nobigwords.ntxt.net » www

polityka bezpieczeństwa home.pl

Piotr Tomaszewski — Mon, 08 Feb 2010 21:29:44 +0000

Robiąc “w internecie” spotyka się człowiek z hostingiem. No karma taka, nie da się bez hostingu żyć i kropka. Przeżyłem więc już doświadczenia z DMKProject (było fajne, ale wyniosło się do USA i ma długi czas pinga), z nazwa.pl (jedno konto FTP), kei.pl (straszny panel administracyjny), wreszcie home.pl (nie można mieć dwóch osobnych skrzynek pocztowych o tej samej nazwie – np. biuro@ – w obrębie jednego konta dla dwóch domen). Każda z tych ofert ma swoje wady i zalety. Zalety są w sumie podobne – każda z nich zwykle szybko, fachowo i pozytywnie reagowała na moje pytania i prośby. Jednak ostatnio home.pl trochę mnie zdziwiło.

Dla jednej ze stron potrzebowaliśmy połączenia bezpośredniego dla MySQL, na porcie 3306, do synchronizacji bazy z lokalną w biurze. Działało. Aż pewnego dnia admin home.pl stwierdził duży ruch na tym porcie z naszego adresu. Zablokował więc ten ruch “ze względów bezpieczeństwa”. Co ciekawe, nadal można się połączyć z dowolnego innego IP. Z mojego punktu widzenia zablokowany został adres najbardziej uprawniony do generowania ruchu, a pozostawiono otwarte połączenie z resztą świata, pełną złoczyńców i pedofilów… ;-) Teraz więc synchronizacja odbywa się z laptopa przez neostradę, a sens operacji pozostaje dla mnie tajemnicą.

porównywanie baz MySQL w PHP

Piotr Tomaszewski — Sat, 26 Sep 2009 18:26:32 +0000

Często przy pracy nad aplikacjami z bazą SQL zdarza się sytuacja, kiedy baza ‘deweloperska’ uległa nieudokumentowanym dokładnie zmianom, i wreszcie trzeba je wdrożyć w wersji produkcyjnej. Oczywiście lepiej byłoby prowadzić dziennik zmian :) Kiedy jednak już jest za późno, przydaje się poniższy skrypt do porównywania baz. Wychwytuje on różnice na poziomie definicji tabel i pól, proponując stosowne polecenia typu CREATE, ALTER, itp. Propozycje te nie są doskonałe, trzeba zwracać uwagę zwłaszcza na klucze i wartości domyślne, ale na pewno ułatwia synchronizację.

Skrypt napisany na podstawie MySQL Database Diff Script, ale znacznie rozszerzony i zmodyfikowany. Enjoy! :)

<html>
<head>
<style>
.deleted{
	text-decoration:line-through;
	color:red;
}
.added{
	color:green;
}
style>
head>
<body>
< ?php
/**
 * original by Adam Young http://adamyoung.net/
 * modified and extended 2009-09-26 by ptrk http://nobigwords.ntxt.net/ 
 * 
 */
$src_host = '';
$src_user = 'root';
$src_pass = '';
$src_db = 'baza32_superskl_emisja';
 
$dst_host = '';
$dst_user = 'root';
$dst_pass = '';
$dst_db = 'baza32_superskl';
 
$src = mysql_connect($src_host, $src_user, $src_pass);
if (!mysql_select_db($src_db, $src)) die("Could not find/USE source database: {$src_db}\n");
 
$src_tables = getTables($src);
 
 
$dst = mysql_connect($dst_host, $dst_user, $dst_pass);
if (!mysql_select_db($dst_db, $dst)) die("Could not find/USE destination database: {$dst_db}\n");
 
