Хабр Курсы для всех
РЕКЛАМА
Практикум, Хекслет, SkyPro, авторские курсы — собрали всех и попросили скидки. Осталось выбрать!
Хабр доступен 24/7 благодаря поддержке друзей
Комментарии 54
Хороший материал :)
«Internet Explorer has modified this page to help prevent cross-site scripting.»
Даже крупные организации грешат XSS, что уж говорить о мелких самописных CMSках? BTW — готовлю материал для создания некого подобия сертификата безопасности веб систем — если есть интерес — могу опуб
А яндексу-то отписали?
Если проводить мышкой по пустому месту — появляется рука. Ну, это побочное действие :)
после этого топика, руководство яндекса просто обязано взять автора тестировщиком :)
Есть ли опасность, если аутентификационному кукису установлен флаг httponly? Кстати, yandex устанавливает этот флаг?
В Opera 11.50 Mac не всегда срабатывает, фрейм на пикселей 7 выше чем курсор.
При наведении на любую ссылку Chrome пишет, снизу в статусной строке, что будет происходить.
Chrome 15 под убунтой, никаких алертов нет.
Но автор, конечно, молодец, а вот Яндексу стоит серьёзнее следить за безопасностью своих сервисов. Я в торе видел сайты намного более защищенные от подобных проделок.
Но автор, конечно, молодец, а вот Яндексу стоит серьёзнее следить за безопасностью своих сервисов. Я в торе видел сайты намного более защищенные от подобных проделок.
NoScript в FF помог.
Cразу же сообщил о блокировке XSS, а при попытке клика на странице — вывел дополнительное сообщение об XSS.
p.s. Ещё желательно поменять курсор — он тоже наводит на мысли о чём-то нехорошем.
p.p.s. А за исследование спасибо, не знал о таком.
Cразу же сообщил о блокировке XSS, а при попытке клика на странице — вывел дополнительное сообщение об XSS.
p.s. Ещё желательно поменять курсор — он тоже наводит на мысли о чём-то нехорошем.
p.p.s. А за исследование спасибо, не знал о таком.
Такая техника атаки называется Clickjacking.
Только сообщил Яндексу, и тут внезапно bit.ly/qLMGgH. Я в курсе, как называется данный тип техники, но тут фишка ещё и в безопасности Яндекса. Некоторые расширения помогают бороться с уязвимостью.
А IE вообще блокирует такие страницы. :)
А IE вообще блокирует такие страницы. :)
Простите уж, парсер не принимает ссылки с спецсимволами. :)
для параноиков можно добавить вариант:
bitly.com/qi8FO4+
bitly.com/qi8FO4+
А где-то сидит сейчас один какой-то конкретный человек и, положив ладонь на лицо, думает… Много думает… :)
Как это мило — разместить уязвимость на Яндексе на хостинге от Яндекса.
Mac OS 10.7/Safari 5.1 — не срабатывает, пустая страница
Когда только опубликовали оно работало, сейчас только грузит страницу, но щелчок по ней не работает, в яндексе начали чинить? (хром 15\вин XP)
Похоже, запретили все протоколы, кроме HTTP, HTTPS и FTP.
Уже прикрыли уязвимость. Печально, а то хотел попробовать
bit.ly лежит под хабраэффектом…
Похоже, что в последний месяц это становиться некоторой проверкой мужественности. Как древние люди ходили охотиться на льва, чтобы доказать что они стали мужчинами, так и современные веб-программисты ищут очередную дырку в Яндыксе. Пока дырку не нашёл — тру прогером не будешь.
Уязвимость пофиксили.
На почту пришло:
Я действительно очень рад за Яндекс, что уязвимости прикрываются с такой быстрой скоростью.
На почту пришло:
Добрый день, Олег!
Благодарим за интерес к работе нашего сервиса и Ваше сообщение, мы обязательно проверим указанную Вами информацию. Ваше письмо направлено разработчикам.
--
С уважением, [имя сотрудника]
Служба поддержки Яндекса
http://help.yandex.ru/
Я действительно очень рад за Яндекс, что уязвимости прикрываются с такой быстрой скоростью.
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Раскручиваем XSS на Яндексе (fixed)