 +/–
Неа. > многие корпоративные Java-приложения на базе Spring Framework выполняются с правами root и уязвимость позволяет Дело в попытке быстро получить бизнес результат. Поэтому халтурят во все лопатки. И таки - да, оно в контейнерах под рутом, и без контейнером под рутом. Так руководство топит за скорость.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #6, #17, #41

5. Сообщение от vellkira (?), 31-Мрт-22, 10:48	+/–
А с чем работаете?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #14, #31

6. Сообщение от пох. (?), 31-Мрт-22, 10:56	+9 +/–
Как будто "не под рутом" что-то изменило бы. У жабаприложения и так есть доступ ко всему, что вообще представляет хоть какую-то ценность. Причем обычно это ВСЬО значительно больше и дальше чем никому ненужный контейнер в контейнере в контейнере, хоть ты там будь рутом, хоть Г-дом Б-гом, все равно от юзера nobody (от которого, допустим на минуточку, выполняется весь твой из себя такой сесюрный жабокод из этого контейнера) есть доступ к хранилищу документов, базам, сервисным системам и так далее - иначе бы этот жабокот в сферическом вакууме никому нужен и не был. Не в ту сторону воюете, ик-сперды по безопастносте.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #9

8. Сообщение от Анонимыч (?), 31-Мрт-22, 11:02	–1 +/–
не воспроизвелось. Так херово работает все, что даже эксплойты не работают
Ответить \| Правка \| Наверх \| Cообщить модератору

9. Сообщение от А (??), 31-Мрт-22, 11:02	–1 +/–
Речь про отношение людей к теме. Это может и да, если всё в целом. А про рута история про снижение скорости развития вектора атаки, про уменьшение возможностей. И что это не делают сознательно.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6 Ответы: #25

10. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 11:06	–4 +/–
Но ведь даже без учёта уязвимостей - жаба тормозная и жручая. Кто в здравом уме будет будет её использовать?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #12, #15, #16, #19

12. Сообщение от Аноним (12), 31-Мрт-22, 11:16	+4 +/–
Производители железа одобряют
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10

13. Сообщение от Аноним12345 (?), 31-Мрт-22, 11:26	+/–
Бежать немедленно с этой жабы
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #46

14. Сообщение от Аноним (14), 31-Мрт-22, 11:38	+1 +/–
не с этим
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

15. Сообщение от Аноним (15), 31-Мрт-22, 11:39	+/–
зайдите на хх.ру да спросите у всех тамошних работодателей из сферы ИТ
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10 Ответы: #91

16. Сообщение от А (??), 31-Мрт-22, 11:39	+1 +/–
А она настолько была прогрессивнее Сей, что профит от того поборол. Как написано - столько и жрёт. Кто хорошо пишет, тот тоже будет использовать.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10 Ответы: #92

17. Сообщение от Аноним (17), 31-Мрт-22, 11:58	–2 +/–
Получил root контейнера, а дальше с ним со делать? В контейнере кроме jvm и приложения ничего нет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4 Ответы: #18, #26

18. Сообщение от А (??), 31-Мрт-22, 12:02	+/–
Там всякие капабилити включены, конт. привилегированный и прочие лёгкие способы достижения целей. Такая себе помойка.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #20

19. Сообщение от Аноним (19), 31-Мрт-22, 12:04	+1 +/–
> тормозная и жручая Насчет жручести - может быть и правда, но тормоза - чистой воды фантастика. В яве тормозили только т.н. "ява-аплеты" (были популярны до того, как ты родился) и свинг. А серверная ява довольно шустра и всего в полтора раза медленнее плюсов (всякие пихтоны и пыхи -- на порядки порядков порядков медленнее плюсов). Любой, находящийся в здравом уме, предпочтет использовать уже состоявшуюся Платформу со стандартами на все случаи жизни вместо того, чтобы изобретать квадратное колесо в пихтонах/пыхах. Таких платформ сейчас всего две - сишарп и ява. Сишарп отбросим за его проприетарность. Остается только ява. Но на пихтонах/пыхах все еще можно клепать гостевухи -- там, где производительность не важна. Эта гостевуха блестяще справится с двумя-тремя пользователями в месяц.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10 Ответы: #22, #24, #37

20. Сообщение от А (??), 31-Мрт-22, 12:05	+/–
Даже встречал как за своё выдают основную и первую идею контейнеризации и изоляции - типа собственного изобретения "новый", свой!, способ применения для безопасности. Настолько много тех, кому неизвестно для чего всё было придумано. Настолько неиспользуется.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18

21. Сообщение от Смузихлёб (?), 31-Мрт-22, 12:06	–2 +/–
Жаба это давно уже легаси сводящееся к поддержке и допилу под нужды. Джуны нафиг не нужны, поэтому учить с нуля точно не стоит.
Ответить \| Правка \| Наверх \| Cообщить модератору

22. Сообщение от Аноним (22), 31-Мрт-22, 12:39	+1 +/–
> Но на пихтонах/пыхах все еще можно клепать гостевухи -- там, где производительность не важна. Эта гостевуха блестяще справится с двумя-тремя пользователями в месяц. 3000 одновременно залогиненых пользователей, каждый - на подсосе минимум одного вебсоскета. И всё это держит один пихтон-контейнер, ибо больше и не надо. Просто справляется и всё. Я сам не фанат пихтонов, пыхов и прочих жабогадюк, но попросил бы тебя не болтать ерундой при людях.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #38, #62, #63

23. Сообщение от Аноним (23), 31-Мрт-22, 12:49	+/–
А к embedded tomcat не относится что-ли? Только если war-ник и на отдельном Tomcat сервере?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #83

24. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 12:53	–3 +/–
> серверная ява довольно шустра Дооо... Уж мы сейчас как всю память в системе отхаваем, да все свои структуры данных как проинициализируем, да кэши как прогреем, да после этого как попрём, как попрём, так попрём, что о-го-го, как попрём, ой, что-то как-то всё тормозить стало, ой памяти не хватает, ой, для свопа уже раздела не хватает, ой, всё раком встало, даже оом киллер не успел нашу шуструю серверную жабу пристрелить.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #28, #32

25. Сообщение от пох. (?), 31-Мрт-22, 12:55	–1 +/–
Ну потому что правда ни от чего не поможет и только займет лишнее время. Обычно не от рута имеет смысл не ради этого а ради того что от рута у нас все еще вообще не все идеально работает - юникс-шмуникс какой-то, что-ли там был - некоторый софт все еще на полном серьезе рассчитывает, к примеру, что файл с правами 200 нельзя прочитать - и вместо ошибки доступа получает полузаписавшиеся данные. Но это ж надо хотя бы суметь юзера внутри контейнера поменять.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #55

26. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 12:58	+/–
> В контейнере кроме jvm и приложения ничего нет. А в конфиге приложения - всё, что нужно для доступа к БД, с которой это приложение работает.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #17 Ответы: #42, #67

27. Сообщение от Аноним (27), 31-Мрт-22, 12:59	+/–
Стандартная история с рефлексией-десериазилацией. Такое безопасно делать только по белым спискам. В любом, внезапно, языке, где есть что-то похожее. Это очень, кстати, похоже на старую уязвимость в Drupal - с именем функции-коллбэка в пейлоаде. Короче, в сотый раз те же грабли.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

28. Сообщение от пох. (?), 31-Мрт-22, 13:01	+/–
> ой, что-то как-то всё тормозить стало, ой памяти не хватает, ой, > для свопа уже раздела не хватает, ой, всё раком встало, даже > оом киллер не успел нашу шуструю серверную жабу пристрелить. это просто у тебя код г-но. Вот как надо правильно: "дорогая техподдержка - а чего это у нас через некоторое время работы вашего [очень ентер-прайсный протухт] он выжырает все выделенные жабовм терабайты, после чего начинает жрать еще и процессор как не в себя, так что и пристрелить его почти невозможно? - А это потому что когда у нас память кончается, автоматически запускается GC, шерстящий все эти понавыделенные терабайты. И чем больше их понавыделено тем медленнее он их перебирает. А поскольку памяти от этого нихрена не прибавляется - мы ему в подмогу запускаем еще один. И еще. И еще. Вот, теперь вам хорошо - у вас не только памяти нет, но и процессорные ядра все заняты непойми чем!"
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24 Ответы: #30

29. Сообщение от WebBonobo (?), 31-Мрт-22, 13:01	+/–
кто из опытных ушел из джавы в Го, как оно?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #44, #50, #56, #57

30. Сообщение от YetAnotherOnanym (ok), 31-Мрт-22, 13:06	+/–
Ага, LA за сотню, и когда очередь дойдёт до оом киллера - еще неизвестно ))
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #28

31. Сообщение от Аноним (31), 31-Мрт-22, 13:13	+8 +/–
С лопатой на стройке
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5

32. Сообщение от Аноним (19), 31-Мрт-22, 13:20	+3 +/–
> свои структуры данных как проинициализируем, да кэши как прогреем на яве пишут долгоиграющие приложения. То, что он будет раз в месяц запускаться секунд 10 - не важно, это же твой IИDEX.рнр, запускающийся с полного нуля при каждом запросе. > всю память в системе отхаваем не позорься, погугли про Xmx/Xms и возвращайся править IИDEX.рнр (напрямую через FTP естессно, и не забудь в битриксе активировать режим проактивной защиты).
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #24 Ответы: #35

34. Сообщение от Аноним (34), 31-Мрт-22, 13:50	+/–
Проверил, на пашет если сервисы сделаны норм и разрешено только то, что разрешено, можно до усрачки создавать все, что угодно, доступа туда не будет. Но в целом прикольно.
Ответить \| Правка \| Наверх \| Cообщить модератору