LINUX.ORG.RU
ФорумTalks

ALL YOUR (VS)CODES ARE BELONG TO US

 , , ,


1

3

Привет, ЛОР!

Занимательное чтиво попалось мне. А именно, история о том, как, оказывается, можно без проблем загрузить в магазин дополнений к VSCode троянского коня и через полчаса тебе посыпится профит. Итак:

  1. Берём популярную цветовую тему.
  2. Меняем слегка название, пару цветов, рисуем логотип, добавляем вредоносный код. В данном случае, код просто отправляет содержимое открытого файла на наш сервер.
  3. Покупаем домен с названием нашей темы, настраиваем его и т.д.
  4. Заливаем тему в магазин приложений VSCode. Домена достаточно, чтобы наша тема получила официальную зелёную галочку рядом с именем. В package.json мы при этом можем указать ссылку на любой репозитарий на гитхабе, никто это не проверяет. Поэтому указываем репозитарий без зловреда.
  5. Ждём.
  6. ???????????
  7. PROFIT!!!11

Некие чуваки вот так всё сделали и уже на следующее утро их вредоносная тема была установлена сотней с лишним аболтусов, засветилась на главной странице с дополнениями к VSCode, а им самим стал прилетать в том числе проприетарный код из всяких крупных копрораций.

Мораль истории: ну ты понел.

Ссылка для !Ъ: https://medium.com/@amitassaraf/the-story-of-extensiontotal-how-we-hacked-the-vscode-marketplace-5c6e66a0e9d7

★★★★★

Последнее исправление: hateyoufeel (всего исправлений: 3)
Ответ на: комментарий от andalevor

Ещё раз. В первую очередь мой тезис в том, что у ms отвратительная репутация и причин тому более чем достаточно.

И эти причины ты почему-то привести не можешь (в разрезе MS Windows), притягивая за уши опциональный Copilot, который сразу тебе говорит что будет использовать твой код для обучения.

Выискивать проблемы с каждым из их продуктов я не намерен.

Потому что ты повторюшка-дядя-хрюшка, которого когда-то научили кричать АААА МС ГОВНО ВПОПЕНСУСРС СИЛА. Вот с тех пор ты это и кричишь, не особо применяя при этом мозг.

Но если речь зашло о венде, то её я не поставлю на своё железо потому что не хочу чтобы мне грозили судами за отключение обновлений.

Лолшто? :DDDDDDD

cumvillain
()
Последнее исправление: cumvillain (всего исправлений: 2)
Ответ на: комментарий от cumvillain

Но если речь зашло о венде, то её я не поставлю на своё железо потому что не хочу чтобы мне грозили судами за отключение обновлений.

Лолшто? :DDDDDDD

Конкретно ему вряд ли кто-то пригрозит, но вот в США есть такая штука как DMCA, которая в том числе запрещает обход средств защиты от копирования. Если MS всунет защиту от копирования (например венды) в Windows Update, то вполне потянет на повод для иска.

Так что конкретно вот этот ЛОРовский шизофреник весьма недалёк от истины.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от hateyoufeel

Конкретно ему вряд ли кто-то пригрозит, но вот в США есть такая штука как DMCA, которая в том числе запрещает обход средств защиты от копирования. Если MS всунет защиту от копирования (например венды) в Windows Update, то вполне потянет на повод для иска.

Это все сильно зависит от позиции суда, и, насколько я знаю, прецедентов пока не было.

cumvillain
()
Последнее исправление: cumvillain (всего исправлений: 1)
Ответ на: комментарий от cumvillain

Конкретно ему вряд ли кто-то пригрозит, но вот в США есть такая штука как DMCA, которая в том числе запрещает обход средств защиты от копирования. Если MS всунет защиту от копирования (например венды) в Windows Update, то вполне потянет на повод для иска.

Это все сильно зависит от позиции суда, и, насколько я знаю, прецедентов пока не было.

Были. Apple, например, судилась с какинтошниками, тех нагнули. Это навскидку. Вообще, по DMCA практика весьма обширна за 25+ лет существования этого позора.

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от hateyoufeel

Были. Apple, например, судилась с какинтошниками, тех нагнули. Это навскидку. Вообще, по DMCA практика весьма обширна за 25+ лет существования этого позора.

Ну мы же не про Apple?

cumvillain
()
Ответ на: комментарий от cumvillain

Были. Apple, например, судилась с какинтошниками, тех нагнули. Это навскидку. Вообще, по DMCA практика весьма обширна за 25+ лет существования этого позора.

Ну мы же не про Apple?

В США прецедентное право. Если MS подадут аналогичный иск, с очень большой вероятностью его гораздо быстрее удовлетворят в их пользу, попросту сославшись на уже существующую практику.

Вообще, монополия всех этих корпоратов, начиная от MS и заканчивая сраным Facebook, основана совсем не на том, что они делают хороший продукт, а на том, что у них очень крутые юристы. Соответственно, чтобы с ними конкурировать, надо делать не крутой продукт, а надо нанять юристов круче.

И вот тут мы возвращаемся к изначальному тезису: Windows совершенно не обязательно должна быть хорошей ОС, чтобы занимать бОльшую часть рынка.

hateyoufeel ★★★★★
() автор топика
Последнее исправление: hateyoufeel (всего исправлений: 1)
Ответ на: комментарий от hateyoufeel

В США прецедентное право. Если MS подадут аналогичный иск, с очень большой вероятностью его гораздо быстрее удовлетворят в их пользу, попросту сославшись на уже существующую практику.

Но не подали же?

Вообще, монополия всех этих корпоратов, начиная от MS и заканчивая сраным Facebook, основана совсем не на том, что они делают хороший продукт, а на том, что у них очень крутые юристы. Соответственно, чтобы с ними конкурировать, надо делать не крутой продукт, а надо нанять юристов круче.

No arguments there.

cumvillain
()
Ответ на: комментарий от cumvillain

В США прецедентное право. Если MS подадут аналогичный иск, с очень большой вероятностью его гораздо быстрее удовлетворят в их пользу, попросту сославшись на уже существующую практику.

Но не подали же?

Нет, они просто рассылают DMCA Cease and Desist всем, кто выкладывает скрипты для удаления телеметрии. Но это делают в основном анонимусы, с ними судиться бесполезно.

А вот если бы кто-то официально продавал ноутбуки с выпиленным Windows Update и телеметрией, его бы нагнули в первые же дни. Поэтому никто такого не делает (кроме китайцев, но тут ты понимаешь сам).

hateyoufeel ★★★★★
() автор топика
Ответ на: комментарий от cumvillain

И эти причины ты почему-то привести не можешь (в разрезе MS Windows)

Ещё раз повторю. Я не буду анализировать зашкварность каждого продукта компании. Если зашкварилась в одном-двух, то мне уже этого достаточно чтобы с подозрением относиться ко всему, что делает эта компания. Конкретно в венде меня не устраивает кабальное пользовательское соглашение.

Потому что ты повторюшка-дядя-хрюшка, которого когда-то научили кричать АААА МС ГОВНО ВПОПЕНСУСРС СИЛА.

Примеров обосрамсов от менеджмента мелкомягких уже в этом треде накидали предостаточно. Если для тебя жрать такое ок, то приятного аппетита, но агитировать других закрывать глаза на всё не надо.

Лолшто? :DDDDDDD

Была забавная история на оф сайте мелкомягких. https://aftershock.news/sites/default/files/u26586/teasers/Clipboard02.png говна, конечно, бурлили знатно и мелкомягкие пообещали никого в суд не тащить. И я им верю, хотя могли бы. Для меня достаточно таких стрёмных лицензионных соглашений.

andalevor ★★★
()
Ответ на: комментарий от andalevor

Конкретно в венде меня не устраивает кабальное пользовательское соглашение.

Ну хоть что-то. Окей, допустим.

Примеров обосрамсов от менеджмента мелкомягких уже в этом треде накидали предостаточно. Если для тебя жрать такое ок, то приятного аппетита, но агитировать других закрывать глаза на всё не надо.

Только не тобой, лол. Тебя научат орать другое – будешь орать другое.

Была забавная история на оф сайте мелкомягких. https://aftershock.news/sites/default/files/u26586/teasers/Clipboard02.png говна, конечно, бурлили знатно и мелкомягкие пообещали никого в суд не тащить. И я им верю, хотя могли бы. Для меня достаточно таких стрёмных лицензионных соглашений.

Ну то есть речь идет о комментарии какого-то линейного хрена на зарплате, которого скорее всего после этого и уволили? Ясно-понятно.

cumvillain
()
Ответ на: комментарий от cumvillain

Только не тобой, лол. Тебя научат орать другое – будешь орать другое.

Интересное у тебя восприятие реальности. Если для тебя появление информации в поле зрения человека == «научили». То да. Будет другая информация, где мелкомягкие откроют все свои продукты, сделают их свободными и перестанут кошмарить пользователей, буду орать это другое.

Ну то есть речь идет о комментарии какого-то линейного хрена на зарплате, которого скорее всего после этого и уволили? Ясно-понятно.

Хочешь сказать, что хрен не прав? Понятно, что мс не будет судиться с обычными пользователями. Распространённая практика бороться именно с разработчиками кряков, а не с теми, кто их использует дома под подушкой. Но дубинка на всякий случай имеется и это нужно держать в голове.

andalevor ★★★
()
Ответ на: комментарий от andalevor

Интересное у тебя восприятие реальности. Если для тебя появление информации в поле зрения человека == «научили».

Дык да. Я тебя спрашивал, что такого мс натворил, ты так ничего и не смог придумал. То есть сам ты не знаешь, просто повторил за кем-то.

Понятно, что мс не будет судиться с обычными пользователями.

Ты начал с того, что мс тебя засудит. Теперь говоришь — не засудит. Определись уже.

cumvillain
()
Ответ на: комментарий от cumvillain

Дык да. Я тебя спрашивал, что такого мс натворил, ты так ничего и не смог придумал. То есть сам ты не знаешь, просто повторил за кем-то.

Что за бред ты пишешь? Чего ты хочешь? Чтобы я тебе откуда-то вытащил факап мелкософта про который никто не в курсе? Разупорись))

Ты начал с того, что мс тебя засудит.

Прокачай навык чтения. Я писал, что была забавная история и картинку приложил.

andalevor ★★★
()
Ответ на: комментарий от andalevor

Что за бред ты пишешь? Чего ты хочешь? Чтобы я тебе откуда-то вытащил факап мелкософта

Это называется «пруф».

про который никто не в курсе?

Это называется «пруфов нет».

cumvillain
()
Ответ на: комментарий от cumvillain

Это называется «пруф».

Пруфы тут уже были. Если ты не в курсе, можешь опять же погуглить если ты вдруг ещё не родился в тот период когда кучу грязного белья мс вывалили на общее обозрение. Не понимаю что ты от меня хочешь. Чтобы я бегал по интернетам и собирал тебе всю эту информацию? Унылое упражнение. Если тебе самому лень напряги чатжпт.

andalevor ★★★
()
Ответ на: комментарий от andalevor

Пруфы тут уже были.

Но не твои.

Если ты не в курсе, можешь опять же погуглить если ты вдруг ещё не родился в тот период когда кучу грязного белья мс вывалили на общее обозрение.

Да я уже понял что ты не знаешь почему не любишь MS. Тебя научили. Соболезную.

cumvillain
()
Ответ на: комментарий от cumvillain

Да я уже понял что ты не знаешь почему не любишь MS. Тебя научили. Соболезную.

Для того что бы узнать что Г это Г не обязательно пробовать его самостоятельно.

anc ★★★★★
()
Закрыто добавление комментариев для недавно зарегистрированных пользователей (со score < 50)