На главную страницу AlgoNet В сотрудничестве с ZDNet
АРХИВ СТАТЕЙ 2002-9-20 на главную / новости от 2002-9-20
AlgoNet.ru
поиск

 

Место для Вашей рекламы!

 

Все новости от 20 сентября 2002 г.

Microsoft предупреждает о серьезных ошибках в Java VM

В среду вечером Microsoft распространила бюллетень, в котором предупреждает всех пользователей своей операционной системы Windows о двух вновь обнаруженных серьезных ошибках, допускающих возможность несанкционированного доступа к управлению ПК.

Ошибки обнаружены в реализации виртуальной машины Java от Microsoft — механизме, позволяющем исполнять на ПК независимые от платформы программы. «Атакующий может полностью контролировать систему пользователя, — говорится в бюллетене. — Это означает возможность выполнения любой операции, доступной пользователю: запуск приложений, посещение веб-сайтов, добавление, удаление и редактирование данных».

Чтобы воспользоваться ошибками, достаточно заманить жертву на определенный веб-сайт, на странице которого содержится специальный код. Опасность представляют и электронные письма в формате HTML, кроме тех случаев, когда получатель пользуется пакетами Outlook 2002 или Outlook Express 6.0 либо у него установлен Outlook E-mail Security Update. Пользователи Internet Explorer, запретившие исполнение Java-аплетов, тоже могут не беспокоиться.

Первая ошибка вызвана уязвимостью определенных Java-классов, управляющих запросами к базе данных. Классы пытаются блокировать нелегальные запросы, но эти меры безопасности можно обойти, утверждается в бюллетене. Вторая ошибка обнаружена в Java-классе, предназначенном для поддержки использования XML через Java: вместо нескольких определенных программ он допускает к данному механизму любые.

Microsoft выложила на свой сайт поправку, на которую в бюллетене приводится ссылка. Пользователям Windows она доступна и через Windows Update. 

 Предыдущие публикации:
2002-09-06   Через дыру в Windows можно красть кредитные карты
2002-09-13   Microsoft предупреждает о возможности хищения документов Word
 В продолжение темы:
2002-09-26   Ошибка FrontPage ставит под удар веб-серверы
Обсуждение и комментарии
LSupplier - lsls.com
20 Sep 2002 1:17 PM
Ну почему, все, что делает Микрософт содержит багу? Млин, пользуйте стандартную и притом, к тому же, и последней версии, Джава машину от САН!
 

Chkaloff
20 Sep 2002 2:27 PM
2 LSupplier:
А я вообще ее не пользую и мне хорошо.
А вообще известно, что во всех относительно длинных программах есть ошибки. И чем большее число ими пользуется, тем больше их находят.

Более того, теперь практически все ошибки в своих программах находит сама MS, а не сторонние люди, что говорит о многом.
 

Skull - sibskullmail.ru
20 Sep 2002 2:45 PM
Блин! Достали сообщения о багах в продуктах MS! То, что система насвозь дырявая, мы давно уже знаем! Новости просто тяжело читать. ЧТо ни новость про MS, то баг! :(((
 

Qrot
20 Sep 2002 3:18 PM
LSupplier: а ты почитай ченжлог на сановскую жабу.. недавно как раз 1.4.1 вышла.
 

miroh
20 Sep 2002 4:08 PM
все правильно - уязвимости том где есть мост java - COM. Т.е опять сказывается то, что в COM/ActiveX нет никакой системы безопасности. Бум надеяться в NET получше будет
 

sergod - sergodimail.ru
20 Sep 2002 4:10 PM
Просто в MS начали тщатЕльнее читать собственные исходники
 

-
20 Sep 2002 7:13 PM
2Skull: ты багтрак почитай. У меня лично сразу появляется желание выключить комп и не включать (хинт: ОС не важна :) )
 

