Обсуждение DataLife Engine

[Revenant425]

Сразу 2 ошибки в DataLife Engine 9.8, которые угрожают безопасности сайтов...

1) Открываем файл /engine/classes/uploads/upload.class.php
2) Ищем строку

private $allowed_extensions = array ("gif", "jpg", "png" );

3) Заменяем её на

private $allowed_extensions = array ("gif", "jpg", "jpeg", "png" );

А теперь серьёзная ОЧЕПЯТКА! Именно из-за неё возможен взлом DLE 9.8:
Файл /uploads/.htaccess
Самая первая строка:

FilesMatch "\.([Pp][Hh][Pp]|[Cc][Gg][Ii]|[Pp][Ll]|[Ph][Hh][Tt][Mm][Ll])\.?"

А должно быть:

FilesMatch "\.([Pp][Hh][Pp]|[Cc][Gg][Ii]|[Pp][Ll]|[Pp][Hh][Tt][Mm][Ll])\.?"

За информацию спасибо puls1835.

что-то время идет, а на офф сайте ничего про эту уязвимость

 

[Горбушка]

DLE вообще забила на безопасность. На форуме любой баг-репорт воспринимается в штыки. Начнёшь что-то доказывать - бан, лишение лицензии и т.д. И таких историй в нете куча. "Виноват хостер", "Виноват Ваш сервер", "У Вас не та версия PHP" - вот такие ответы стандартны в России на все баг-репорты... К сожалению, именно в России, а не только у ДЛЕ. Аналогично у ISPmanager - виноваты все, кроме них. Мегаплан - тоже не отличается стабильностью, качеством, а на вопрос пользователя демо-версии "а будет ли исправлен баг?" - "А Вы лицензию за сколько тысяч хотите купить?"... Аналогично в Тех. Поддержках всех провайдеров, хостингов: "Мы за это не отвечаем", "Это Ваши проблемы", "Идите на форум, может кто-то Вам поможет", "Не работает интернет? У Соседей на наш форум напишите..." - и т.д.

Увы, в России мало кто работает так, как в Европе и США. Но, честно говоря, у нас и условия другие. Работать "как положено" в России очень тяжело. Чтобы разобраться в лицензировании, налоговой, найти нормальный офис и т.д. надо убить 2-3 года и заплатить 3-4 ляма штрафов... А когда разберёшься тебя обрадую новыми формами налоговой, сносом офисного здания и изменением лицензионной политики...

В общем, Россия - что ж делать?

 

[nfox]

Мда... очень печально что создатели своего детища небрежно относятся к нему. У меня была ситуация когда хостер посылал меня в тех. поддержку CMS а производитель CMS посылал в тех. поддержку хостера. В итоге я бросил обоих, нашел нормального хостера за 800 руб. в месяц и поставил другую CMS, коммерческую. И теперь никаких проблем. Тех. Поддержка обоих на высоте. А DLE мне кажется нос попустили из за того что много сайтов стоят на нулленых версиях. Мне кажется что DLE скоро развалится, хотя жаль. Прекрасная CMS.

P.S. К моему счастью я живу в Европе. Но желаю что бы и в России работали так же ответственно как и в других нормальных странах.

 

[Горбушка]

В том, что такое отношение к ДЛЕ, виноваты сами разработчики. В своё время, 90% обновлений тырились с форумов. Просто брались модули и всовывались в коробку. При этом, даже не удосуживались автора упомянуть, ему заплатить или хотя бы спросить разрешения. Всех просто ставили перед фактом - этот мод теперь часть функционала. Так же на ДЛЕ не оформлены авторские права как положено, а теперь это и невозможно сделать физически из-за использования GNU/GPL кода в движке. По сути, если кто-то будет с ними судиться - выиграет пират, ибо использует GNU/GPL софт.

Вторая ошибка - отсутствие партнёрок и т.д. Когда я предлагал продавать ДЛЕ на хостинге, внимание, за скидку в размере комиссии (да, я себе ничего не просил, лишь компенсацию расходов), мне ответили отказом.

Третья ошибка - отсутствие API для проверки лицензии. Иногда приходят абузы на нулл... Т.к. на хостинге они запрещены, принимались меры, но! Но применялись они к автору ДЛЕ, а не к сайту. Из-за невозможности проверки лицензии открывался исходник, проверялся ключ, абузу закрывали.

Четвёртая ошибка - они не идут на рынок. Не сотрудничают с хостерами, не работают с дизайнерами, программистами, нет предложений по скидками для вебстудий при оптовой покупке. У них нет возможности продать свой ключ другому аккаунту (студия покупает, отдаёт акк на офе). Нету каталога скриптов под ДЛЕ на офф. сайте.

И таких ошибок полно...

 

[nfox]

Вот это новость, я даже и не знал что создатели DLE так поступают и присваивают чужие работы. А патом еще и других винят в своей криворукости.

Проверки лицензии можно сказать нет никакой и это смешно. Они сделали платную CMS абсолютно без защиты, хоть бы умудрились части кода зашифровать как это в других CMS.

А до рынка им далеко с их отношением к клиентам и к продукту, их просто на рынке раздавят как букашек. Да CMS у них неплохая очень проста в освоении и тем более верстка на ней по моему даже первоклашке по силе. Но у неё нету особых преимуществ перед другими CMS.

Получается что сами же фанаты создали CMS которую им же и приходится еще покупать, как-то некрасиво получается.

 

[Горбушка]

Нет, почему, в ДЛЕ проверка лицензии зашифрована и довольно не плохо. Разобраться с ней без знаний PHP нереально. Другое дело, что если PHP знаешь - кроме зенда уже ничего не спасёт, а зенд - потеря аудитории.

Тут надо просто рассчитать баланс между: ценой, качеством и защитой. Если бы CMS была в 10 раз дешевле (около 200 рублей против 2.000) - её бы купили все. Итоговая прибыль была бы выше, но и клиентов стало больше, а следовательно, нагрузка на ТП.

Но теперь лезем на сайт ТП и смотрим:
1) Поддержка теперь платная! Где это видано? Я купил скрипт и должен сам с ним разбираться? Даже булка даёт месяц поддержки по ТЕЛЕФОНУ!
2) Отбоя от клиентов особо нет.

Так что, если ДЛЕ продаёт порядка 100 копий в месяц - это з/п 4 сотрудников, при этом без особых изменений в движке - это просто круто. А всю работу делают ребята на форумах...

 

[nfox]

Ну это то ладно, мне вот интересно а что если вдруг найдется (рано или поздно) такой человек который защищает свою интелектуальную (ну или как её там) собственность. А создатели DLE вдруг её присваивают как это делают обычно. Кто будет прав в таком случае ?

И еще интересно что они сделают в версии 10, ведь как ни как а цифра "юбилейная". Мне не особо нравится что все переменные нельзя использовать где хочешь без шаманства. То есть каждая группа переменных работает в предназначенном для них разделе.

К примеру тот же NetCat, там можно их прикрутить куда угодно, но там они называются API. Хотя я и не особый знаток в этом деле, но API это вроде по маштабнее чем переменные в DLE.

P.S. Про зенд, вроде бы есть такая штука dezender которая раз шифровывает его, но не разу не пользовался такой штукой и не знаю есть ли толк от неё. Что-то вроде flash decompiler.

Интересно сколько у них человек в фирме/команде, такое ощущение что не больше 10 сотрудников.

 

[Горбушка]

Так, мы ушли во флуд, поэтому тема перемещена во флудильню...

А создатели DLE вдруг её присваивают как это делают обычно. Кто будет прав в таком случае ?

Суд с печальными для ДЛЕ последствиями. Кстати, о самом ДЛЕ - это CMS Cutenews (она же CutePHP), которая когда-то выпускалась под PHP 3.0 и 4.0, но работала на файлах. Автор DLE переписал её под MySQL и сделал платной. Так что перспективы в суде печальные...

Сама же CutePHP развивается и доступна для скачки с Для просмотра ссылки Войди или Зарегистрируйся

И еще интересно что они сделают в версии 10, ведь как ни как а цифра "юбилейная".

Обещают что-то новенькое в плане защиты от СПАМ, а так, больше ничего... Кстати, версия должна выйти в следующем месяце, максимум через месяц. Впрочем, новых модулей под ДЛЕ никто не пишет, тырить нечего - релиз уже задерживается, ибо стырить ничего не могут, а писать своё пока не научились.

Про зенд, вроде бы есть такая штука dezender которая раз шифровывает его

Есть, но часы, проведённые с ней, не забываемый опыт... Надеюсь, вы не думаете, что нажал 1 кнопочку и готово?

Интересно сколько у них человек в фирме/команде, такое ощущение что не больше 10 сотрудников.

ОдЫн

 

[_sergey_]

Лицензия GNU не запрещает продаж коммерческого софта, она просто требует при продаже код оставлять открытым. Вот можно почитать обсуждение таких лицензий: Для просмотра ссылки Войди или Зарегистрируйся

 

[Горбушка]

Лицензия GNU не запрещает продаж коммерческого софта, она просто требует при продаже код оставлять открытым. Вот можно почитать обсуждение таких лицензий: Для просмотра ссылки Войди или Зарегистрируйся

Она не запрещает АВТОРУ продавать свой скрипт, но запрещает продавать ЧУЖОЙ код - это раз.
Два: лицензия GNU разрешает свободное РАСПРОСТРАНЕНИЕ и КОПИРОВАНИЕ, а так же ИСПОЛЬЗОВАНИЕ кода и его РЕДАКТИРОВАНИЕ в неограниченном количестве.

Таким образом, никто не наезжает на ДЛЕ что он продаёт, но и ДЛЕ наезжать на свободное распространение не может. К нулам так же претензий быть не может, ведь GNU разрешает править все файлы, в том числе файлы проверки лицензии.

В данном случае, закон, запрещающий мешать лицензионной проверки скрипта не работает, ведь автор сам разрешил его править лицензией GNU =)