Slavko's E-World

Ruby, Ruby - один багрепорт ставит под сомнение N сервисов...

2012-03-09T14:58:00.001+02:00

https://github.com/rails/rails/issues/5228

Those who don't know methods attr_accesible / protected - check that article out http://enlightsolutions.com/articles/whats-new-in-edge-scoped-mass-assignment-in-rails-3-1

Let's view at typical situation - middle level rails developer builds website for customer, w/o any special protections in model(Yeah! they don't write it! I have asked few my friends - they dont!)
Next, people use this website but if any of them has an idea that developer didnt specify "attr_accesible" - hacker can just add an http field in params, e.g. we have pursue's name edition. POST request at pursues#update

id = 333 (target's pursues id)
pursue['name'] = 'my purses name'
pursue['user_id'] = 412(hacker id)

if code is scaffolded than likely we got Pursue.find(params[:id]).update_attributes(params[:pursue]) in the controller. And that is what I worry about.

After execution that POST we got hacker owning target's pursue!

I don't mean that it is Rails problem, of course not. But let's get it real(Getting Real ok) - most of developers are middle/junior level and most of them don't write important but not very neccessary things: tests, role checks etc including topic - attr_accesible

how to avoid injections ? What should Rails framework do to force people to keep their rails websites safe? Making attr_accesible necessary field in model? What do you think guys.

This is not only bug report, because this problem is so wide spreaded. postereous, speakerdeck, scribd, github - and I only have started testing.

We need to introduce blacklist attributes. MOst of rails apps(from small to github) likely got mass-assignment bugs if they don't user attr_accessible.

I just want to attract more attention to reviewing this problem from scratch and calmly decide - what should we do with M As-ment problem.

И результат:

GitHub security incident highlights Ruby on Rails problem

http://www.h-online.com/open/news/item/GitHub-security-incident-highlights-Ruby-on-Rails-problem-1463207.html

On Sunday morning, 4 March, Egor Homakov exploited a flaw in how theRuby on Rails web framework handles mass assignments that allowed him to write a posting, delete a posting or push changes into source code on anyGitHub project. Homakov had previously created an issue regarding mass assignment security on the rails issue tracker on GitHub; this was closed by the developers saying that it was the application developers' responsibility to secure their applications. Homakov then decided to demonstrate the issue using the nearest Ruby on Rails application, GitHub.

Потепление...

2012-02-20T18:04:00.001+02:00

This is a message from the MailScanner E-Mail Virus Protection Service
----------------------------------------------------------------------
The original e-mail attachment "msg-19378-57.txt"
is on the list of unacceptable attachments for this site and has been
replaced by this warning message.

Due to limitations placed on us by the Regulation of Investigatory Powers
Act 2000, we were unable to keep a copy of the original attachment.

At Mon Feb 20 08:04:00 2012 the virus scanner said:
No programs allowed (msg-19378-57.txt)

И это за один день...

У Львові на вулиці Городоцькій – аварія на водогоні. Залізничний район без води
У Львові на вул. Героїв УПА – аварія на водогоні. Частина Львова без води

С такими идеями - "торпедировать бизнес" будет иметь другое значение :)

2012-02-16T09:54:00.001+02:00

Because of the United States' current immigration and regulatory regime, bold and creative entrepreneurs from around the world aren’t given the chance to come to Silicon Valley and develop the technologies that could be creating jobs and propelling the economy forward.
Blueseed aims to solve this problem so that Silicon Valley remains the world’s center for innovation. Our team, backed by PayPal founder Peter Thiel, is creating a high-tech visa-free entrepreneurship and technology incubator on an ocean vessel in international waters. Our facilities will be a short ferry ride away from Silicon Valley so that great ideas and talent from around the world can live, work, and play while having convenient access to the San Francisco Bay Area. We will provide a customized environment centered around smart, proven, cost-effective legal best practices, and modern living and work accommodations.
When launched, Blueseed will enable countless great ideas and talented individuals to test themselves in the hotbed of Silicon Valley. With our incubator, startups and individuals will also get a chance to establish the connections and capital necessary to move their operations onto land if they so choose.
Silicon Valley needs to bring in great talent, and all of us benefit when great people and ideas come together to drive innovation. We hope you will join us when we set sail.

Источник: http://www.blueseed.co/

Київського бієнале сучасного мистецтва <>

2012-02-09T16:40:00.001+02:00

Чим далі від школи тим цікавіше стає Українська мова....

ашанное

2012-02-05T19:06:00.001+02:00

Порадовала надпись на десктопе паренька с рабочим местом под экскалатором:
"Едешь на своем экскалаторе? и едь себе. Молча. "

Сколько стоит %s?

2012-01-21T14:14:00.001+02:00

Прайс.
$50 купить гранату Ф-1
$100 купить переделанный пистолет
$800 купить пистолет системы Токарева (ТТ)
$1 тыс. купить автомат Калашникова
$65 за право варить и продавать самогон
$1-50 тыс. стоимость заказного убийства
$1 тыс. купить фиктивный паспорт
$200 за отказ документировать факт хранения наркотиков
$2,5 тыс. избежать уголовного преследования за хранение наркотиков
$6 тыс. избежать судебных разбирательств при выращивании и хранении наркотиков
$2 тыс. избежать уголовного преследования за кражу
$15-20 тыс. избежать уголовного преследования, предусматривающего до 8 лет лишения свободы
$2100 купить цветной металл на военном полигоне
$120 откупиться от пожарников при нарушениях пожарной безопасности на предприятии
$150 перейти частнику на общую систему налогообложения
$200-500 за разрешение работать предприятию общепита при нарушении санитарного законодательства
$300 плата за отсутствие документов на продаваемый товар
$300 за начисление минимальных штрафов без налоговой проверки
$100 избежать наказания при нарушении правил торговли
$9 тыс. избежать наказания при серьезных нарушениях налогового законодательства
$500 снять арест с квартиры в исполнительной службе
$350 ежемесячная плата за беспрепятственную работу зала игровых автоматов
$300-500 принятие строительного объекта в эксплуатацию инспекцией Государственного архитектурно-строительного контроля
$1 тыс. стоимость за положительное решение райсовета о выделении 1 га земли на периферии
$6 тыс. стоимость за положительное решение властей о выделении 1 га земли под Киевом
$10 тыс. ввезти 20 нерастаможенных машин и разобрать их на запчасти для дальнейшей продажи
$3 тыс. свободно ездить на авто, которое ищет Интерпол
$750 получить нужное решение суда по гражданскому делу в провинции
$3-5 тыс. получить нужное решение районного суда по гражданскому делу в столице
$60 позитивная характеристика с места работы
10% от суммы возврата НДС таможня не проводит проверку происхождения товаров при экспорте из Украины
$4 тыс. прикрыть дело о незаконном возмещении НДС на несколько миллионов гривен
$60 тыс. за право аренды помещения в центре Киева с дальнейшей приватизацией
$800 за отказ возбуждать уголовное дело и возвращение машины со штрафплощадки при наезде на пешехода
$200 за право пользоваться электроэнергией в неограниченных объемах
$200-300 за получение инвалидности 2-3 группы на несколько лет
2% от суммы начисленной зарплаты стоимость липовой справки о доходах
$120 за липовую справку о том, что человек работает на предприятии
$10 тыс. снять арест на 20-30 тонн мясных изделий неизвестного происхождения
$100 тыс. за отчуждение земельных участков в свою пользу у НАК «Надра України»
$200 тыс. стать начальником экологической областной инспекции

* Данные получены из Государственного реестра судебных решений

Источник:
http://finance.bigmir.net/budget/9846-Skol-ko-stoit-zakazat--ubijstvo-i-otkupit-sja-ot-zakona
вторичный источник:
http://www.stroimdom.com.ua/forum/showthread.php?t=86920

$1k

2012-01-17T16:20:00.001+02:00

Львовское, задумчиво

2012-01-04T00:25:00.001+02:00

Интересно, как должно соответствовать "Положення про паркування транспортних засобів у м. Львові " с требованиями

постановления кабмина про паркование машин, особенно в пунктах 14 и 16... Нет паркомата - нет платной парковки?

Или двуногий сотрудник с надписью "паркування" может расcматриваться как "паркомат"?

Про затвердження
Правил паркування транспортних засобів

14. Відведені майданчики для платного паркування обов'язково
повинні бути обладнані паркувальними автоматами з розрахунку не
менш як один автомат на 10 місць для паркування з обох боків
уздовж проїзної частини вулиці, дороги або тротуару.
16. На спеціально обладнаних   майданчиках   для   платного
паркування обов'язково повинні бути встановлені автоматичні в'їзні та виїзні термінали.

20. Не обладнуються паркувальними автоматами та автоматичними
в'їзними та виїзними терміналами спеціально обладнані майданчики
для платного паркування у разі їх призначення виключно для
користувачів,   які   сплачують   вартість   послуг   з утримання
майданчиків для платного паркування у безготівковій формі за
договором про паркування протягом визначеного строку, але не менш
як один місяць.

21. На майданчиках для платного паркування у доступному для
ознайомлення користувачів місці розміщується інформація про:
     оператора (найменування, адреса, контактні телефони);
     вартість   послуг   з   утримання майданчиків для платного
паркування, спосіб оплати (готівковий або безготівковий). { Абзац
третій пункту 21 із змінами, внесеними згідно з Постановою КМ N 27
( 27-2011-п ) від 19.01.2011 }

http://zakon.rada.gov.ua/cgi-bin/laws/main.cgi?nreg=1342-2009-%EF&p=1324917860296728

// Inspired by _anton_

What is the difference between PM & PL?

2011-12-30T18:37:00.001+02:00

Question: What is the difference between project manager and project leader?

Answer:

A project leader will tell the team "All of you, take these axes and start cutting down these trees asap."

A project manager will climb up a tree, look around and say "Shit, we are in the wrong forest."

Анекдот про оленеводов от forbes :)

2011-12-08T08:56:00.001+02:00

http://www.forbes.com/sites/stevedenning/2011/08/11/think-your-job-is-bad-try-one-of-these/

The Ten Most Hated Jobs

1. Director of Information Technology

Information technology directors hold almost as much sway over the fate of some companies as a chief executive, but they reported the highest level of dissatisfaction with their jobs. Why? “Nepotism, cronyism, disrespect for workers.”

2. Director of Sales and Marketing

A director of sales and marketing plans reported the second-highest level of job dissatisfaction, “a lack of direction from upper management and an absence of room for growth”.

3. Product Manager

Product managers complained of restricted career growth, and boring clerical work even at this level.

4. Senior Web Developer

Senior web developers reported a high degree of unhappiness in their jobs, because employers are unable to communicate coherently, and lack an understanding of the technology.

5. Technical Specialist

A technical specialist reported that for all their expertise, they were treated with a palpable disrespect. Their input was not taken seriously by senior management.

6. Electronics Technician

Electronics technicians complain of having too little control, work schedule, lack of accomplishment, no real opportunity for growth, no motivation to work hard, no say in how things are done, and mutual hostility among peers.

7. Law Clerk

Clerkships are among the most highly sought-after positions in the legal profession and the job beefs up a resume. Yet law clerks still report high levels of dissatisfaction. The hours are long and grueling, and the clerk is subject to the whims of sometimes mercurial personalities.

8. Technical Support Analyst

Technical support analysts help people with their computer issues. This typically amounts to calmly communicating technical advice to panicked individuals, often over the phone, and then going on site only to find the client simply hadn’t turned the printer on. They may be required to travel at a moment’s notice, sometimes on holidays or weekends.

9. CNC Machinist

CNC machinists operate computer numerical control machines. For the uninitiated, this is a machine that operates a lathe or a mill. Now that the CNC operator has had most of the physical hazards of manufacturing replaced by a machine, there’s not a lot to do but push buttons and maintenance. Since it’s a specialized skill, the job offers no room for advancement.

10. Marketing Manager

Marketing managers often cited a lack of direction as the primary reason for job dissatisfaction.

//spotted by Gu

Удивительно, но в этот раз без представителей Украинского бомонда

2011-12-05T10:04:00.001+02:00

Супер-ДТП произошло в Японии. В аварию тут попали восемь Феррари, два Мерседеса, один Ламборгини и еще несколько машин попроще. Владельцы сверхдорогих машин, входящие в клуб любителей суперкаров, совершали традиционную воскресную поездку, когда один из них не справился с управлением. Его Ferrari двигалась со скоростью 140-150 км/ч, и в мокром повороте автомобиль вышел из-под контроля.

Следовавшие за ним в колонне одноклубники не смогли увернуться от скользящей поперек трассы машины, в результате суперкары образовали массовый завал

http://avtoport.ua/user_write/dtp_s_superkarami

Покращення життя триває

2011-12-02T09:06:00.001+02:00

This is a message from the MailScanner E-Mail Virus Protection Service
----------------------------------------------------------------------
The original e-mail attachment "msg-28062-102.txt"
is on the list of unacceptable attachments for this site and has been
replaced by this warning message.

Due to limitations placed on us by the Regulation of Investigatory Powers
Act 2000, we were unable to keep a copy of the original attachment.

