shadowjack Oct 15 2011 at 21:41

HTML/CSS-инъекция в почте Mail.Ru

2 min

16K

Information Security*

+86

Comments 63

format1981 Oct 15 2011 at 22:09

Я и впрямь стал задумываться о переезде с mail.ru.

radarlog Oct 15 2011 at 22:19

давно пора)

lomalkin Oct 16 2011 at 04:10

Однако лучше поздно, чем никогда.

Pingvi Oct 15 2011 at 22:26

Не прошло и полугода и вот она — новая уязвимость.
shadowjack конечно mail.ru оповестили об этом.

shadowjack Oct 15 2011 at 23:00

Судя по блоку «Похожие посты» справа, не прошло и месяца. 8)

Pingvi Oct 15 2011 at 23:05

я образно сказал. не хотел расстраивать программистов с майла

fluxion Oct 16 2011 at 01:27

Месячные у мэйлрушечки.

xjunkiex Oct 16 2011 at 07:56

мне кажется что разработчики mail.ru используют совсем другую почту :-)
www.google.com/a/mail.ru/

INIT Oct 16 2011 at 15:29

а программисты Яндекса видимо этим да?
www.google.com/a/yandex.ru/

gotanda Oct 16 2011 at 22:18

У меня вопрос возник: у меня есть почта тут www.google.com/a/dezcom.org. Почтовый адрес записывается как *****@dezcom.org. Значит ли это что моя почта *****@yandex.ru расположена тоже на серверах гугл?

GraDea Oct 16 2011 at 16:57

Может они всю почту там хостят, а на mail.ru просто обертка, местами кривая? bk.ru и list.ru тоже есть.

mokaton Oct 17 2011 at 01:15

Ну с другой стороны можно сказать спасибо mail.ru, за то что они допускают такие баги и кто-то их находит и «выводит на чистую воду». Теперь хоть многие вебмастеры и прочие программисты не будут делать подобных косяков в своих проектах! :)

Anexroid Oct 15 2011 at 22:55

Поэтому вообще стараюсь не использовать web-интерфейсы. Всё через почтовые клиенты

ZyL Oct 15 2011 at 22:57

Вообще есть такой софт, называется IBM AppScan, его натравливают на сайт и он выдает всякого рода уязвимости. К сожалению, он отнюдь не open source и стоит по-моему 34 000 USD за лицензию. У нас на работе используется, выдает очень подробный отчет с осмысленным текстом, как именно проводился «взлом», какого рода уязвимость и т.д. К сожалению, наш нельзя натравить на чужой сайт, а то я бы свои попробовал прогнать.

bulka_by Oct 15 2011 at 23:14

Что-то мне подсказывает, что для такой компании, как Mail.ru, купить программку за жалких (для ее уровня дохода) 34к уе — это как бе не проблема. Другое дело, лично я сомневаюсь в пользе от данной «утилиты» для проекта Mail.ru и всех его сервисов.

shadowjack Oct 15 2011 at 23:18

Тестеры обычно пишут свои наборы тестов, скрипты и т.д.
Тут такое чувство, что новую почту mail.ru выкатили в продакшн без тестирования.

GapCoder Oct 16 2011 at 14:08

as usual

timukas Oct 16 2011 at 14:40

в последнее время я часто замечаю, что всё тестирование происходит в продакшнах, на живых клиентах и настоящими деньгами

megasua Oct 16 2011 at 19:30

Наверное в этом есть какой-то смысл, пока оттестируешь — аудитория может уйти на другой сервис, а если сервис актуальный, то пользователи простят ошибки (при условии если своевременно, по мере развития продукта, ошибки исправлять).

UFO just landed and posted this here

zyaleniyeg Oct 16 2011 at 22:31

аник хороший, но не совсем понятно к чему он тут?

FractalizeR Oct 15 2011 at 23:21

Еще есть MaxPatrol: ptsecurity.com/

bulka_by Oct 15 2011 at 23:26

Не бывший ли XSpider это случаем?

FractalizeR Oct 16 2011 at 11:33

Да, он.

Bo0oM Oct 16 2011 at 17:29

Это отдельный продукт. XSpider всё ещё поддерживается (недавно вышла новая версия с новым интерфейсом), но парол лучше (и дороже)

Acuna Dec 1 2013 at 15:30

«Service Temporarily Unavailable» при попытке скачивания продукта за 34 000 USD — это печалька(

elliadan Oct 15 2011 at 23:29

Прощу прощения за, возможно, несерьезный тон моего коммента, но блин я фигею с этиъ мейлрушечек!!!11 Еще одна уязвимость, не прошло и месяца. ~~А они еще борятся за звание дома выской культуры быта!~~ А они в это время, блин, пилят аську и пиарят свой агент.

lampa Oct 15 2011 at 23:42

На mail.ru нельзя выделять даже письма нормально. Сиди и щелкай по чекбоксам.

Klaster Oct 16 2011 at 05:29

>>Эта винда со своими скучными обоями, меняешь их меняешь…

xjunkiex Oct 16 2011 at 07:51

можно настроить сбор почты на тот же gmail и юзать short-key

lampa Oct 16 2011 at 10:59

У меня основная почта на yandex.ru, которая и собирает со всех других ящиков письма :)

EvgeniyLazarev Oct 16 2011 at 12:44

А нормально — это как?
Не из праздного любопытства интересуюсь :)

lampa Oct 16 2011 at 12:46

Вы наверно знаете, как в проводнике windows можно выделять файлы с помощью зажатия левой кнопки мыши? Вот хотелось бы так-же.

datacompboy Oct 16 2011 at 10:10

Нда. А поставить position: relative для блока с письмом, видимо, было никак.

DmitryKoterov Oct 16 2011 at 11:13

Только на position:absolute, а overflow:hidden. Это бы помогло от данного вида проблемы, наверное.

datacompboy Oct 16 2011 at 11:26

Да, overflow тоже нужен.
Position: relative надо чтобы у любых блоков внутри position:absolute отсчитывалось от текущего блока, а не от окна;
А overflow:hidden нужен, чтобы отрицательные координаты не могли вылезти наружу.

shadowjack Oct 16 2011 at 11:50

А ещё бывает position: fixed, от которого никакое relative и overflow не поможет. 8)

smartov Oct 16 2011 at 16:42

mail.ru – было есть и будет ещё долго решето с дырками такого размера, что подходит для отсеивания футбольных мячей от баскетбольных. Невзирая на присутсвие на Хабре инженеров по безопасности mail.ru, которые недавно горячо убеждали хабраобщественность, что работа над улучшением и углублением кипит. Самое смешное, что судя по количеству плюсов, за тот комментарий, писать пламенные речи пока получается гораздо лучше, чем работать над безопасностью.

V_Komissarova Oct 16 2011 at 21:59

Баг исправлен. Автору поста — спасибо :)

shadowjack Oct 16 2011 at 22:11

Хм-м, а Вы уверены? 8)

danikin Oct 16 2011 at 23:13

Первый раз починили вылезание сверху и слева. