Posts Tagged by Różne
Zamykam jedno oko i…
| 2012-03-27 | Posted by Paweł Goleń under Polskie blogi IT |
|
Czasami dostaję pytanie, co robię, gdy znajdę jakąś podatność. Oczywiście mowa o sytuacji, kiedy zdarzy mi się coś znaleźć poza działaniami związanymi z realizacją zleceń. W moim przypadku odpowiedź jest prosta – nic. Po prostu „po pracy” nie szukam podatności, a jak coś mi się rzuca w oczy, to po prostu zamykam jedno oko i udaję, że drugim tego nie widzę. Dlaczego?
Odpowiedź na to pytanie również jest dość prosta i można ją przedstawić prostym akronimem CY(O)A. Jeśli organizacja nie ma jasno określonego programu bug bounty, wolę nie sprawdzać organoleptycznie w jaki sposób potraktuje informację o podatności. Wolę nie być później w sytuacji, w której będę musiał udowodnić, że nie jestem wielbłądem.
Można dyskutować nad różnymi aspektami tego podejścia, w szczególności można zarzucać mi „obojętność” oraz narażanie innych na ryzyko przez to, że podatność nie zostanie usunięta. Cóż, powtarzam – jeśli będzie jasna informacja w jaki sposób zgłaszać takie informacje i jak one będą potraktowane, zmienię swoje podejście. Zwracam uwagę, że nie poruszam tu kwestii ewentualnego wynagrodzenia za taką informację, akurat w przypadku zgłaszania rzeczy „zauważonych przy okazji” ma ona drugorzędne znaczenie. Nie mam natomiast ochoty być traktowany jako potencjalny szantażysta, złodziej, mason i cyklista, a z takim podejściem wciąż można spotkać się zdecydowanie zbyt często.
Tu warto zauważyć, że winne są obie strony, często osoby zgłaszające informacje o błędzie robią to w sposób co najmniej dziwny, niejednokrotnie uzależniając przekazanie informacji o znalezisku od otrzymania „nagrody” (bo media na pewno zapłacą za taką informację). Oczekiwania co do wartości tej nagrody bywają wygórowane i nie mają uzasadnienia w rzeczywistej „wadze” znaleziska. Takie podejście naprawdę trudno traktować w sposób inny, niż szantaż. Można też usłyszeć historie o przypadkach, gdy szczęśliwy „odkrywca” przekazuje informacje na temat swojego znaleziska w postaci filmiku nagranego na płytce, którą przekazuje osobiście w nocy na środku mostu. Folklor.
Pomijam tu również kwestię legalności „niezamówionego testu bezpieczeństwa” oraz tego, czy właściciel testowanej w taki sposób aplikacji powinien być wdzięczny, ewentualnie czy jego „pretensje” są uzasadnione. Moje podejście jest takie, że jeśli nie mam zgody, to nie testuję. Kropka.
gxUDhPqqX0QUzzbRQIdIZEHQPT87GYsK
| 2012-03-21 | Posted by Paweł Goleń under Polskie blogi IT |
|
Jeśli zastanawiasz się o co chodzi w tytule tego wpisu, to spieszę wyjaśnić, że o nic. Po prostu nie miałem pomysłu jak go zatytułować, więc wygenerowałem sobie coś takiego :) A to dlatego, że wpis ten nie ma żadnego konkretnego tematu. No dobrze, może i ten tytuł ma pewien ukryty sens, ale to mocno poboczna sprawa.
Dziś chciałem poruszyć krótko kilka tematów. Pierwsza sprawa to mój challenge. Wiem o jednej osobie, która doszła do końca (czyli na dzień dzisiejszy rozwiązała ósme zadanie). Widzę też, że sporo osób utknęło na pierwszym zadaniu. Podpowiem (ponownie), że w odpowiedzi serwera (powtarzam, odpowiedzi serwera, a nie samej treści strony) są dwie podpowiedzi, które według mnie dość dobrze pokazują co i jak należy zrobić. Nie ma potrzeby generować kolejnych wartości ciągu Fibonacciego, raczej trzeba zobaczyć czego brakuje. A jeśli czegoś nie widać, to wcale nie znaczy, że tego czegoś nie ma.
