برچسب: برنامه نویسی

ترجمه است ولی منبعش نمی دونم کجا بوده

چند سالی است که نمی دونم چرا هر بار آخر سال فکر می کنم باید یک نظرسنجی گسترده درست کنم تا از برنامه نویس ها در مورد خیلی چیزها سوال کنیم، ولی اینکار رو نمی کنم و بعد می گم «سال بعد». اما امسال بالاخره دست به عمل زدم و با همکاری و نظر یکسری از دوستان، یک پرسشنامه طراحی کردیم. ایده این پرسشنامه اینه که در مورد زندگی و شرایط کار برنامه نویس ها، توسعه دهنده ها و مدیر سیستم ها سوال بپرسه و بعد نتایج رو به شکل آزاد به همه بده. سوال ها در بخش های مختلفی (دموگرافیک، زندگی و کار) هستن. بزرگترین فایده اش این دو تا است:

1. با هم آشنا می شیم و درکی پیدا می کنیم از شرایط همدیگه. چجوری کار می کنیم، با چی کار می کنیم و چه زبون ها و تکنولوژی هایی چقدر شایع هستن
2. از اون مهمتر می فهمیم که با چقدر سابقه در کجا تقریبا چقدر باید حقوق بگیریم. این اصلی ترین انگیزه است تا درک خوبی از بازار کارمون پیدا کنیم.

در نتیجه اگر در نظر سنجی گسترده وضعیت برنامه نویس ها و سیستم ادمین های ایران شرکت کنین و جواب ها رو دقیق بدین و مهمتر از اون لینک و مفهومش رو جاهای دیگه پخش کنین عالی می شه. هر چقدر پر شدنش گسترده تر باشه باعث می شه بایاس به سمت خواننده های من، لینوکسی ها، اوپن سورسی ها، … کمتر بشه و جواب ها دقیق تر باشه و به همه ما توی شرایط کاری آینده کمک کنه. خیلی مسخره است که ما اکثرا نمی دونیم که مثلا یک برنامه نویس پی اچ پی حرفه ای با حدود ۱۰ سال سابقه کار در یک شرکت ۱۰۰ نفره تقریبا چقدر باید حقوق بگیره. برای حل این مشکل و خبردار شدن از وضعیت همدیگه نظر سنجی گسترده وضعیت برنامه نویس ها و سیستم ادمین های ایران منتظر شماست: جواب بدین و پخش کنین تا همه از نتایجش استفاده کنیم.

البته برای پخش کردن می تونین فقط از لینک نظر سنجی استفاده کنین ولی توضیح اینکه چرا مهمه رو خوبه همراهش بنویسین: http://j.mp/itstatus1394

به روز رسانی: نتایج نهایی نظر سنجی بزرگ از برنامه نویسان و مدیر سیستم های ایران ۱۳۹۴ اینجا منتشر شدن

یک باگ جدید و جدی توی glibc دیده شده. یک باگ خیلی جدی. کتابخونه سی گنو یا همون glibc یکی از بخش‌های بسیار مهم اکثر توزیع های لینوکس است. حالا یک باگ توی این کتابخونه هزاران برنامه لینوکس رو تهدید می کنه. این باگ نسبتا شبیه باگ سال گذشته GHOST است (CVE-2015-0235) که اجازه می داد از راه دور کدهایی روی ماشین اجرا بشه.

باگ فعلی (CVE-2015-7547) یک باگ سرریز استک (stack based buffer overflow)‌ است در بخش کلاینت دی ان اس glibc که وظیفه تبدیل کردن آدرس های قابل فهم برای آدم ها (مثلا jadi.net) به آی پی رو داره.

کلیت ماجرا

این مشکل وقتی دیده می شه که یک دستگاه دارای باگ سعی کنه به یک DNS سرور بدطینت ریکوئست بزنه و نتایج رو توی حافظه بذاره (تابع getaddrinfo). چیزی که دی ان اس سرور بدخواه بدجنس بر می گردونه ممکنه حاوی کدی باشه که کار مخربی می کنه و نشستنش توی حافظه – در سطرح تئوری – باعث اجراش خواهد شد. البته در عمل این اتفاق تقریبا غیر ممکنه چون انواع مکانیزمهای امنیتی جلوی اونو خواهند گرفت (شامل ASLR). حالت بعدی اینه که حمله کننده به شکل مرد میانی درخواست های دی ان اس رو خودش بر می گردونه و بینشون کدهای نامناسب درج می کنه.

چه کسانی مبتلا هستن

تقریبا هر سیستم لینوکس جدید با این مشکل مواجه خواهد بود. این باگ از جی لیب سی ۲.۹ به بعد ظاهر شده و در نتیجه هر برنامه ای که با استفاده از توابع glibc به شبکه دسترسی پیدا می کنه ریسک داره. نمونه ها؟ اس اس اچ،‌ سودو و کرل. لیست کامل می خواین؟ تقریبا غیر ممکنه. بهتره تصور کنین اکثر برنامه های مرتبط با شبکه و حتی زبون های پایتون، پی اچ پی، روبی، … و البته برنامه‌های بیت کوین.