$dst_tables = getTables($dst);
 
 
foreach ($src_tables as $t => $table) {
	$i = 0;
	$found = false;
 
	if(isset($dst_tables[$t])){
		$dst_table = $dst_tables[$t];
		if ($dst_table->name == $table->name) {
			$diff = compareDefinitions($table->definition, $dst_table->definition);
			if (count($diff) == 0){
				echo "{$table->name}
";
			}else{
				echo "{$table->name} is different
";
				$alters = '';
				foreach($diff as $col => $info){
					echo "$col : " . $info['info'] . "
";
					$alters .= "alter table `" . $dst_table->name . "` " . $info['alter'] . ";\n";
				}
				echo '
';
				echo ">pre<" . $alters . " >/pre<";
			}
			unset($dst_tables[$i]);
			$found = true;
		}
	}else{
		echo "{$table->name} 
";
		echo ">pre<{$table->create}>/pre<
";
	}
}
 
function getTables($link) {
	$rsrc = mysql_query('SHOW TABLES', $link);
	$tables = array();
	while ($row = mysql_fetch_row($rsrc)) {
		$table = new table(
			$row[0],
			getTableDef($link, $row[0]),
			getTableCreate($link, $row[0])
		);
		$tables[$row[0]] = $table;
	}
	return $tables;
}
 
function getTableDef($link, $table) {
	$rsrc = mysql_query("DESCRIBE `{$table}`");
	$result = array();
	while($row = mysql_fetch_row($rsrc)){
		list($name, $type, $null, $key, $default, $extra) = $row;
		$result[$name] = array($type, $null, $key, $default, $extra);
	}
	return $result;
}
 
function getTableCreate($link, $table) {
	$rsrc = mysql_query("SHOW CREATE TABLE `{$table}`");
	$row = mysql_fetch_row($rsrc);
	$result = $row[1];
	return $result;
}
 
class table {
	var $name;
	var $definition;
	var $create;
	function table($name, $def, $create) {
		$this->name = $name;
		$this->definition = $def;
		$this->create = $create;
	}
}
 
function compareDefinitions($defA, $defB){
	$result = array();
	foreach($defA as $col => $colDefA){
		if(!isset($defB[$col])){
			$result[$col]['info'] = "deleted ";
			$result[$col]['alter'] = "drop column `" . $col . "`";
		}else{
			if(implode(',',$colDefA) != implode(',',$defB[$col])){
 
				list($typeA, $nullA, $keyA, $defaultA, $extraA) = $colDefA;
				list($typeB, $nullB, $keyB, $defaultB, $extraB) = $defB[$col];
				$info = '';
				if($typeA != $typeB) $info .= "different type $typeA/$typeB, ";
				if($nullA != $nullB) $info .= "null $nullA/$nullB, ";
				if($keyA != $keyB) $info .= "key: $keyA/$keyB, ";
				if($defaultA != $defaultB) $info .= "default: $defaultA/$defaultB, ";
				if($extraA != $extraB) $info .= "extra: $extraA/$extraB, ";
				$result[$col]['info'] = trim($info,', ');
				$result[$col]['alter'] =	"change `$col` `$col` $typeA ";
				$result[$col]['alter'] .=	($defaultA == '') ? '' : "default '$defaultA' ";
				$result[$col]['alter'] .=	($nullA == 'NO') ? 'NOT NULL ' : '';
				$result[$col]['alter'] .=	"$extraA ";
 
			}
			unset($defB[$col]);
		}
	}
	foreach($defB as $colB => $colDefB){
		list($typeB, $nullB, $keyB, $defaultB, $extraB) = $colDefB;
		$result[$colB]['info'] = "added";
		$result[$colB]['alter'] = "add `$colB` $typeB ";
 
	}
	return $result;
}
 
 
function errors($link){
	return mysql_errno($link) . ": " . mysql_error($link) . "\n";
}
?>
body>
html>

puścić coś w tle

Piotr Tomaszewski — Thu, 27 Aug 2009 10:26:26 +0000

Chcę móc uruchomić proces w tle za pomocą przeglądarki. Docelowo wszystko będzie działać na linkuksie, ale do testów przydałoby się to mieć u siebie. W linkuksie wiem.

costam &

uruchamia proces w tle, potem fajnie mogę sobie zarządzać

jobs

. Ale ja chcę w Windows. Windows Vista, żeby nie było niedomówień. Wywołanie komendy przez exec działa, ale czeka na zakończenie, a nie o to chodzi. Proces ma działać długo, a ja tylko chcę monitorować jego stan, a nie zamulać Firefoksa.

exec("start /b c:/sciezka_do_php/php.exe C:/sciezka_do_skryptu_procesu/bgproces.php > test.txt");

Próbowałem też uruchomić jakiś batch (costam.bat), który z kolei miałby uruchomić skrypt PHP, ale to też nie zadziałało – cały czas przeglądarka czekała na zakończenie całego procesu. Rozwiązanie jest takie, że w PHP na Windows trzeba użyć klasy COM, czyli windowsowych mechanizmów OLE (Object Linking and Embedding). Wygląda to tak:

< ?php
/*
 * skrypt do uruchomienia w tle skryptTla.php
 */
$fname = 'c:/log.html'; 
for($i=0; $i&lt;10; $i++){
	sleep(1);
	file_put_contents($fname, date('H:i:s') . '
', FILE_APPEND);
}
file_put_contents($fname, '
', FILE_APPEND);
?>

< ?php
/**
 * skrypt widziany przez przeglądarkę
 */
echo "uruchamiam " . date('H:i:s ');
 
  if(isset($_SERVER['PWD']))
  {
  	// $cmd = '....';
    $nullResult = "php $cmd > /dev/null &";
  }else{
    $cmd = 'sciezka_do_php/php.exe sciezkaSkryptuDoUruchomieniaWTle/skryptTla.php';
    $ws = new COM("WScript.Shell");
    $oExec = $ws->Run($cmd, 0, false);
  }
 
echo " koniec " . date('H:i:s ');
echo " OK ";
 
 
?>

czym są media społecznościowe?

Piotr Tomaszewski — Sun, 02 Aug 2009 19:36:56 +0000

Ciekawe, jak powoli uczą się firmy. Widocznie inni ludzie je tworzą, niż ci którzy zapełniają nasze-klasy, twittery, blipy, facebooki, goldenliny, grona, randki, sympatie, be2, linkediny, fotki, flickery, flakery, youtuby… itd. Dawno już, kiedy listy dyskusyjne (newsgroups), zaczęły służyć nieskrępowanej, globalnej komunikacji, zauważono nadchodzącą zmianę dotyczącą relacji B2C, czyli firmy i jej klienta. W roku 1999 pojawił się Manifest Cluetrain (Jest też polska książka — warto — np. w merlinie).

Ostatnio w tym samym chórze znalazłem (dzięki Irenie) głos mniej delikatny, choć zawodowy i czysty: Marta Kagan. Nie do końca rozumiem tylko ten wkurzony ton. Ale jeśli przejmować się buractwem i niekomunikatywnością marketingową wielu firm, no to OK ;)

Ładnie zrobione, z dobrymi fotkami, typografią no i zdaje się dla tzw. społecznego dobra. Szacun.

Cytaty

Piotr Tomaszewski — Fri, 26 Jun 2009 10:11:59 +0000

Czasem trafiam na fajne teksty, najczęściej niemądre, postanowiłem je tu zbierać. Gdyby ktoś miał ochotę coś dorzucić — zapraszam :)

Kajakiem spływ potemsportowe
Wytrzyj kurze! ornitologiczne
Piwo Strzelec jest bardzo dobre z billboardów piwa Strzelec
Świerzbionka własne
Boeuf Ostrogonow własne
Kotlet De Voilaj z dworca PKP we Wrocławiu
Insert monet z boksów na bagaż na dworcu PKP we Wrocławiu
Powiększ penisa, opóźnij wytrysk Upominki za 5 groszy Kup Teraz! z Google Adwords

Nikita Chickita

Piotr Tomaszewski — Fri, 19 Jun 2009 20:29:36 +0000

A także Electric, Etnies, Les Ettes, Nixon, Rusty, Sheroll, Vans, Vestal i inne… Właśnie przechodzę szybką edukację w dziedzinie marek odzieżowych dla nastolatek, a to dzięki sklepowi chickitashop.com, który pomagam ustawić w odpowiednim miejscu internetu :) Prowadzi go moja Kuzynka, więc pewni politycy nazwaliby to układem. Ale fajnie jest zająć się zupełnie inną branżą i poobserwować — całkiem imponujący — ruch na stronie.