Druga sprawa – na początku kwietnia występuję na TKonferencji. Właśnie jestem po pierwszych przymiarkach polegających na sprawdzeniu ile z tego, co chciałem pierwotnie powiedzieć, dam radę powiedzieć w założonym czasie. Mam trochę więcej przygotowanych materiałów niż będę w stanie wykorzystać, więc prawdopodobnie wcześniej lub później trafią one na bloga.
Pracuję też nad pewnym szkoleniem dotyczącym bezpieczeństwa aplikacji internetowych. W ramach przygotowań popełniłem kilka dziurawych przykładów (wcale nie jest tak prosto napisać dobrze działający dziurawy przykład) i miałem trochę radości w trakcie ich eksploitowania. Wrzucanie meterpretera na serwer linijka po linijce jest zabawne :) Trochę przypomniały mi się bardzo stare czasy. Kiedyś się człowiek namęczył, teraz wystarczy msfvenom.
W temacie tego szkolenia zacząłem szukać jakiegoś rozwiązania, które pozwoliłoby mi (ręcznie) dodawać adnotacje na ekranie. W najbardziej podstawowym wariancie wystarczyłby mi ZoomIt ze swoją funkcją rysowania oraz (przykładowo) GreenShot z automatycznym zapisywaniem screena do pliku w celu zapisania mojej radosnej twórczości dla potomnych, względnie w celu przygotowania materiałów (po)szkoleniowych. Aktualnie szukam jakiegoś wygodnego „urządzenia wskazującego”, którym takie adnotacje mógłbym w miarę wygodnie nanosić (coś w stylu „pióra”), oraz ewentualnie oprogramowania, które tworzenie i zapisywanie takich rysunków pozwoli realizować w sposób wygodniejszy, niż wspomniany duet ZoomIt oraz GreenShot. Ma ktoś może jakieś sugestie? Zarówno w odniesieniu do sprzętu, jak i oprogramowania?
Jakiś czas temu skończyłem czytać Poszukiwany żywy lub martwy. W zasadzie przeczytałem (prawie) wszystkie książki z tej serii (poza Locked On), były lepsze i gorsze momenty. Już Red Rabbit mnie rozczarował, a The Teeth of the Tiger było, moim zdaniem, porażką. Teraz jest trochę lepiej, ale nadal coś jest nie tak… Jakby nie ten klimat. Zmienił się albo Clancy, albo ja.
Czas na Internet Explorer po całym dniu działania
| 2012-03-12 | Posted by bns under Internet Explorer, Polskie blogi IT |
|
Parę miesięcy temu zamieściłem screena ile to Firefox potrafi zjeść pamięci po 3 dniach działania.
Okazało się, że mamy nowego zwycięzcę na moim komputerze, a jest nim… Internet Explorer :) (tak czasami go używam :P)
Prawię o 2 razy więcej był zachłanny na RAM, a przypomnę, że Fx zjadł mi go wtedy 2,7 GiB :)
No i wyknułem
| 2012-03-10 | Posted by Paweł Goleń under Polskie blogi IT |
|
Knuję
| 2012-03-08 | Posted by Paweł Goleń under Polskie blogi IT |
|
Tak, knuję. Mianowicie nad tym, by przygotować pewnego rodzaju challenge. Koncepcja mam taką, by kolejne etapy były udostępniane w ramach zaszyfrowanego kontenera TrueCrypt. By dostać hasło do poziomu n+1 trzeba będzie rozwiązać poziom n. Zadania będą różne, nie tylko aplikacje webowe. Myślę, że zabawa ruszy, jak będę miał gotowych co najmniej 5 zadań.