At Thu Dec 1 23:05:59 2011 the virus scanner said:
No programs allowed (msg-28062-102.txt)

Кабінет міністрів зареєстрував у Верховній раді законопроект, який змінює порядок виплат соціальної допомоги матерям при вагітності та пологах.
.документ розроблений Міністерством соціальної політики. Крім іншого, для одержання зазначених виплат документом вводиться норма про надання довідок про склад сім'ї та доходи її членів. Зараз для отримання соціальної допомоги матерям такі документи оформляти не потрібно. До органів праці та соціального захисту достатньо надати довідки з пологового будинку, з місця роботи (для працюючих матерів); безробітним необхідно мати документ, що підтверджує реєстрацію в центрі зайнятості, а підприємцям - з Фонду соціального страхування про тимчасову втрати працездатності та про сплату страхових внесків.

У Мінсоцполітики вважають, що облік доходів є першим кроком для адресного надання соціальної допомоги.
"В Україні тільки 20% отримувачів соціальної допомоги мають її згідно зі своїм статусом. Решта людей, які отримують її формально за документами,

насправді не є малозабезпеченими", - заявив начальник прес-служби Мінсоцполітики Михайло Кухар.

"У нас навіть якщо жінка мільйонер, вона однаково отримує допомогу на дитину. У жодній країні світу такого немає.

Ми б хотіли давати матеріальну допомогу тільки тим, хто її потребує", - додав він.

закупився чувачок на діалекстрімі...

2011-11-30T19:24:00.001+02:00

http://zik.ua/ua/news/2011/11/30/321998
Правоохоронці затримали місцевого мешканця в одному з поштових відділень зв’язку «Укрпошти» у м. Ужгород, якраз тоді, коли він отримав три пакети міжнародних поштових відправлень із 10-ма електронними технічними предметами у вигляді авторучок із вмонтованими мініатюрними аудіо-та відеозаписуючими пристроями. Як пояснив правопорушник, він замовив їх через мережу Інтернет.

Експертиза підтвердила, що ці авторучки належать до спеціальних технічних засобів негласного отримання інформації.

25 листопада ц.р. слідчі Управління СБУ в Закарпатській області стосовно зловмисника порушили кримінальну справу за ч.1 ст.359 (незаконні придбання, збут або використання спеціальних технічних засобів отримання інформації) Кримінального кодексу України.

ч1 ст.359

Незаконне придбання або збут спеціальних технічних засобів
негласного отримання інформації, а також незаконне їх
використання -
караються штрафом від двохсот до тисячі неоподатковуваних
мінімумів доходів громадян або обмеженням волі на строк до
чотирьох років, або позбавленням волі на той самий строк.

Покращення вже сьогодні

2011-11-27T15:26:00.001+02:00

Феерическая как аргументация, так и автора законопроекта

Депутати хочуть полегшити життя фахівцям і фірмам, що працюють у сфері інформаційних (IT) технологій, надавши їм на п'ять років податкові канікули - днями Рада розгляне законопроект, поданий Віктором Януковичем-молодшим (ПР), Євгеном Царьковим (Компартія) і ще декількома депутатами.

Передбачено, що з 2012 по 2017 рік буде знижений до 16% податок на прибуток (зараз IT-шники платять як всі - 21%), податок на доходи фізосіб зменшать з 15% до 10%, а IT-компанії звільнять від ПДВ. "Ми консультувалися з IT-бізнесом, вони стверджують, що це дозволить їм платити співробітникам легальну зарплату (зараз вона 1000-1800 доларів, але показують набагато менше), - говорить Царьков. - Це пов'язано з особливостями професії: не завжди є завантаження замовленнями, а штат тримати потрібно, і якщо платити по-білому, фірма вилетить в трубу. В результаті змін збільшиться база оподаткування, а значить, бюджет не втратить, а навпаки, отримає більше доходів

Все новое - хорошо забытое старое

2011-11-24T09:18:00.001+02:00

Фото1 : Украина, Львов

Вартість прання та сушіння речей у мінімальній пральній машині, ємкістю на 9 кг, складає 75 грн. У машині з максимальною ємкістю в 36 кг – 175 грн.

Також ми пропонуємо окремі сервісні послуги готелям, ресторанам, барам тощо.

Наша пральня розрахована як на самообслуговування, так і на прання, сушіння речей на замовлення, що займе до години часу», - повідомив власник пральні«Бульбашки» Бенджамін Бекер.