W tej chwili sklep bazuje na opensourcowym oscGold, czyli polskiej adaptacji osCommerce. Jednak pomimo że to ogromny projekt i faktycznie pozwala dość prostymi środkami uruchomić i prowadzić sprzedaż, to czytelność kodu i jego styl przypominają mi własne produkty… sprzed pięciu lat. Domyślam się, że refaktoryzacja tak dużego przedsięwzięcia to niełatwa rzecz i pewnie dlatego pełno tu stałych i zmiennych globalnych, dziesiątek ‘includowanych’ plików, mieszania layoutu i logiki. Kusi, żeby zrobić wszystko od nowa…

Domy w Sosnowej Dolinie mają nową stronę

Piotr Tomaszewski — Thu, 21 May 2009 09:53:23 +0000

Po dłuuugim okresie pracy, udało się uruchomić stronę podwarszawskiego osiedla domów firmy AIG/Lincoln Polska. To już nasza czwarta internetowa realizacja dla tej firmy. Strona to kontynuacja residential.pl, witryny zbierającej prezentacje mieszkaniowej działalności dewelopera O ile residential.pl jest właściwie czysto flashową prezentacją odnośników do konkretnych treści na innych stronach, to sosnowadolina.pl już te treści zawiera. Kłopot polegał na sensownym utrzymaniu animowanego nagłówka z menu i obrazkami, czyli spójności “user experience” ;) z jednoczesnym przechodzeniem między stronami. Najeżdżanie kursorem na fotkę powoduje rozuwanie harmonijki zdjęć, klikanie na opcje menu i obrazki czasem przenosi na inną stronę, czasem wyświetla podmenu. Konsultując rozwiązania z Klientem, w końcu jakoś to opanowaliśmy. Zdecydowaliśmy się zaakceptować jedną z wad Ajaksa, związaną z niedziałającym przyciskiem wstecz. Wiem, że są sposoby i na to, ale moim zdaniem zbyt skomplikowane jak na tę prostą strukturę. Za to działają deep-linki, czyli bezpośrednie odnośniki do treści.

Aha, niniejszym bardzo dziękujemy Katarzynie, obu Magdalenom i Adminowi za miłą współpracę, zaangażowanie i… pochwały. Panu Tomaszowi z firmy hostingowej Onyx również, za szybkie działanie i fachową pomoc.

tożsamość incognito i pod przykryciem

Piotr Tomaszewski — Sat, 16 May 2009 11:39:59 +0000

Większość z nas, surfując tu i tam chętnie surfuje “pod przykryciem”, jak to ostatnio przetłumaczyła “undercover” gazeta.pl (a może PAP?). Wolelibyśmy nie ujawniać swoich tzw. danych osobowych, kiedy nie jest to konieczne. Już nawet Google’a zbieranie statystycznych danych jest oprotestowywane. Od początku swej popularności internet dawał, złudne zresztą, poczucie nierozpoznawalności. Przez strony WWW przewijały się, jak przez dworce kolejowe, masy czytelników. Pojawiła się jednak, wraz z falą tzw. Web 2.0, zmiana. Od blogów, przez fora po porównywarki cenowe, niemal wszędzie można dopisać coś od siebie. To oczywiście dobra zmiana, uwalniająca komunikację między ludźmi na niespotykaną dotąd skalę. Dawno już cieszyli się z tej zmiany np. autorzy manifestu cluetrain. Razem z tą skalą uwalniane są jednak rozmaite komunikacyjne potwory. Mnie zajął szczególnie jeden — anonimowość.