Uczenie się na pamięć nie jest złe
| 2012-03-01 | Posted by Paweł Goleń under Polskie blogi IT |
|
Rzucił mi się dziś w oczy dość stary felieton, w którym autor „rozprawia się” z narzekaniem nauczycieli/wykładowców na młode pokolenia, że jego przedstawiciele „nic się nie uczą na pamięć, wszystkiego szukają”. Autor wykazywał różnice w dostępności wiedzy kiedyś i teraz, powoływał się również na książkę The Wisdom of Crowds. A ja się z nim nie do końca zgadzam.
Moim zdaniem nie można całkowicie „delegować” wiedzy na zewnątrz. Nie jestem zwolennikiem uczenia się na pamięć w sensie wykucia czegoś bez jednoczesnego zrozumienia tematu. Uważam jednak, że do korzystania z możliwości, które daje nam np. Internet potrzebna jest pewna wiedza bazowa. Wyszukiwanie informacji jest zdecydowanie bardziej efektywne wtedy, gdy wiemy co szukać. A taką „wiedzę bazową” trzeba zapamiętać oraz być w stanie ją przypomnieć, gdy zajdzie taka potrzeba.
No właśnie, uczenie się „na pamięć” miało taką dobrą cechę, że ćwiczyło naszą pamięć właśnie. W efekcie uczenie się, zapamiętywanie i przypominanie sobie informacji, przychodziło nam łatwiej. Bez tych ćwiczeń w pewnym stopniu głupiejemy. Ja na przykład od pewnego czasu korzystam z Anki, bo nie byłem do końca zadowolony ze swojej pamięci. Najbardziej irytowały mnie te sytuacje, kiedy wiedziałem, że coś wiem, ale nie potrafiłem sobie tego przypomnieć. Oczywiście moja podświadomość pracowała i po pewnym czasie tą zagubioną informację odnajdywałem, ale co z tego, jeśli tym, co mi uleciało było jakieś słówko, które było mi potrzebne w aktualnie mówionym zdaniu? Zauważyłem też, że miewam problem z translacją PL -> EN w sytuacjach, w których w drugą stronę (EN -> PL) żadnego problemu nie mam.
Uważam, że ewolucyjnie nie jesteśmy gotowi do funkcjonowania w warunkach takiego zalewu informacji, z jakim mamy obecnie do czynienia. Trzeba pracować nad sobą, nad swoją pamięcią, nad myśleniem (różnymi rodzajami myślenia). Oczywiście, można też pójść na łatwiznę i zawsze pytać wujka Google albo „sieci społecznościowej”, ale dla mnie to nie jest akceptowana opcja.
I tak mi się jeszcze skojarzyło:
Myślenie przeszkadza w myśleniu
| 2012-02-07 | Posted by Paweł Goleń under Polskie blogi IT |
|
Pamiętacie rozważania odnośnie tego, czy pierwsza odpowiedź jest najlepsza? Miałem wówczas poważne wątpliwości, czy twierdzenie to zostało słusznie uznane za mit. Wątpliwości te bynajmniej się nie zmniejszyły, co więcej słuchałem sobie ostatnio interesującego podcastu (wiekowego dość), w którym pada zdanie będące tytułem tego wpisu.
Podcast jest do odsłuchania tutaj: Potęga podświadomości, czyli uwierz, że wiesz. Całość dość długa, ale moim zdaniem warta posłuchania. Dodatkowo można też posłuchać tych podcastów: Intuicja w pracy i w życiu osobistym oraz Czy intuicja jest sprzeczna z racjonalnością.
I może ta pierwsza odpowiedź jest właśnie intuicyjna?
(D)DoS jest trendy
| 2012-01-24 | Posted by Paweł Goleń under Polskie blogi IT |
|
No bo jak inaczej skomentować poniższy obrazek?
