Требую индексы типа ввв.линукс.орж.рф/форум/генерал/двапятьшестьдевятьнольодин

А вот так кстати будет эксепшен: www.linux.org.ru/forum/general/99999999999999999999

Да и не только так, как угодно будет.

www.linux.org.ru/forum/general/ятвойжавадвижокшатал

По уму конечно следует в таких случаях отправлять в 404, а не эксепшн показывать.

По уму конечно следует в таких случаях отправлять в 404, а не эксепшн показывать.

Вот и я о том же. По уму перед String.valueOf (или что там вызывается) должна быть проверка по регэкспу.

на всякий случай проверил — выражения оно типа 1+2 не вычисляет.

должна быть проверка по регэкспу.

Это еще зачем? Это не по джавовски. По джавовски — это try-catch, и 404 если эксепшн.

на всякий случай проверил — выражения оно типа 1+2 не вычисляет.

Ну естественно, там же парсер стоит а не калькулятор.

я слишком ленив смотреть в исходники лора, и джаве вашей ни фига не понимаю. Просто в петоне вполне могла и такая дыра оказаться.

это круто

Но не могу не спросить. Как ты нашёл этот баг?

а это баг?

Ну вот сование ему hex-кода эксепшен не вызывает. Как ты это исключишь?

А зачем это исключать? Это что, уязвимость что ли, или как? Может, в будущем еще пригодится.

Затем что это явно не было задумано, а значит где-то может быть кусок кода, не расчитанный на такое, который сломается.

Ну hex ещё можно фичой назвать, а эксепшены, которые народ тут по треду собирает уже явно баг

ну, вообще я надеялся уязвимость типа 1+2 найти. Когда не получилось — начал варианты перебирать.

---

кстати, отсутствие запятой перед «уже» — это тоже «явный баг». Это так, на всякий пожарный.

Не могла.

Знаешь, зная идиотов, из которых состоит человечество (в том числе и себя самого), могу предположить, что вариант с eval() встречается на значительной части сайтов.

https://docs.python.org/2.7/library/functions.html#int

Люди, не знающие подобного, пользуются парсингом строки запроса, встроенным в используемый ими веб-фреймворк.

ну дядя, что ты мне в морду тыкаешь очевидным? Речь про народ, который стремится сделать максимально универсальный велосипед, в том числе и за счет использования небезопасных приемов.

Это так, на всякий пожарный

Ты слишком строг, бро.

Какому психически больному человеку может понадобиться eval строки запроса?

ну я тебе говорю, что есть у меня товарищи, которые любят все решать максимально универсальным способом