https://4otaku.org/blog/robust/ конференции robust, суровой разработки, теории игр и виртуальных машин. Особенно виртуальных машин.]]> ru info@send.4otaku.org info@send.4otaku.org 4otaku https://4otaku.org/t/404/ https://4otaku.org/blog/robust/404.html Nameless Сперва новое выкатывается только небольшому проценту пользователей, отобранных случайным образом. С них и с контрольной группы, которой показывается старый вариант, собирается статистика, После чего принимают решение, лучше станет от новой фичи/дизайна или хуже. Это называется Quantitive Testing. Помните все те разы, когда вы или кто-то другой ругался на новый дизайн гугла или ютуба, а окружающие не могли понять о чем речь, ведь все по-старому? Вы участвовали в таком тестировании.
А еще мы часть таких пользователей записываем с помощью SessionCam. Это такая библиотека яваскрипта, которая запоминает все действия совершенные на странице, включая перемещение мыши, написание текста, и.т.д, и.т.п. И потом это можно посмотреть, увидеть что и как человек делал на странице.

Хотел поделиться забавным результатом с одной из этих записей, ловите скриншот:
]]> Fri, 21 Feb 2014 14:55:23 +0400 https://4otaku.org/t/480/ https://4otaku.org/blog/robust/480.html Nameless
Интересное интервью на английском. Разбито на три части.
Проходятся по началу серии Тохо, по комикету, по разнице между додзин-играми и коммерческими играми. Говорят о том, что такое собственно «компьютерная игра» и спрашивают ЗУНа, что он думает о размещении серии тохо в стиме, и не планирует ли он создание игры под мобильные платформы.
Первая часть.
Вторая часть.
Третья часть.]]> Thu, 06 Feb 2014 12:20:01 +0400 https://4otaku.org/t/321/ https://4otaku.org/blog/robust/321.html Nameless Ниже будет про информационную безопасность, xss, школоту и много мата.

Итак, есть такая группа людей в интернете, «школохакеры». У них есть свои форумы, каналы, блоги и прочая херота.
Начитавшись статейки про уязвимости, они уже грезят карьерой в информационной безопасности. Там и платят много, и профессия уважаемая, да и вообще я же у мамки хакер, хоть ворд поставлю, хоть винду переустановлю.
Но никто же хуя простого так на работу не возьмет. Особенно если он свой паспорт только недавно получил. А величие и знание у нашего субъекта есть уже сейчас. Он же перечитал весь хакер.ру и поставил три программы-сканера уязвимостей на свой комп. Настроить правда не смог, но это детали.
Поэтому ему нужно что? Правильно, портфолио. Случаи когда он нашел страшные уязвимости и зарепортил их. До оффлайновых систем нашего школьничка отчего-то не допускают, и остается ему только одно, крайне популярное у его братии занятие: сканить все более-менее крупные сайты подряд в интернете, следуя указаниям из этих его статеек об уязвимостях. Ну или тому, насколько он понял написанное там.
Найдя «уязвимость» он радостно репортит ее в техподдержку. Сайт становится безопаснее, а он добавляет строчку в резюме. Казалось все хорошо, и все было бы хорошо, не будь большинство из них такими туполобыми мудаками.

Теперь что такое xss. Это такая очень серьезная уязвимость вебсайтов. Разработчику который допустил такое на коммерческом проекте надо оторвать руки и заставить культями исправить содеянное. Или сначала заставить исправить, пальцами пожалуй быстрее получится.
Суть этой уязвимости в возможности подкинуть другому пользователю произвольный яваскрипт, который исполнится у него на страницах этого сайта. Дав специальную ссылку или залив что-то на сайт и расшарив с жертвой атаки, или еще как. Тогда можно сделать уже много всего. Например угнать аккаунт.

Так вот, когда техподдержка получает репорт в котором рядом есть слова «уязвимость» и «xss», она разумеется начинает рвать лобковые волосы и ставит на уши всех. Разработчики вырываются из постелей, из-под новогоднего стола и прямо с сортира.

За последнее время у меня было 2 (два) таких случая. И в обоих случаях я сильно жалел, что у меня нет прямой связи с этими мудаками.

Сегодня некий Hardik написал, что он нашел страшную уязвимость. Оказывается если скачать себе на винт html-файл, а потом открыть его браузером то имеющийся в этом-html файле яваскрипт выполнится.
Пруфы великого открытия, заскриненные прямо с компа самого открывателя:
i.imgur.com/z8VArpE.png i.imgur.com/7vC8Kth.png
А значит если залить на сайт файл с расширением .html, и предложить другому пользователю скачать и запустить под благовидным предлогом, сайт будет взломан.
Последствия страшной уязвимости на нашем сайте, перечисленные самим великим Хардиком:
1) identity-theft
2) online transcenction theft
3) harm user PC
4) steal cookies
5) advertise improper contents
Разумеется с таким-то списком техподдержка была в панике, а поскольку речь шла о моей зоне ответственности, меня тут же выдернули из-за коденья чотаки и отправили разбираться. Параллельно натачивая тесак, руки рубить.
Вот кстати сам скрипт эксплуатирующий страшную уязвимость — язык разметки html: pastebin.com/QdGjUeQC

Теперь представим сколько всего ужасного мог бы сделать этот произвольный яваскрипт. Вот жертва открывает страницу, вот скрипт ворует куки, коды транзакций, аккаунт…
А нет, стоп, не ворует. Нет куков. Нет транзакций. Нет аккаунта. Потому что внимание на второй скриншот и адресную строку. Скачанный файл исполняется не на сайте откуда он был скачан, черт побери. Браузер не загрузит никакие куки и личные данные ни с какого сайта в html-файл исполняемый с винта.
Ладно, если нет сайта давайте тогда взломаем компьютер! Ага, щас. Яваскриптом запущенным в сендбоксе браузера. Это тупо невозможно в наши дни.
А насчет показа рекламы, что мне мешает записать ее в .doc и предлагать скачать всем .doc? Давайте запретим файлообмен совсем тогда, чо уж.

И самое обидное что вот этот вот мудак, не понимающий что такое xss и что такое уязвимость, полностью уверен что он спас день и с чистой строчкой занесет строчку о успешном взломе сайта и нахождении уязвимости на нашем сайте в свое резюме. Даже если бы у меня были его контакты, объяснять что-то такому бесполезно.

Второй неизвестный мне мудак с филиппин за месяца полтора до этого кадра тоже нашел xss. В превью заполняемой им формы. То есть на своей собственной странице, которую никто кроме него не может увидеть. То есть он успешно взломал свой собственный браузер, и ничей больше. Гений, хуле. Так и хотелось ему дать пару ссылок почитать про юзерскрипты и конскольку хрома, у него сразу xss на каждом сайте интернета бы нашлось.

Вот эти вот мамкины хакеры в итоге стоят нервов нормальным людям которые уже работают над коммерческими проектами. Программистам, техподдержке. И при этом считают себя спасителями и неебаца гениями. А обратное хуй докажешь.

Вроде полегчало.]]> Tue, 14 Jan 2014 20:44:21 +0400 https://4otaku.org/t/319/ https://4otaku.org/blog/robust/319.html Nameless Ну и ссылка в бонус.]]> Tue, 14 Jan 2014 17:47:36 +0400 https://4otaku.org/t/181/ https://4otaku.org/blog/robust/181.html artful-iomante
Александр Соловьёв о реактивном программировании, Clojure Script и о том, каким образом бекон связан с реактивностью.

Сайт докладчика: solovyov.net.]]> Mon, 30 Dec 2013 20:32:28 +0400 https://4otaku.org/t/5/ https://4otaku.org/blog/robust/5.html artful-iomante
Здесь будут жить мысли об игродизайне и машиноархитектуре, куски сурового кода и новости по разрабатывающимся конфочкой проектам. Ждите девять долей ОТАКУ на одну долю АНИМЕ.

Да не загнёмся.]]> Thu, 19 Dec 2013 21:58:17 +0400