Також у залі салону окрім пральних, прасувальних і сушарних машин буде влаштоване невеличке кафе, зручна відпочинкова зона

http://finzah.com.ua/novosti-ukraini/lvov/26650.html

Фото 2: штаты

Как правило, прачечная одна на несколько кварталов. Примерно раз в неделю американцы набивают свои корзины, специальные мешки или тележки гразной одеждой, берут порошки и отбеливатели и идут "делать лондри".
Внутри в несколько рядов стоят стиральные машины, а на боковых стенах висят сушильные аппараты.
Стиральные машины самые простейшие - с вертикальным барабаном и тремя режимами стирки: холодный, теплый, горячий. Сбоку находится приемник монет: 6 или 7 монет по 25 центов - вставляешь, задвигаешь приемник и выдвигаешь его обрытно уже без денег. Машинка начинает работать).
Цикл стирки длится 40-50 минут. За это время ты успеваешь сходить в магазн за продуктами, например, или пообедать в соседнем кафе, предварительно поставив на крышку стиральной машинки тару с liquid detergent.Кстати, абсолютно не факт, что во время вашего отсутствия какой-нибудь американец не украдет ваш мешок для вещей (как вариант - сами вещи) или не "позаимствует" немного жидкого порошка.
После того, как ты вынул постиранное белье, надо загрузить его в сушильный аппарат. Забрасывать тяжелые после стирки вещи на второй ярыс сушилок то еще удовольствие).
Тут действует принцип "25 центов - 5 минут сушки". 6 режимов на выбор - от очень горячего до холодного.

Сравниваем:

7*25с+25с сушка = $2+

75грн = ~$9, 175грн = $20+

Про канувшие в лету советские химчистки и их тарифы даже не вспоминаю :)

See the full gallery on Posterous

КВЕД 2005->2010 online translation service

2011-11-22T09:09:00.001+02:00

З 01.01.2012 запроваджується нова редакція Класифікації видів економічної діяльності (КВЕД-2010). Її гармонізовано з базовою міжнародною статистичною Класифікацією видів економічної діяльності Європейського Співтовариства та розроблено на заміну чинної версії ДК 009:2005 (КВЕД-2005). Така заміна спричиняє зміну кодів видів економічної діяльності.
У зв’язку з цим Держкомстат просить всі підприємства, установи та організації до 01.08.2011 подати органам статистики спеціальну анкету для зміни кодів

Нпр:

http://kved.ukrstat.gov.ua/cgi-bin/kv-query.exe?kv05=72.21.0

http://kved.ukrstat.gov.ua/cgi-bin/kv-query.exe?kv05=72.22.0

Ось так

2011-11-10T14:40:00.001+02:00

Скриншот снят с video hardware :)

Забавная статистика

2011-10-31T22:41:00.001+02:00

По линку - http://www.ukrstat.gov.ua/operativ/operativ2008/ct/cn_rik/icsR/iscR_u/isc_tp_rik_u.htm "индекс цен потребления на товары и услуги 2002-2010", а по картинке - рост расходов по колонке "Продукти харчування та безалкогольні напої" на примере семьи в два человека (расходы на ребенка не учитываются) в неких попугаях напоминающих гривны в период 2008-2011, характер потребляемых продуктов и их объем - +- стабилен.

Хелловинский кошмарик от Ощадбанка

2011-10-31T22:20:00.001+02:00

Someone's street view

2011-10-16T20:40:00.001+03:00

Стильно...

2011-10-14T08:44:00.001+03:00

У Львівському державному університеті внутрішніх справ викрали 140 пістолетів Макарова.
За даними джерела, окрім пістолетів Макарова зникли також 2-3 кулемети та армійське спорядження

http://zik.ua/ua/news/2011/10/13/314079

Как бобро побеждает зло :)

2011-10-13T08:32:00.001+03:00

Действие первое

http://news.zn.ua/ECONOMICS/ofis_krupneyshey_it-kompanii_inkom_obyskala_nalogovaya_-89489.html

Действие второе
http://24.ua/news/show/id/91422.htm

Очепятка по фрейду

2011-10-11T11:43:00.001+03:00

З: http://www.pravda.com.ua/news/2011/10/11/6653930/

Идеальное car audio

2011-10-08T22:08:00.001+03:00

Жалко, никто еще не производит :)

Наглядно - валовой внутренний продукт

2011-10-03T15:02:00.001+03:00