Zgadywanka: ciąg dalszy
| 2012-01-20 | Posted by Paweł Goleń under Polskie blogi IT |
|
Ciąg dalszy poprzednich dwóch wpisów. Pomysł tej „zgadywanki” wpadł mi do głowy przy okazji zupełnie innego tematu. Wszystkie obliczenia robiłem dopiero po opublikowaniu przykładu i okazuje się, że zupełnie przypadkiem udało mi się znaleźć ciekawy przykład, który jeszcze na kilka sposobów wykorzystam.
Na poniższym wykresie zaznaczone są oczekiwane wartości wygranych w dwóch grach. Pierwsza z gier (kolor niebieski) to nasz oryginalny przykład. Druga gra (kolor czerwony) to gra o prawie identycznych zasadach, różnica jest tylko taka, że losowanie jest ze zwracaniem.
W pierwszym wariancie oczekiwana wartość wygranej jest prawie zawsze dodatnia. Pierwszym wyjątkiem jest przypadek, gdy gracz rezygnuje z losowania, wówczas ma takie same szanse wygranej i przegranej, również pieniądze do wygrania/przegrania są dokładnie takie same. Drugi wyjątek to sytuacja, w której gracz losuje 10 kul. Ma co prawda pewność wygranej, ale nic na tym nie zyskuje, otrzymana wypłata jest równa kwocie, którą zapłacił za przystąpienie do gry. Ten wariant gry zdecydowanie nie ma sensu dla organizatora. Na dłuższą metę będzie musiał dopłacać do tego interesu. Gracz ma natomiast pewność, że (w dłuższej perspektywie czasu) na grze zarobi.
W drugim wariancie to, czy gracz w dłuższej perspektywie czasu osiągnie sukces (zarobi), czy raczej straci, zależy od przyjętej przez niego strategii – ile kul będzie losował. Ta gra również nie ma sensu (dla kasyna), w tym wypadku również organizator będzie musiał dokładać do interesu, przynajmniej teoretycznie. Teoretycznie, bo nie wiem jaką strategię gry przyjmowałby „statystyczny gracz”. Być może większość graczy wybierałaby taką strategię gry, która daje większe szanse na zarobek dla kasyna (patrz wspominany już paradoks Monty Halla).
Teraz na chwilę odłóżmy liczydła. Mając do wyboru dwie takie gry (gra A – losowanie bez zwracania, gra B – losowanie ze zwracaniem) oraz opcję rezygnacji z gry, co wybrać? Jak dużą rolę w tym wyborze odgrywa awersja do ryzyka?
Załóżmy, że wybrany został pierwszy wariant gry. Jaką strategię gry (ilość losowanych kul) wybrać? Czy jest jakaś różnica w obrębie wariantów 1 i 9 kul, 2 i 8 kul, 3 i 7 kul oraz 4 i 6 kul? Oczekiwana wygrana w przypadku wyboru 1 kuli jest taka sama, jak w przypadku wyboru 9 (i dalej parami analogicznie), ale czy rzeczywiście nie ma różnicy między tymi wariantami?
Zgadywanka: czy ta gra ma sens II
| 2012-01-19 | Posted by Paweł Goleń under Polskie blogi IT |
|
Nie spodziewałem się, że mój poprzedni wpis zaowocuje tak dużą ilością komentarzy. Tak, pytanie o to, czy gra ma sens, jest nieco przewrotne. Odpowiedź na to pytanie zależy od tego, co uznamy za sensowność. Z grubsza (na dłuższą metę) mogą zajść trzy sytuacje:
- gracze i organizator gry wychodzą na zero,
- gracze są stratni,
- organizator gry jest stratny,
W komentarzach utworzyły się dwie partie. Według części komentujących w grze wychodzi się „na zero”, według innych – organizator gry musi dopłacać do interesu (pojawia się też trzecia partia obstająca za trzecią możliwością – zarobkiem dla kasyna). I tutaj jest kolejna przewrotność: zgadywanka. Tu nie chodzi o zgadywanie, tylko o fakty.