Drew
20 Sep 2002 7:41 PM
ИЗ НЕДРОВ Микрософт пришло следующее сообщение:
Робяты, Микрософт - НЕ КОМПАНИЯ ПО СЕТЕВОЙ БЕЗОПАСНОСТИ. Смешно ждать ОТ ЛЮБОГО потребительского продукта абсолютной защищенности. Это касается ВСЕХ продуктов, а не только программ Микрософт. Любой продукт Микрософт ПРЕЖДЕ ВСЕГО рассчитан на комфортную работу в спокойной, неатакуемой среде. Мы не отказываемся от исправления обнаруженных уязвимостей и потенциально опасных мест, НО если вы хотите абсолютной защищенности системы, то вы должны пользоваться СПЕЦИАЛИЗИРОВАННЫМИ антивирусными и защитными системами сторонних производителей.
Любая компания, выпускающая более менее серьезный продукт В СОСТОЯНИИ сделать его практически неуязвимым для атак, однако ценой за это будет НЕПОМЕРНАЯ сложность в установке, настройке и сопровождении, что практически сведет на нет ПОТРЕБИТЕЛЬСКИЕ свойства продукта и приведет к увеличению затрат на его производство до чрезмерных и неприемлимых сумм.

__________ конец цитаты ____________
Все ясно? Лично я согласен. В любом случае мой антивирус обновляется регулярно и гораздо быстрее, чем выходят заплатки к ЛЮБОЙ оси. А набор тулзов дает достаточные гарантии против сетевых атак, неизвестных вирусов и "зловредного" кода на страницах.
 

Drew
20 Sep 2002 7:46 PM
Для тех, кто в танке проведу аналогию:
Автомобиль (любой марки) может ломаться, с него можно стырить подфарник, он может врезаться в другой автомобиль, может застрять в грязи.
Производители авто В СОСТОЯНИИ сделать неугоняемый, неломающийся практически, почти не бъющийся о стену и другие авто, проходящий по любой грязи.
А теперь представте себе это чудо.
Представили? Похоже на танк с 20-тью противоугонками и иммобилайзерами, с активной броней, передвигающийся не быстрее 20-ти км.ч. дабы не разбиться о стену и другие танки.
 

00alex - 00alexmail.ru
20 Sep 2002 9:38 PM
Какое коварство!!! :)

Вот умеют же в Майкрософте из собственных ошибок извлекать коммерческую выгоду. Ну назови они заголовок "Обнаружили серьезную ошибку в собственном софте" - одно, а тут "Робяты, во всем виновата JAVA, она плохая, запомните, и МЫ ничего не можем поделать, пользуйте проверянные технологии: .NET" ;-)))

Супер антиреклама Java. Бедный пользователь и в жизни никогда не узнает, чья VM у него стоит, но отвращение к Java будут испытывать каждый 1-й :)

"Вот за это их не любят" (c)
 

Sergey
21 Sep 2002 12:25 AM
Это потому, что Java действительно плохая, а .NET действительно много лучше.
 

Долой игры!
21 Sep 2002 6:18 PM
Только вот по секурным багам почему-то впереди Red Hat Linux...
 

prodigy_ - prodigy_mail.ru
21 Sep 2002 9:55 PM
Народ, будем реалистами. Какая разница, чья там Java VM. Ниче не дает полной гарантии против вскрытия системы, окромя хардварного файрвола включенного на полную катушку.

А насчет всех этих дыр в security - ну вы хоть раз слышали за последнее время о реальных атаках с их использованием? Лично я уже оооочень давно не слыхал. А знаете почему сообщения о них все-таки появляются с прискорбной регулярностью? Да Билли просто нашел способ обеспечить себе бесплатную рекламу. Скоро все новостные ленты инета будут вопить про MS 24 в сутки, а у юзеров будет создаваться стойкое впечатление, что форточки час от часу становятся все надежнее. Плюс этим оправдывается нежелание переходить к Open Source - вот мол же мы денежки отрабатываем не покладая рук, чего ж вам боле?

Но на самом деле вся эта трескотня ни о чем. Скока дыры не латай все равно можно найти новые - при таком объеме кода это не так сложно. Я могу с уверенностью сказать, что наверное на 80% компов (в том числе и корпоративных) скажем в Москве вообще стоит Win98SE без каких-либо заплаток - и ниче, как правило все равно их никто не ломает.
 

glassy
23 Sep 2002 7:45 AM
2Drew: но придумали же неломаемые домофоны
 

Наблюдатель
23 Sep 2002 9:23 AM
Хм, я JVM давно отключил. Недавно участвовал в составлении ТЗ на разработку корпоративного веб портала, так там отдельным пунктом шло запрещение использования Java.

2prodigy_
Аппаратный межсетевой экран далеко не панацея.
 

glassy
23 Sep 2002 9:48 AM
2Наблюдатель: "Аппаратный межсетевой экран далеко не панацея" Ты только об этом МС и Интелу не говори.
 

Drew
23 Sep 2002 9:59 AM
2 glassy: Дык домофон - не потребительский продукт а "межсетевой экран" и есть. Это раз. Неломаемых домофонов не бывает. Все они "фомкой" отжимаюцца. Это два.
:))))
 

eXOR - billgmicrosoft.com
23 Sep 2002 10:00 AM
2 Наблюдатель:
Наверное это от большого ума сделали? А на замену что сделали? ActiveX?

> корпоративного веб портала
А это что за зверь такой?

 

miroh
23 Sep 2002 10:19 AM
2eXOR Правильно сделали. Чтоб сделать нормальный эффективный и устойчивый ява апплет нужна серьезная квалификация и опыт. А этого у большинства WEB программистов обычно нет. Поналяпают глюкалово - нафиг это надо?
Про дыру в MS JVM: там работа с БД и XML идет через мост с ActiveX. А, как известно у ActiveX нет ограничений безопасности, так что в этом мультике можно делать все что угодно.
 

Наблюдатель
23 Sep 2002 12:36 PM
2eXOR
Зачем так грубо. Рассуждения были следующими, Java поддерживают все меньше клиентов, кроме того, использование апплетов удорожает разработку, ну и последним был довод многоуважаемого miroh. Про "зверя" не понял что нужно пояснить?
2glassy
Я думаю, они и без меня справятся:)
 

JavaOS
23 Sep 2002 12:49 PM
Лично я за конкуренцию. Java-конкурент, и довольно неплохой.
Хотя я говорю с фанатской точки зрения.
 

eXOR - billgmicrosoft.com
23 Sep 2002 4:07 PM
2 Наблюдатель:
> Java поддерживают все меньше клиентов
Так, а что в качестве альтернативы?

> кроме того, использование апплетов удорожает разработку
С этим поспорить не могу.

> Про "зверя" не понял что нужно пояснить?
Что такое корпоративный веб портал. Для чего он может использоваться? Просто пример любой...

2 JavaOS:
.NET жабе пока не конкурент. Когда появится реальная поддержка разных платформ, когда появится нормальная среда для разработки, когда почистят компоненты, когда... когда перестанут стоять задом к разработчику и передом к манагеру, а встанут к разработчику хотя бы боком - тогда может быть, но пока жаба не конкурент, т.к. у нее своя ниша, в которой пока больше никого нет.
 

Наблюдатель
23 Sep 2002 9:22 PM
2eXOR
Реализация будет на основе продуктов МС. Корпоративный веб портал, это веб сервер который предоставляет посетителям актуальную корпоративную информацию, ПО, позволяет им получать доступ к специализированным сервисам и т.д. Естественно это не буквально один сервер. И это не вещь в себе, это _один_(!) из инструментов добывания денег:)
 

Наблюдатель
23 Sep 2002 9:39 PM
2eXOR
Вот нашел подходящую статью про веб порталы
http://www.cimdesign.com/index.phtml?id=55
 

Sergey
23 Sep 2002 10:57 PM
2eXOR: Сосешь помаленьку?
 

DemonZla
24 Sep 2002 9:09 AM
Хехе....
Баг нашли в машинке от микрософта, а виноват как всегда оказался SUN....
Java им видите ли не нравится...
А мне вот например VB не нравится в офисных продуктах от сами знаете кого.... и не отключишь эти падлючие макросы никак...
нафига вот мне в документах скрипты?
 

eXOR - billgmicrosoft.com
24 Sep 2002 10:16 AM
2 Sergey:
Исчезни отмороженный...
 

eXOR - billgmicrosoft.com
24 Sep 2002 10:20 AM
2 Наблюдатель:
Я просто не понял что за функциональность может быть у корпоративного веб портала, то что он нужен для зарабатывания денег - это понятно, а что нужно не для этого?
Все. Понял для чего эта штука и как она применяется. Спасибо за статью. Оказывается мы тоже такие штуки писали, просто я названия не знал ;-).
---
Ну так а что выбрали - таки на замену жабе?

 

prodigy_ - prodigy_mail.ru
24 Sep 2002 12:36 PM
Насчет вскрытия хардверного файрвола фомкой - это конечно замечательная идея. :-))) Против лома нет приема, тут я согласен...
 

eXOR - billgmicrosoft.com
24 Sep 2002 2:33 PM
Вчера промучавшись с .NET'ом 8 часов на работе, отправился домой решил написать что - нибудь простенькое на жабе... оно начало разрастаться и шириться... постепенно выкристализовалась идея, которую я зарисовал в UML, правда исходник из которого все началось пришлось выбросить... но идея осталась... и подумав еще чуточку я понял, что на самом деле не Java программистам надо платить за то что они на ней пишут, а они сами должны приплачивать заказчику, за то, что он позволяет писать на жабе... это ж просто кайф, особенно после .NET'a и его глючного C#.
 

C3Man
24 Sep 2002 10:08 PM
eXOR: ny duk eto y tebya togda malen'kij 4len...
tu mne nazovi xot' odin bug v C#? i eto pri tom 4to on bezgody nedelya ...

... a narisovav UML - mozhna i na COBOLe vajayt' ..delo zh ne v yazuke...
 

C3Man
24 Sep 2002 10:11 PM
takzhe mogy posporit' chto ya bystree napishy progy na C# chem tu na Zhabe... a pro doplachivat' programisty - et ya tozhe tak dymal... let 6-7 nazad...potom kak-to vsio izmeniloc'...
 

Наблюдатель
24 Sep 2002 11:07 PM
2eXOR
Я же сказал, что решения на базе МС - ASP и ActiveX.
 

Ron - rodionlenta.ru
25 Sep 2002 9:19 AM
Вот шедевр: "There is no inheritance for structs as there is for classes. A struct cannot inherit from another struct or class, and it cannot be the base of a class. Structs, however, inherit from the base class Object."
 

Chkaloff
25 Sep 2002 10:20 AM
2 eXOR:
>Java программистам надо платить за то что они на ней пишут, а
>они сами должны приплачивать заказчику, за то, что он позволяет
>писать на жабе... это ж просто кайф, особенно после .NET'a и
>его глючного C#.
Свежо придание, да...
Чтож вы такое написали на глючной Жабе, чего на C# нельзя написать?
 

eXOR - billgmicrosoft.com
25 Sep 2002 10:45 AM
2 Наблюдатель:
> Я же сказал, что решения на базе МС - ASP и ActiveX.
Где сказал? Делаю поиск по этой странице у тебя эти понятия только в последнем посте есть...
А по - поводу ActiveX... а... ну он безусловно поддерживается большинством клиентов ;-). Разработка ActiveX компонента несомненно гораздо менее ресурсоемкое занятие... в результате чего у вас будет хорошая экономия (тут ирония)...

2 Chkaloff:
> Чтож вы такое написали на глючной Жабе, чего на C# нельзя написать?
Читаем по буквам. Я НЕ ПИСАЛ ЧТО НЕ СМОГ НАПИСАТЬ, Я ПИСАЛ ЧТО МНЕ ЭТО БЫЛО УДОБНЕЕ. Написать я могу и на том и на другом.

2 C3Man:
Иди в сад. Локаль настраивай. А про размеры моего члена гораздо лучше известно моей девушке, впрочем если хочешь можем померяться... ставлю 150$ , что у меня больше твоего :-).

> tu mne nazovi xot' odin bug v C#
Есть такая фишка... поиск называется. Хотя бы по этому форуму.

2 Ron:
Ага... меня это тоже порадовало... а еще у Exception метод toString() за каким то хером final объявили...

 

Chkaloff
25 Sep 2002 10:56 AM
2 eXOR:
Типа своя рубашка ближе к телу? Или может конкретезируете, что на яве таки удобнее писать по вашему IMHO?
 

Qrot
25 Sep 2002 11:09 AM
Ж))
 

miroh - plasmonmail.ru
25 Sep 2002 11:29 AM
2Chkaloff
Ну вот опять детсад. IBM Sun Oracle BEA ... вкладывают в java огромные деньги и усилия.Большинство систем масштаба предприятия пишется на этой платформе. Тут выскакивает некий господин и пищит , что жаба де глючная. - без комментариев.
По поводу чего нельзя написать на C#:
1 Безопасные клиентские апплеты(программы малого размера , работающие в песочнице).
2 CMP - компоненты, содержащие данные и управляемые сервером приложений.
3 Сериализованные обьекты - когда обьект записывается вместе с кодом и данными в один файл, а потом восстанавливается в другом месте. При этом восстанавливающая программа получает и код и данные.
 

Chkaloff
25 Sep 2002 12:03 PM
2 miroh:
Хорошо, что обратили внимание по поводу "что жаба де глючная. - без комментариев". Согласен, что такие безапеляционные заявления - это все трепачество. Просто уже пол год работаю на .NET и мне не нравятся, аналогичные заявления в обратную сторону.

Разберем по пунктам?
1) Это вы об аппетах из броузера говорите. Или этот термен еще где-то применяется?
2) Почему по вашему мнению не удобно писть под MTS?
3) Про передачу кода. Что менает делать это на C#. Про сериализацию данных понятно. Я про код имею в виду. Я этой темой не занимался. Мне просто интересно.
 

Наблюдатель
25 Sep 2002 12:13 PM
2eXOR
Хм, а какие еще из существующих технологий от МС можно использовать? Есть .Net, но еще нет готового серверного софта, да и пока не выйдет пара пакетов обновления переходить будет нельзя. Найти хороших программистов, знающих как писать ActiveX и ASP, намного проще и дешевле. И скорось разработки будет выше.
 

miroh
25 Sep 2002 12:22 PM
2Chkaloff
1 Применяется - есть новая технология WebStart,живут старые апплеты(как технология),MIDP клиенты смарткарты. Везде это компактные программы работающие в среде с ограниечениями для безопасности.
2 Ни в МТС ни в net нет аналога container managed persistence компонентам. Аппсервер ывтоматически создает, сохраняет, удаляет вызывает в БД компонент с данными. В com/net о сохранении восстановлении удалении придется думать самому
3 Я создаю класс инициализирую его, потом открываю сетевое соединение и сериализую в поток данные и код(стандартными средствами) на некий сервер. Сервер принимает поток данных. Восстанавливает класс(классы) разрешает все ссылки.зависимости проверяет на безопасность кода и стартует(использует методы определенного интерфейса) класс в своей песочнице. Потом изменив данные(добавив новые) может отправить класс на другой сервер. Получается класс -странник , собирающий информацию по сети.
 

Chkaloff
25 Sep 2002 12:33 PM
2 Наблюдатель:
>Есть .Net, но еще нет готового серверного софта, да и пока не
>выйдет пара пакетов обновления переходить будет нельзя.
Это, какого такого софта нет? То, что не вышел еще Windows .NET Server? А на w2k вам западло программировать?