Zbiegło się ostatnio parę spraw, które mają ją za wspólną genezę. Czytając o aferze Kataryna-Czuma, o masowo fałszowanych opiniach, drobnych fałszerstwach, wreszcie nie czytając portali typu dupelek.pl, czy plutek.pl, cały czas mam wrażenie, że ta anonimowość niedobra jest. Gdy sam piszę tutaj, to każdy wykazując odrobinę zaangażowania jest w stanie sprawdzić, ktom zacz. Kiedy znowu postanowię wylać kubeł pomyj na ministra, żonę piłkarza czy nowy odtwarzacz mp3, to mogę użyć dowolnie wybranego nicka i nikt bez zgody sądu i/lub administratora nie pozna mojej tożsamości. A opinia w świat pójdzie. Gdyby była to moja prywatna opinia, pół biedy. Problem zaczyna się wówczas, gdy ktoś sypnie jakimś honorarium po 10 gr za autorski wpis. Autorsko zarabiając na życie, masy pracujące tworzą dowolnie fałszywy, zamówiony przez pracodawcę obraz dowolnego zjawiska. Konsekwencje są wiadome, fantastyczna zdolność Sieci do wyławiania potrzebnych informacji gnije i śmierdzi zdechłą rybą. Ponieważ jestem lekkomyślnym zwolennikiem przechodzenia do demokracji elektronicznej, trochę mnie ta słabość wirtualnego świata niepokoi.

Zastanawiam się, co można z tym zrobić. Wiadomo — administracyjnie nie da się nagle zabronić publikacji anonimowych treści, zresztą nie o to chodzi. Zależałoby mi na tym, żeby autor dowolnego wpisu mógł ujawnić swoją tożsamość. Takie posty, wpisy, komentarze byłyby wielokrotnie bardziej wiarygodne. Sfera anonimowa pozostałaby miejscem dla amatorów pomyj i wytrzymałych. Pierwsza rzecz, to ogólny standard typu OpenID, Windows LiveID czyli jakby paszport dostępny na każdej stronie w necie. Są też inne projekty, jak Liberty Alliance Project. Na szczęście nieźle to działa we wszelkich portalach społecznościowych wymuszających jawność osoby, jak nasz Goldenline czy Allegro. Mam tylko nadzieję, że biznesplany właścicieli innych opiniotwórczych stron uwzględnią “potrzebę konsumenta” i wypromują obywatelską bądź co bądź, postawę polegającą na podpisywaniu się własnym imieniem i nazwiskiem.

Czego wszystkim życzę,

Piotr Tomaszewski

nowa strona centrum logistycznego Żerań Park 1

Piotr Tomaszewski — Tue, 05 May 2009 18:05:07 +0000

No i kolejny projekt popełniony. Magazyny i biura na wynajem w centrum Warszawy, na zlecenie Zarządcy, czyli AIG/Lincoln, dla firmy Alaris 2 sp. z o.o. Krótki, prosty projekt, nieco odświeżający poprzednią wersję z 2007 roku. W założeniu miała być tylko zmiana treści, ale ponieważ nie było dostępu do źródeł i praw autorskich, skończyło się na przerobieniu całości. Użyliśmy lekkiego szkieletu Flash, z doczytywanie wybranych treści z SWF (layout) i XML (treść). Inwestycja nie ma własnego systemu identyfikacji, co paradoksalnie utrudnia projektowanie, bo niby można wszystko… Dowolne kolory, dowolne czcionki. Jeden ze wstępnych pomysłów nawiązywał do poprzedniej wersji (B, ciemnoniebieski), drugi miał otwartą kompozycję i logotyp oparty na czcionce Garamond. Wspólne elementy to font Agency FB w tytułach i motyw magazynu — stosu paczek stworzony w świetnym Google Sketchup. Klient wybrał projekt A.