Załóżmy taką strategię gry:
- gracz zawsze losuje pewną liczbę kul,
- jeśli wśród wylosowanych kul znajduje się czarna, odpowiada: jest czarna,
- jeśli wśród wylosowanych kul nie ma kuli czarnej, odpowiada: nie ma czarnej,
Jaką ma szansę na wygraną przy takim postępowaniu?
Dla ułatwienia posłużmy się schematem:
W grze są możliwe trzy sytuacje, od lewej:
- w skrzyni nie ma czarnej kuli, gracz wyciąga same białe,
- w skrzyni jest czarna kula, gracz wyciąga same białe,
- w skrzyni jest czarna kula, grach wyciąga (również) czarną kulę,
Przy przyjętej strategii gry, gracz przegrywa wyłącznie w jednym przypadku, który na schemacie został oznaczony kolorem czerwonym. Jakie jest prawdopodobieństwo tego zdarzenia? Czy gracz ma większą szansę na wygraną, czy porażkę? Jak zmienia się oczekiwana wartość (zysk/strata) w zależności od ilości losowanych kul?
Zgadywanka: czy to ma sens?
| 2012-01-18 | Posted by Paweł Goleń under Polskie blogi IT |
|
Wyobraźmy sobie następującą grę. W skrzyni znajduje się 10 kul, z czego 1 może być czarna. Prawdopodobieństwo, że czarna kula znajduje się w skrzyni wynosi 1/2. Zadaniem gracza jest właściwe odgadnięcie, czy w skrzyni znajduje się czarna kula. Gracz może:
- udzielić odpowiedzi natychmiast,
- raz wylosować dowolną, z góry zadeklarowaną, liczbę kul,
Przystąpienie do gry kosztuje 50 PLN. Za prawidłową odpowiedź gracz otrzymuje 100 PLN, przy czym kwota jest pomniejszana o 5 PLN za każdą wylosowaną kulę.
Przykładowo: gracz przystępuje do gry, deklaruje wylosowanie 3 kul. Jedna z kul jest czarna, więc oczywiście odpowiada (prawidłowo), że w skrzyni znajduje się czarna kula. Otrzymuje 85 PLN (100 – 3 * 5 = 100 – 15 = 85 PLN).
Pytanie: czy ta gra ma sens?
Dolphin Browser HD V6.0 Private Beta fail
| 2011-07-05 | Posted by bns under Polskie blogi IT, Web |
|
3 dni temu zapisałem się do programu bety najnowszej wersji przeglądarki internetowej Dolphin Browser HD na telefony i tablety z systemem Android. Wczoraj otrzymałem maila z wdzięcznie brzmiącym tematem – Dolphin Browser HD V6.0 Private Beta. (…)
To jest jedynie fragment wpisu. Czytaj całość na stronie.
Firefox 4 po 3 dniach działania
| 2011-04-18 | Posted by bns under Polskie blogi IT, Web |
|
Miejski niezbędnik
| 2011-02-16 | Posted by bns under Polskie blogi IT |
|
Wyjazd firmowy, wycieczka, szkolenie w obcym mieście. Problem z dojechaniem pod właściwy adres. Trzeba na szybko znaleźć taksówkę, przystanek komunikacji miejskiej, zastanawianie się jaki numer wybrać, o której jedzie, gdzie się przesiąść, a na koniec jeszcze gdzie tu wypłacić pieniądze? Nie miałeś takiego problemu, bo ja wiele razy… nawet we własnym mieście :)
Moje rozwiązanie to połączenie starego, dobrego Gingera, jakdojade.pl i nawigacji samochodowej w wersję kieszonkową czyli 3 użyteczne aplikacje na Andka :) (…)
To jest jedynie fragment wpisu. Czytaj całość na stronie.