Для .NET Framework вышел уже SP2.
 

Chkaloff
25 Sep 2002 2:12 PM
2 Наблюдатель:
Так и не отвелили, чем же вас не устраивает w2k + Framework, для которого есть SP2?
 

miroh - plasmonmail.ru
25 Sep 2002 2:54 PM
2Наблюдатель
Ну Net framework ставится и на nt4. И прекрасно работает. А вот делать выбор в пользу ASP а не ASP.NET глупо. Развиваться сейчас будет только НЕТ. Кроме того в нете прекрасная производительность. Это если ориентироваться на Микрософт. Нужна работа на других платформах - Java.
 

Наблюдатель
25 Sep 2002 3:58 PM
2miroh и Chkaloff
Господа, покажите мне успешно реализованные проекты на .Net, честно сказать я таких в рунете не видел. Я не спорю, через какое-то время придется переходить на .Net, но на мой взгляд сейчас рано.
 

miroh
25 Sep 2002 4:09 PM
dotsite.spb.ru
видел еще какойто бизнесс сайт - не могу вспомнить
 

Наблюдатель
25 Sep 2002 4:45 PM
2miroh
Это скорее учебный сайт, такой же как ASP.Net Mania Мне интересно посмотреть на готовые решения для какого-нибудь предприятия, фирмы. На dotsite.spb.ru я не нашел ссылок на выполненные проекты.
 

C3Man
25 Sep 2002 6:39 PM
www.angrycoder.com
 

eXOR - billgmicrosoft.com
25 Sep 2002 8:14 PM
2 Наблюдатель:
> Найти хороших программистов, знающих как писать ActiveX и ASP, намного
> проще и дешевле
Мои познания в ASP/ActiveX показывают что создание аналогичного функционала с помощью этих технологий занимает больше времени... в результате чего... программисты дешевле (час стоит меньше), но временные затраты на написание больше, а как следствие для вас проект стоит больше. Да и у нас (я постоянно слежу за вакансиями и резюме), как - то получается что желающих писать на ASP очень мало, хотя очень много востребовано, а желающих делать ActiveX компоненты, так вообще раз - два и обчелся... в то же время достаточно много программистов на Java, при чем очень хорошего уровня и по ценам... ну не низким, но не выше чем на аналоги жабы...

> И скорось разработки будет выше.
Никак не могу понять откуда вы это взяли. Мой жизненный опыт показывает обратное. Хотя... PTO тут говорил про киберларьки и кибермагазины... - может это и есть основная статья экономии?

2 Наблюдатель:
> Господа, покажите мне успешно реализованные проекты на .Net
Мы уже 2 проекта сдали в эксплуатацию, третий сдаем сегодня... URL не скажу, не могу...
 

Наблюдатель
25 Sep 2002 8:46 PM
2miroh
Ждал я эту ссылку, признаюсь ждал:) Там еще одна была, помоему?:)

2eXOR
Ну сейчас ломать копья поздно, проект уже пару месяцев как в разработке:) Наверное сказался консерватизм конторы.

C3Man
Спасибо за ссылку, это из серии приведенных ниже учебных:)

2All
У меня такое мнение складывается, что при всех явных преимуществах ASP.Net, его в крупных корпоративных проектах не используют?
 

eXOR - billgmicrosoft.com
26 Sep 2002 11:26 AM
2 Наблюдатель:
Заказчик захотел, а мне лично пох на чем писать за деньгу... лишь бы платили стабильно....

> его в крупных корпоративных проектах не используют?
используют. пока еще не очень широко..
 

www - nurkhtimail.ru
17 Oct 2002 11:40 AM
Мдаа.
Подражать плохо::)
http://mp3.com/Vitaly
 

 

← август 2002 16  17  18  19  20  23  24  25  26 октябрь 2002 →
Реклама!
 

 

Место для Вашей рекламы!