Хацкер

[xplin.livejournal.com]

Сегодня, зайда на одну из страниц Юзлесс ФАК увидел следующее:
Can't call method "selectall_arrayref" on an undefined value at /home/lj/cgi-bin/LJ/Pay/PromotionSlot/Journal.pm line 177, line 617. at /home/lj/cgi-bin/LJ/Pay/PromotionSlot/Journal.pm line 177 LJ::Pay::PromotionSlot::Journal::find_slots('LJ::Pay::PromotionSlot::Journal', 'HASH(0x2b76732fcde0)') called at /home/lj/cgi-bin/LJ/Pay/PromotionSlot/Journal.pm line 100 LJ::Pay::PromotionSlot::Journal::find_slot('LJ::Pay::PromotionSlot::Journal', 'slot_id', 'undef', 'class', 'journals', 'user', 'LJ::User=HASH(0x2b76733593b0)', 'type', 'entry', ...) called at /home/lj/cgi-bin/LJ/Pay/PromotionSlot.pm line 335 LJ::Pay::PromotionSlot::find_slot('LJ::Pay::PromotionSlot', 'class', 'journals', 'user', 'LJ::User=HASH(0x2b76733593b0)') called at /home/lj/cgi-bin/LJ/Widget/JournalPromo.pm line 66 LJ::Widget::JournalPromo::get_page_params('LJ::Widget::JournalPromo', 'ret_opts', 'HASH(0x2b7673224730)', 'journal', 'LJ::User=HASH(0x2b76733593b0)', 'remote', 'undef') called at /home/lj/cgi-bin/LJ/Widget/JournalPromo.pm line 44 LJ::Widget::JournalPromo::render_body('LJ::Widget::JournalPromo', 'remote', 'undef', 'journal', 'LJ::User=HASH(0x2b76733593b0)', 'ret_opts', 'HASH(0x2b7673224730)') called at /home/lj/cgi-bin/LJ/Widget.pm line 136 eval {...} called at /home/lj/cgi-bin/LJ/Widget.pm line 109 LJ::Widget::render('LJ::Widget::JournalPromo', 'remote', 'undef', 'journal', 'LJ::User=HASH(0x2b76733593b0)') called at /home/lj/cgi-bin/LJ/Controller/Entry.pm line 693 LJ::Controller::Entry::process('LJ::Controller::Entry', 'ARRAY(0x2b767334bff0)') called at /home/lj/cgi-bin/Apache/LiveJournal.pm line 490 eval {...} called at /home/lj/cgi-bin/Apache/LiveJournal.pm line 488 Apache::LiveJournal::__ANON__('Apache2::RequestRec=SCALAR(0x2b7673220910)') called at -e line 0 eval {...} called

Что полезного смогут извлечь "хакеры" из приведённого текста? Мои пароли? Как поломать Интернет? Особо интересует HASH

Comments

[drf-ckoff.livejournal.com]

ничего, кроме того, что жж написан на перле и того, где на диске располагаются его cgi'ники.
HASH - это структура данных (https://ru.wikipedia.org/wiki/%D0%A5%D0%B5%D1%88-%D1%82%D0%B0%D0%B1%D0%BB%D0%B8%D1%86%D0%B0).

[altblitz.livejournal.com]

хэш - это не структура данных, а генерация цифровой подписи из данных.
из 100 мегабайт, и из 100 байт, будет сгенерирован хэш одной и той же длины.

изучайте OpenSSL по исходникам, а не педовикиям.

[drf-ckoff.livejournal.com]

а SCALAR и ARRAY - это вообще ужасно страшные криптоалгоритмы!

[fox-12.livejournal.com]

В данном случае таки товарищ прав. Это таки ссылка на структуру данных типа хеш в перле.
Посмотрите хотя бы на вид самих "хешей" - разница между числами невелика. Это указатели на области памяти, в которых размещены структуры данных:
HASH(0x2b76733593b0)
HASH(0x2b7673224730)
ARRAY(0x2b767334bff0)
SCALAR(0x2b7673220910)
К SSL в данном случае они не имеют никакого отношения.

[jerom.livejournal.com]

Ты не сказал, что blessнутый хэш в perl - это объект.

[drf-ckoff.livejournal.com]

я перла уже лет 10 не видел и не помню ничего, практически =)

[altblitz.livejournal.com]

ничего не увидят, кроме директории /home/lj/cgi-bin/lj/
а хэш юзера, то скорее всего сгенерирован на одну сессию браузера с сайтом.
отключили браузер - нет больше хэша и авторизации.

[fox-12.livejournal.com]

Хеш - структура данных в перле. В данном случае - это просто указатель, где эта структура в данный момент в памяти лежит.
Хакеры узнают структуру папок, используемые перловые модули, путь до них, размещение данных в памяти.
Помогут ли эти данные для дальнейшего взлома - зависит от квалификации хакера.
Явно ни пользовательские данные, ни их хеши, - тут не указаны.

[altblitz.livejournal.com]

Явно ни пользовательские данные, ни их хеши, - тут не указаны.
QED, quod erat demonstrandum - что и требовалось доказать, и успокоить топик стартершу ))

и хэши в перл, имею в себе иное значение, нежели хэши md, sha, не так ли?
теперь ясно.

[fox-12.livejournal.com]

Совершенно верно :)

[jerom.livejournal.com]

Большая часть исходников ЖЖ открыта. Если хочется узнать модули и структуру папок, можно просто почитать pm.

[fox-12.livejournal.com]

Данный конкретный случай рассматривается с позиций точки зрения злоумышленника, исследующего по тексту ошибки потенциальные уязвимости на данном конкретном сервере.
Важность предварительного изучения исходников движка ЖЖ для поиска и эксплуатации уязвимостей никто сомнению не подвергал.