Sierpień 2005 - lms - lists.lms.org.pl

Re: 1.6.3 - Security release
by konrad rzentarzewski 20 Sie '05

20 Sie '05

12/08/05, messie from [ Grzegorz Stanislawski ] ... > W lmsie w sesji powinna byc lista klientow i komputerow - obie bardzo > czesto wykorzystwane w formularzach. kompletny obiekt reprezentujacy > dane odbenie zalogowanego uzykownika, wyniki kwerend pokazujacych > statystyki i pare innych zeczy. powinny byc ale ich trzymanie w sesjach > nie wnosi nic pozytywnego bo dostanie tych danych z sesji jest prawie > tak samo kosztowne jak uzyskanie ich normalna droga. te przykłady, które wymieniłeś są sensowne, ale w lmsie nie ma tabel, które mogły by być w ten sposów cache'owane. a więc sesja służy tylko do logowania i przechowywania ostatnio wywoływanego modułu. sam nie wiem, dlaczego dla tak prostego zastosowania Łukasz nie skorzystał z mechanizmów sesji wbudowanych w PHP. i czemu tworząc sesje na nowo zdecydował się na zapis do DB. na pewno nie ze względów wydajnościowych :) > Wyslalbym wam patcha, ale nauczony tym jak Alec traktuje podsylane > patche powstrzymam sie od tego, zwlaszcza ze musialbym troche popracowac > nad tym zeby cofnac sie do kompatybilnosci z obecnym lmesem. czemu po prostu nie udostępnisz źródeł swojej wersji? może kogoś innego zainteresuje jakiś feature i sportuje go do głównej gałęzi. -- :|[ kondi.net ]|:::::::::::::::::::::::::::::::::::|[ 2:480/133@fidonet.org ]|:

1 0

Re: 1.6.3 - Security release
by Grzegorz Stanislawski 20 Sie '05

20 Sie '05

Marcin Król napisał(a): > Grzegorz Stanislawski napisał(a): > > >>>Zaleca się przeglądnięcie plików backupu i usunięcie z nich tych danych. >> >>Jeszcze jedna okazja do przypomnienia ze sesje w bazie sa porabanym >>pomyslem i do zapelowania o powrot do normalnosci. > A ogórki konserwowe są smaczniejsze. ja wole kiszone ;-) > Ps. Podasz jakiś argument za? > Bylo juz na liscie. Ja rowniez chcialbym dostac jakis powazny argument dla ktorego sesje zostaly przeniesione do bazy bo jedyny jaki znam nie jest tu spelniony (mowa o serwisie obslugiwanym przez kilka serwerow i kwestii wyniany danych o sesjach pomiedzy serwerami) Najwazniejszy i podstawowy to taki ze w sesje sluza do przechowywania czesto uzywanych (podczas calej sesji) danch (a nawet calych obiektow) a w szczegolnosci tych ktore sa produktem skomplikowanych kwerend lub innych skomplikowanych procedur. Sesje sluza to tego aby nie ssac tych danych za kazdym razem, oszczedajac w ten sposob cenny czas procesora i jeszcze cenniejszy czas tego kto te strony oglada. Aplikacje webmailowe trzymaja w sesjach zawartosc skrzynki usera (prznajmniej jej index), sklepy internetowe trzymaja tam zawartosc koszyka i informacje o towarach ktore user ogladal oraz wybrana na podstawie tych danych liste tych ktore powinen zobaczyc pokazywana w ramach "related items" czy "polecamy". Aplikacje rysujace mapy laduja do sesji informacje o obiektach ktore pojawiaja sie na mapie i tak dalej i tak dalej. Sesje nie skuza do tego zeby przechowywac tam tylko dane o aktualnej skorce i hash potwierdzajacy poprewne zalogowanie. W lmsie w sesji powinna byc lista klientow i komputerow - obie bardzo czesto wykorzystwane w formularzach. kompletny obiekt reprezentujacy dane odbenie zalogowanego uzykownika, wyniki kwerend pokazujacych statystyki i pare innych zeczy. powinny byc ale ich trzymanie w sesjach nie wnosi nic pozytywnego bo dostanie tych danych z sesji jest prawie tak samo kosztowne jak uzyskanie ich normalna droga. Wyslalbym wam patcha, ale nauczony tym jak Alec traktuje podsylane patche powstrzymam sie od tego, zwlaszcza ze musialbym troche popracowac nad tym zeby cofnac sie do kompatybilnosci z obecnym lmesem. Grzegorz Stanislawski

1 0

Re: [lms]skrypty
by Tommy Vercetti 20 Sie '05

20 Sie '05

On Saturday 20 August 2005 03:03, Waldi wrote: > Ps. Probowalem zabawy z lmsd ale w logach mam : > Aug 20 03:02:01 serwerek lmsd: ERROR: [db_connect] Unable to connect to > database. Access denied for user: 'airnetp@jakishost' (Using password: YES) > Wiec w sumie to wina niby bazy danych.... > No ale jakos nie bardzo wiem co moze byc nie tak... ze nie moze sie > polaczyc:| > Dodam ze jak chce sie polaczyc z tego hosta do bazy recznie za pomoca > programiku mysql to nie ma problemu:| Zle uzyszkodnikowi nadales prawa. Skonsultuj sie z manualem mysqla. Tam jest bardzo ladnie opisane co zrobic. -- Vercetti

1 0

Re: 1.6.3 - Security release
by Marcin Król 20 Sie '05

20 Sie '05

Grzegorz Stanislawski napisał(a): >>Zaleca się przeglądnięcie plików backupu i usunięcie z nich tych danych. > > Jeszcze jedna okazja do przypomnienia ze sesje w bazie sa porabanym > pomyslem i do zapelowania o powrot do normalnosci. A ogórki konserwowe są smaczniejsze. Ps. Podasz jakiś argument za? -- _ _ _ ___ | |_ | \/ |( __| http://www.|___)|_||_||___).rulez.pl Marcin 'Lexx' Król LMS Developer lexx(a)polarnet.gliwice.pl GG: 652506 Nie odpisuje na listy pisane w HTML.

1 0

Re: [lms]skrypty
by Waldi 20 Sie '05

20 Sie '05

Ps. Probowalem zabawy z lmsd ale w logach mam : Aug 20 03:02:01 serwerek lmsd: ERROR: [db_connect] Unable to connect to database. Access denied for user: 'airnetp@jakishost' (Using password: YES) Wiec w sumie to wina niby bazy danych.... No ale jakos nie bardzo wiem co moze byc nie tak... ze nie moze sie polaczyc:| Dodam ze jak chce sie polaczyc z tego hosta do bazy recznie za pomoca programiku mysql to nie ma problemu:| Pozdrawiam Waldi ----- Original Message ----- From: "Waldi" <waldi(a)piastlan.one.pl> To: <lms(a)lists.rulez.pl> Sent: Saturday, August 20, 2005 2:41 AM Subject: [lms] [lms]skrypty > Witam > probuje odpalic te skrypty perlowe na innej maszynie niz ta na ktorej jest > baza danych... > tylko ze wystepuje maly problem: > lms-arping, version 1.6.3 Laira > (C) 2001-2005 LMS Developers > Using file /etc/lms/lms.ini as config. > DBI connect('database='lms';host=85.128.113.238',''airnetp'',...) failed: > Access denied for user: ''airnetp'@jakishost' (Using password: YES) at > ./lms-arping line 132 > Niby wina serwera mysql, ale kombinuje na rozne sposoby. tzn host z > jakiego mozna sie laczyc probuje w uprawnieniach usera ustawiam na > dowolny, pozniej na ip tego host, nawet na nazwe domenowa tego hosta i > nic.... > W pliku lms.ini w zasadzie dobrze chyba bo ustawielem dane co do bazy > danych i np dane do skryptu lms-fping, no ale przy kazdym to samo :-| > > Moze jakies sugestie... > > Pozdrawiam > Waldi > > > >

1 0

[lms]skrypty
by Waldi 20 Sie '05

20 Sie '05

Witam probuje odpalic te skrypty perlowe na innej maszynie niz ta na ktorej jest baza danych... tylko ze wystepuje maly problem: lms-arping, version 1.6.3 Laira (C) 2001-2005 LMS Developers Using file /etc/lms/lms.ini as config. DBI connect('database='lms';host=85.128.113.238',''airnetp'',...) failed: Access denied for user: ''airnetp'@jakishost' (Using password: YES) at ./lms-arping line 132 Niby wina serwera mysql, ale kombinuje na rozne sposoby. tzn host z jakiego mozna sie laczyc probuje w uprawnieniach usera ustawiam na dowolny, pozniej na ip tego host, nawet na nazwe domenowa tego hosta i nic.... W pliku lms.ini w zasadzie dobrze chyba bo ustawielem dane co do bazy danych i np dane do skryptu lms-fping, no ale przy kazdym to samo :-| Moze jakies sugestie... Pozdrawiam Waldi

1 0

Re: 1.6.3 - Security release
by Grzegorz Stanislawski 19 Sie '05

19 Sie '05

A.L.E.C napisał(a): > 1. Błąd polegał na zapisywaniu niezakodowanych haseł w sesji, >a jak wiadomo sesja jest obecnie przechowywana w bazie danych. > 2. Dane sesji były także zapisywane w backupie, co stanowi jeszcze większe zagrożenie. >Zaleca się przeglądnięcie plików backupu i usunięcie z nich tych danych. > Jeszcze jedna okazja do przypomnienia ze sesje w bazie sa porabanym pomyslem i do zapelowania o powrot do normalnosci. Grzegorz Stanislawski

1 0

Re: Userpanel i kreator pomocy technicznej
by Marcin Król 19 Sie '05

19 Sie '05

Rafal Drozd napisał(a): > Fatal error: Call to undefined function: getdir() in /var/www/devel/userpanel/lib/upgradedb.php on line 71 > > fajne ;) No popatrz. A wystarczyło odświerzyć. -- _ _ _ ___ | |_ | \/ |( __| http://www.|___)|_||_||___).rulez.pl Marcin 'Lexx' Król LMS Developer lexx(a)polarnet.gliwice.pl GG: 652506 Nie odpisuje na listy pisane w HTML.

1 0

Re: hasła jednorazowe
by Marcin Król 19 Sie '05

19 Sie '05

Tomasz Chilinski napisał(a): > Co myślicie o tym, żeby użytkownik LMSa, mógł być zależnie od jego uprawnień > autentyfikowany hasłem jednorazowym wysyłanym SMSem. Doszłyby następujące pola > w tabeli users: > onetimepasswordrequired (TRUE|FALSE), > onetimepassword (string), > mobilnephone (string) > Dla użytkownika u którego onetimepasswordrequired == TRUE, po wstępnej > autentyfikacji byłby wysyłany SMS na komórkę o numerze mobilephone z jego > hasłem jednorazowym wraz z zapisaniem tego hasła do pola onetimepassword, a > następnie pojawiałby się następny formularz logowania z zapytanie o hasło > jednorazowe. > Po podaniu hasła jednorazowego (o ile byłoby prawidłowe) uzytkownik byłby > zalogowany. Niezależnie od tego czy podałby poprawne można byłoby wyczyścić > pole onetimepassword. > > Co Wy na to? Ktoś ma paranoje? ;) Chociaż jako opcja może być. Podniesie się prestiż ;] -- _ _ _ ___ | |_ | \/ |( __| http://www.|___)|_||_||___).rulez.pl Marcin 'Lexx' Król LMS Developer lexx(a)polarnet.gliwice.pl GG: 652506 Nie odpisuje na listy pisane w HTML.

1 0

hasła jednorazowe
by Tomasz Chilinski 19 Sie '05

19 Sie '05

Witam. Co myślicie o tym, żeby użytkownik LMSa, mógł być zależnie od jego uprawnień autentyfikowany hasłem jednorazowym wysyłanym SMSem. Doszłyby następujące pola w tabeli users: onetimepasswordrequired (TRUE|FALSE), onetimepassword (string), mobilnephone (string) Dla użytkownika u którego onetimepasswordrequired == TRUE, po wstępnej autentyfikacji byłby wysyłany SMS na komórkę o numerze mobilephone z jego hasłem jednorazowym wraz z zapisaniem tego hasła do pola onetimepassword, a następnie pojawiałby się następny formularz logowania z zapytanie o hasło jednorazowe. Po podaniu hasła jednorazowego (o ile byłoby prawidłowe) uzytkownik byłby zalogowany. Niezależnie od tego czy podałby poprawne można byłoby wyczyścić pole onetimepassword. Co Wy na to? Pozdrawiam, Tomasz Chiliński

1 0