Strona korzysta z map Google, pokazując centrum logistyczne w rzeczywistym otoczeniu Żerania, do wyboru — na mapie lub zdjęciu satelitarnym. Dzięki dobremu pokryciu Warszawy (co akurat nie dziwi) efekt jest czytelny i atrakcyjny.

Oprócz samej strony powstała też ulotka A4 w PDF do pobrania, o tej samej treści.

iframe hack, czyli włamanie na FTP

Piotr Tomaszewski — Mon, 04 May 2009 08:45:09 +0000

Amerykańska armia testuje automatycznych żołnierzy, mając wciąż skrupuły co do bezpieczeństwa i moralności użycia takiej broni. W Internecie sztuczne wojsko działa już dawno. Trojan, po zainfekowaniu komputera, wykrada hasła do kont FTP z popularnych programów, takich jak Total Commander, czy Filezilla. Następnie wysyła je gdzieś na serwer bandycki, a stamtąd uruchamiane jest włamanie i edycja plików. Polega ona na dość prostym doklejeniu kodu do stron na FTP, który w niezauważalny dla użytkownika sposób ściąga z innej złoczynnej witryny szkodliwe oprogramowanie.

Również niniejsza strona i nasza główna — ntxt.net, zostały, jak mówią Amerykanie, skompromitowane. Piątego kwietnia we wszystkich plikach PHP i HTML o nazwach zaczynających się na ‘index’ pojawił się taki kawałek (dodałem gwiazdkę przed http):

Konkretny adres bywa różny, lista podejrzanych domen jest spora. Ten akurat podobno (bo nie sprawdzałem!) sprawdza obecność pluginu Flash luub Acrobat Readera, po czym ściąga spreparowany plik PDF albo SWF. Moim zdaniem warto mieć wyłączony domyślnie JavaScript, (w Firefoksie np. rozszerzeniem NoScript). Infekcja może spowodować że Google będzie sygnalizować zagrożenie przy wchodzeniu na stronę (jeśli ktoś to zgłosi, oczywiście). Oprócz pozbycia się robactwa z komputera, należy koniecznie zmienić hasło do FTP, unikając zapamiętywania go przez program. Total Commander w najnowszej wersji (7.5 beta) ma już ochronę haseł szyfrowaniem i hasłem głównym.

Trzeba też odnaleźć wszystkie zmiany poczynione przez bota na FTP, a to żmudne zajęcie. Odrobinę może pomóc taki skrypt w PHP, przeczesujący pliki zawierające ‘index’ w nazwie i sygnalizujący wystąpienia taga . Aby z neigo skorzystać, trzeba zapisać go np. pod nazwą znajdziframe.php w katalogu ze stroną, ustawiając wcześniej zmienną $root na odpowiednią dla swojego serwera. Potem, z przeglądarki, wywołujemy go wpisując adres: http://mojserwer/znajdziframe.php?depth=10 i czekamy na listę podejrzanych (bo nie każdy iframe jest zły!). Parametr depth określa głębokość, na jaką w podkatalogi zagłębi się sprawdzacz licząc od katalogu głównego.

< ?
// katalog główny strony
$root = '/public_html';
 
// głębokość sprawdzania w podkatalogach
$depth = empty($_GET['depth']) ? 5 : $_GET['depth'];
 
// uruchomienie
digdir($root, $depth);
 
// rekurencyjna funkcja sprawdzająca
function digdir($dir, $level){
	if($level <= 0) return false;
	$handle = opendir($dir);
		while($plik = readdir($handle)){
			$path = "$dir/$plik";
			if(substr($plik, 0, 1)!="."){
				//$data = date("Y-m-d", filemtime($path));
				//$prawa = decoct(fileperms($path));
 
				if(!is_dir($path)){
					//$rozmiar = filesize($path);
					if(preg_match('/index/', $plik)){
						$contents = file_get_contents($path);
						if(preg_match('/iframe/', $contents)) echo "znaleziono iframe w $path
";
					}
				} else {
					digdir($path, $level - 1);
				}			
			}
		}
	closedir($handle);	
}
 
?>