יצירת תיקיה בAPI

[עידו]

@אביי-ורבא
הקוד כזה: (דרך httpclient בc#)
יש את קוד הבסיס ליצירת הAPI

  upload = $"https://www.call2all.co.il/ym/api/UploadTextFile?token={numberTb.Text}:{passTb.Text}&what=ivr2:";
  update = $"https://www.call2all.co.il/ym/api/UpdateExtension?token={numberTb.Text}:{passTb.Text}&path=ivr2:";

ואז אני מוסיף את החצי השני

// תיקיית מכירות
list.Add($"{update}SaleProducts&type=&title=SaleProducts");
list.Add($"{upload}SaleProducts/sale_products_name.ini&contents={textBox1.Text.Replace("\r\n", "%0a")}");
list.Add($"{upload}SaleProducts/sale_products.ini&contents={textBox2.Text.Replace("\r\n", "%0a")}");
list.Add($"{upload}SaleProducts/sale_products_category.ini&contents={textBox3.Text.Replace("\r\n", "%0a")}");

ועם לולאה מריץ אותו

            Res response;
            foreach (string item in list)
            {
                response = await GetResponseAsync1(item);
                if (response.responseStatus != "OK")
                {
                    MessageBox.Show("הפעולה נכשלה", "שגיאה");
                    textBox1.Text += $"\r\n{item}\r\n{response.responseStatus}\r\n{response.message}";
                    return;
                }
                else
                {
                    textBox1.Text += $"\r\n{item}\r\n{response.responseStatus}";
                }
            }

התוצאה היא:

https://www.call2all.co.il/ym/api/UpdateExtension?token=0733******:********&path=ivr2:SaleProducts&type=&title=SaleProducts
OK
https://www.call2all.co.il/ym/api/UploadTextFile?token=0733******:********&what=ivr2:SaleProducts/sale_products_name.ini&contents=01=זורע וקוצר א בראשית חלק א%0a002=דבר בעיתו - מקראה א כיתה א%0a003=קל לכתוב בכתב א חלק 1%0a004=יש פתרון חלק 1%0a005=יש 
וכו'
%0a261=קורות הדורות מתקופת הראשונים בספרד ועד לגזרות תח ותט %0a
error
error

היתה אכן תקלה בקוד שבupdate (שני רווחים בשדות של הטוקן) סדרתי את זה וצרפתי את התוצאות. עדיין שגיאה.

בהרצה ידנית מצאתי את הבעיה:

יש דרך להעלות תיקיה שלימה?

נ.ב. זה לא ממש שגיאה שלי, טכנית הקוד תקין, רק שארוך מידי (באופן עקרוני, מבחינת בקשת הGET אין מגבלה באורך המחרוזת המועברת) ומנין לי לדעת שיש מגבלה באורך?!

@אביי-ורבא כתב ביצירת תיקיה בAPI:

(GPT?)

מה כוונתך?

[אביי ורבא]

@עידו כתב ביצירת תיקיה בAPI:

נ.ב. זה לא ממש שגיאה שלי, טכנית הקוד תקין, רק שארוך מידי (באופן עקרוני, מבחינת בקשת הGET אין מגבלה באורך המחרוזת המועברת) ומנין לי לדעת שיש מגבלה באורך?!

ברור שכן! בקשת GET מוגבלת ל2048 תווים, ובעברית אתה יכול עוד פחות כי זה מאונקד,

למה אתה לא שולח בpost?

@עידו כתב ביצירת תיקיה בAPI:

מה כוונתך?

אני חושב שאתה מבין למה אני מתכוון..

[עידו]

@אביי-ורבא כתב ביצירת תיקיה בAPI:

@עידו כתב ביצירת תיקיה בAPI:

נ.ב. זה לא ממש שגיאה שלי, טכנית הקוד תקין, רק שארוך מידי (באופן עקרוני, מבחינת בקשת הGET אין מגבלה באורך המחרוזת המועברת) ומנין לי לדעת שיש מגבלה באורך?!

ברור שכן! בקשת GET מוגבלת ל2048 תווים, ובעברית אתה יכול עוד פחות כי זה מאונקד,
למה אתה לא שולח בpost?

בטוח? כדאי לבדוק שוב, עד כמה שהבנתי לבקשה עצמה אין מגבלה, המגבלה היא ברמת השרת, שהוא לא מוגדר כדי להתמודד עם זה.

@אביי-ורבא כתב ביצירת תיקיה בAPI:

@עידו כתב ביצירת תיקיה בAPI:

מה כוונתך?

אני חושב שאתה מבין למה אני מתכוון..

אם אתה מתכוון שאני יוצר את זה עם chat gpt אז התשובה היא לא... זה מספיק פשוט כדי שאבנה את המשתנים האלו לבד, לגבי שאר הקוד אני נעזר בו בהחלט, בסוף הוא מוציא תוצאות יפות. והוא לא מכיר את ימות המשיח, גם את הבוט היעודי לא אהבתי והוא לא מעודכן.

[עידו]

אגב, לגבי השגיאה שקיבלתי, איפה שמואל מהאבטחת מידע? כמדומני שהתגובה הזו לא תקינה כלל... היא מלמדת בדיוק איזה מערכת הפעלה באיזו גירסה מפעילה את השרת וכמובן איזה שרת...

[צבי ד"צ]

@עידו תשלח להם

[עידו]

@צבי-ד-צ למי?

[צבי ד"צ]

@עידו ימות המשיח... (אולי תעשה 'תשובה' על המייל ההוא..., אבל נראה לי עדיף לא כך)

[עידו]

@צבי-ד-צ חבל שאני לא יודע מה הניק שלו, אולי גם הוא מסתובב פה.
אולי @ivrפון ידע איך להעביר אליו את זה.
האמת זה לא משנה באמת למי, העיקר למישהו מהאבטחת מידע.

[אביי ורבא]

@עידו אין שום בעיה עם הפרטים הללו, הם לא רגישים ולא סודיים

[עידו]

@אביי-ורבא כתב ביצירת תיקיה בAPI:

@עידו אין שום בעיה עם הפרטים הללו, הם לא רגישים ולא סודיים

כבר מזמן לא עסקתי בתחום הזה, אבל כמה שאני זוכר זה כן עלול ליצור בעיות, זה נותן לתוקפים את הבסיס לדעת את מה לתקוף, הרי יש חולשות ידועות לכל מערכת, ויש המון מערכות, זה די מקל על התוקפים, ככה אני לפחות זוכר... ושים לב שרוב ככל האתרים מחליפים את דפי השגיאות לדפים אחרים כדי לא לחשוף פרטים. אבל כאמור שנים לא נגעתי בתחום אז לא אתווכח איתך על זה.

בכל מקרה, לגופו של ענין, ככל הנראה אני צריך ליצור/להעלות מעל 200 קבצי TTS ועוד קבצים של תיקיית הsaleproducts, יש דרך להעלות תיקיה שלימה או שצריך להעלות/ליצור אותם עם בקשות לשרת לכל קובץ בפני עצמו?

[צדיק תמים]

@עידו כתב ביצירת תיקיה בAPI:

יש דרך להעלות תיקיה שלימה

לא

[MGM IVR]

@עידו כתב ביצירת תיקיה בAPI:

בטוח? כדאי לבדוק שוב, עד כמה שהבנתי לבקשה עצמה אין מגבלה, המגבלה היא ברמת השרת, שהוא לא מוגדר כדי להתמודד עם זה.

https://www.google.com/search?q=HOW+MAX+DATA+ON+GET+REQUESTS&oq=HOW+MAX+DATA+ON+GET+REQUESTS&gs_lcrp=EgZjaHJvbWUyCQgAEEUYORigAdIBCTEwNzE0ajBqN6gCALACAA&sourceid=chrome&ie=UTF-8

@עידו כתב ביצירת תיקיה בAPI:

אגב, לגבי השגיאה שקיבלתי, איפה שמואל מהאבטחת מידע? כמדומני שהתגובה הזו לא תקינה כלל... היא מלמדת בדיוק איזה מערכת הפעלה באיזו גירסה מפעילה את השרת וכמובן איזה שרת...

על איזה תגובה אתה מדבר?

[עידו]

@MGM-IVR
העלאתי צילום מסך ומחקתי כי עד כמה שאני זוכר זה לא אמור להופיע

414 שהבקשה ארוכה מאוד + מערכת הפעלה שרצה על השרת (ובאיזו גירסה) ואיזה שרת היא מריצה

[עידו]

@MGM-IVR כתב ביצירת תיקיה בAPI:

בטוח? כדאי לבדוק שוב, עד כמה שהבנתי לבקשה עצמה אין מגבלה, המגבלה היא ברמת השרת, שהוא לא מוגדר כדי להתמודד עם זה.

https://www.google.com/search?q=HOW+MAX+DATA+ON+GET+REQUESTS&oq=HOW+MAX+DATA+ON+GET+REQUESTS&gs_lcrp=EgZjaHJvbWUyCQgAEEUYORigAdIBCTEwNzE0ajBqN6gCALACAA&sourceid=chrome&ie=UTF-8

נו תסתכל שם בתשובות...

[אביי ורבא]

פוסט זה נמחק!

[עידו]

@MGM-IVR @אביי-ורבא כתב ביצירת תיקיה בAPI:

@MGM-IVR כתב ביצירת תיקיה בAPI:

על איזה תגובה אתה מדבר?

הוא מדבר על משהו כמו זה, (רק בנג'ניקס..) שעכשיו כולם יודעם שאני משתמש באפאצ'י 2.4.52 על שרת אובנטו..

לא יפה לצחוק על אנשים.

במיוחד שלפי הדיבור שלך (למרות שתה מתכנת בחסד ומוערך כאן בפורום) אני לא סגור על זה שאתה עמוק באבטחת מידע.
לדוגמא עכשיו כל סקריפט קיד יוכל להשתמש עם זה על השרת שלך, ויש עוד.

לא סתם כולם חוסמים את עמודי שגיאה שמגיעים עם השרת ויש הגדרות מיוחדות לשרת כדי שלא ישלח פרטים עליו.... זה הרי הצעד הראשון לפני פריצה ויש כלים מיוחדים בשביל לברר את הפרטים האלו. ואתה פשוט מפרסם אותם כאן בגלוי...

אני מרגיש קצת עוינות, חבל... בואו נשאר ידידים, בכל זאת המטרה של כולם כאן זה לעזור אחד לשני...

[אביי ורבא]

@עידו לא התכוונתי לצחוק על אף אחד, וודאי שלא עליך,

מחקתי את הפוסט, (לא בגלל שאני מפחד מהפומביות של הפרטים, אלא בגלל שנעלבת איכשהו)

אני די בטוח שהסיבה העיקרית שבגללה מחליפים את עמודי השגיאה היא אסתטיקה וseo,

אינני אומר שזה לא נחמד בשביל תוקף לדעת מה גרסה השרת שלך, אבל לפי מה שאני יודע לפחות זה לא מה שיעשה לך את הבעיות..

אדרבה, אשמח לדעת אם אני טועה, ואחסום את זה גם בשרתים שלי

[עידו]

@אביי-ורבא
אכן, זה לא מה שיעשה את הבעיות, אבל בלי המידע הזה יותר קשה לתקוף, צריך בדיקה מוקדמת כדי לזהות מה המערכת שלך, הרי אני לא אתקוף אובנטו כמו שאני תוקף את ווינדוס, נכון? אא"כ אני פשוט ארסס מתקפות ואבדוק מה פגע, שזה חבל על המשאבים, הזמן והחשש שיעלו עלי בטרם עת.

במקביל אני בודק את זה, כי כאמור כבר כמעט עשור שלא התעסקתי עם זה...

[צדיק תמים]

@עידו כתב ביצירת תיקיה בAPI:

לא סתם כולם חוסמים את עמודי שגיאה שמגיעים עם השרת ויש הגדרות מיוחדות לשרת כדי שלא ישלח פרטים עליו.... זה הרי הצעד הראשון לפני פריצה ויש כלים מיוחדים בשביל לברר את הפרטים האלו. ואתה פשוט מפרסם אותם כאן בגלוי...

אם זה כל כך בסיסי באבטחת מידע איך זה שהשרת עצמו לא מסתיר את המידע הזה כברירת מחדל? מה, היוצרים של nginx לא מבינים כלום באבטחת מידע?

[MGM IVR]

בדיוק היום שמעתי פרק בפודקאסט סייברסייבר על הנושא
https://cybercyber.co.il/?p=2694
הנושא של הפרק הוא הכותרות שהשרת מחזיר למי שמנסה לגשת אליו, וחלק מהפרק דיברו גם על גירסת שרת וכו.

זה באמת חשוב, כדי לא לחשוף לתוקף ידע, שעלול לעזור לו "לדוג" אותך ספציפי, כי עליך יש לו יותר פרטים, למשל גירסת NGINX שהיא ישנה ופגיעה, וכן על זה הדרך