Результаты поиска

Я как то покекал с твоего повсеместного флекса этим кодом. Мне было скучно и я сделал ревью. В целом он, по идее, работает, но определенно не является примером для подражания. Всегда ваш интернет-воин. class JarExtractor{ fun relocate() { if (FMLEnvironment.production) {...

ага понял. план как стать тех лидом готов.

ну а я посчитал что мне нужно в более мягкой форме сказать что ты несешь дичь. я уважаю людей. Я понимаю, что для начинающих программистов все эти выкрутасы опытных товарищей кажутся чем-то не нужным, ибо работает у меня - слава богу, но я считаю своим долгом написать свой комент для тех людей...

бесплатный сыр...

а если подпись есть, то сразу с кайфом? как будто бы подпись мало чего гарантирует.

Добавляя к словам предыдущего оратора хочется обратить внимание на тот факт, что пакуя такую базу как mysql коннектор в мод ты рискуешь, что есть другой мод, который так уже делает, и если у вас разные версии, то внезапно ты проиграешь, если не будешь юзать shadow plugin.

ну ты можешь либо не отправлять данные о сущности целевым клиентам либо ловить ивент отрисовки и отменять его

Вот бы вырезать OIS из жавы.

Да я не наезжаю, прости, если задело. Просто наверно было б неплохо хотя б ссылочку на вот ето добавить. Типо круто, что осветил, я просто хочу добавить к посту информации.

Короче как я считаю как должно было бы выглядеть описание этого эксплоита: 1. Находим мод, который читает из OIS на сервере. 2. Как то добываем как можно больше классов, которые есть на сервере 3. Запускаем вот эту штуку на этих классах 4. Получаем на выходе путь из классов, которые нам нужно...

Да. Факт. Крутой годный фикс этого кейса. Не костыльный и обстоятельный. Жаль это не фикс уязвимости OIS в целом. Ничего против не имею просто странно видеть в теме с уязвимостью OIS фикс не OIS, а этих модов. Было бы здорово, если б была приписка, что это фиксит конкретно эти моды.

Выглядит как то голословно. Я верю, что можно найти комбинацию существующих классов на сервере, но я не верю, что можно отправить произвольный класс. Зачем ты мне врешь? Если прислать объект, класса которого нет на сервере, OIS выкинет ClassNotFoundException. Только что проверил. Окей вот это...

мне кажется ты не прав ты не отсылаешь свой класс ты отсылаешь только поля объекта исходя из спеки OIS не загружает новый класс, а только ищет по имени Раскидывая по фактам, вот что делает OOS исходя из спеки The writeObject method is used to serialize an object to the stream. An object is...

а скала прикольно но на самом деле все еще интересно было б знать через какой класс это делается.

Она, конечно, не дает отправить клиентский пакет на сервер, но никто не запрещает отправить серверный пакет на сервер и прочитать его там с помощью OIS.

Ой ну еще я не доволен препиской "сделали фикс". Как то, либо я чота не понимаю, либо ресурс вводит в заблуждение. Фикс должен быть по типу if (OIS doing wrong things) { stop it please() } Ну или подписывание пакетов опять же точно решило бы проблему. А так получается, что тема про страшную...

а это точно было в 1.7.10?

Если я правильно вот щас прочитал спеку сериализации там выходит что OIS не может определить новый класс и мы в "запускании произвольного кода" ограничены теми классами, которые наследуют Serializable, и исполнить мы можем только их дефолтные конструкторы. Если же у типа нет дефолтного...

Хорош Мужчина Меняем стереотипы о логах Омежки делают вертикальные Сигмы делают горизонтальные