مشکل دقیقا کجاست

محققین گوگل می گن که بخشی از glibc که به دی ان اس ریکوئست می زنه مشکل داره. این مساله به جی لیب سی تذکر داده شده و اصلاح شده و همه باید آپدیت کنیم… حداقل در طول هفته آینده دائما آپدیت کنیم. مهندسین گوگل می گن:

جی لیب سی ۲۰۴۸ بایت برای استک الوک می کنه تا جواب دی ان اس از _nss_dns_gethostbyname4_r رو توش ذخیره کنه. جلوتر در تابع send_dg و send_vc اگر جواب بزرگتر از ۲۰۴۸ بایت باشه، بافر جدیدی درست می شه و پوینترها آپدیت می‌شن. در شرایط خاص ناهماهنگی بین بافر استک و تخصیص دهی جدید هیپ پیش می یاد و نتیجه این می شه که بافر استک برای ذخیره کردن جواب دی ان اس استفاده می شه، حتی در مواقعی که جواب بزرگتر از اندازه این بافر باشه. این مساله موجب اورفلوی بافر استک می شه.

(فارسی گفتن اینها عجیب می شه. متن اصلی اینجاست).

اثبات شده

سه شنبه مهندس گوگل فرمین سرنا یک اکسپلویت برای اثبات این مساله منتشر کرد. با استفاده از این اثبات مفهوم می شه چک کرد که آیا برنامه های ما در مقابل این مشکل صدمه پذیر هستن یا نه (هستن!).

اصلاح

مهندسین گوگل با همراهی ردهت یک پچ برای حل مشکل ارائه کردن. اما مساله اینه که حالا تک تک توزیع‌ها باید glibc خودشون رو آپدیت کنن و هر برنامه ای که استاتیک این کتابخونه رو لینک کرده، باید خودش رو آپدیت کنه. مثل همیشه در دنیای لینوکس وقتی مشکلات دیده بشن سریعا حل می شن و من و شما فقط کافیه آپدیت کنیم. پس در روزهای آینده حواستون به آپدیت ها باشه منتظر آپدیت های زیاد باشین. همچنین اگر از سروری محافظت می کنین که به اینترنت وصل نیست، دردسرهای نسبتا زیادی منتظر شما خواهد بود چون آپدیت کردن این سیستم‌ها معمولا دردسره و در مواردی شاید نتونین به سادگی فقط glibc رو آپدیت کنین.

آیا من و شما در خطریم؟

در حالت معقول نه. کامپیوترهای ما به دی ان اس سرورهای بدجنس وصل نمی شن و اگر از لینوکس هایی به روز استفاده کنیم مشکل همین الان هم تا حدی برطرف شده و فقط در روزهای آینده باید آپدیت‌ها رو جدی بگیریم همچنین اندرویدها به جای glibc از بیونیک استفاده می کنن که این مشکل رو نداره و اکثر لینوکس های درونکار( امبدد؟ )‌ هم مشکلی نداره چون اکثرا uclibc هستن.

نکته باقیمانده

به سادگی در کامنت ها مطرح کنین و سعی می کنم در سطح سواد و وقت جواب بدم و بقیه رو هم می سپریم به دوستان باسوادتر در کامنت ها (:

چه از قبل رجکس بلد بوده باشین، چه توی ویدئوی آموزش رجکس باهاش آشنا شده باشین، چلنج‌های این سایت می‌تونه چند دقیقه تا چند ساعت سرگرمتون کنه. احتیاط کنین که اعتیاد آور هم هست: جدول رجکس‌های متقاطع

فرض ۰ – آی ای شش و ویندوز ایکس پی زنده هستن
فرض ۱ – برنامه نویسی هست که فقط با یک تکنولوژی منسوخ روی آی ای ۶ کار کرده
فرض ۲ – مدیر پروژه ای هست که اصولا نمی دونه چطوری باید تکنولوژی انتخاب کنه
فرض ۳ – مدیر فنی ای هست که درکی از جهت حرکت دنیای وب نداره
فرض ۴ – مسوول آموزشی هست که نمی‌دونه باید چه نرم افزاری بخره
فرض ۵ – مشاورهای دانشگاه اصولا درکی از اینترنت، برنامه نویسی و تکنولوژی‌هاش ندارن یا دانشگاه اصولا مشاور فنی نداره
فرض ۶ – کل ایده‌ها و قوانین دسترسی برابر و آزاد به سیستم آموزشی بی اهمیت هستن
فرض ۷ – دانشجوها و نظرشون هیچ اهمیتی ندارن
فرض ۸ – متخصصین و نظرشون اهمیت خاصی نداره

اگر فرضیات بالا صحیح باشن به نظرتون به چی می رسیم؟ به سیستم جامع دانشگاهی گلستان که البته در مورد دانشگاه من یعنی خواجه نصیر، اس اس ال سرتیفیک ارور هم می ده حتی (: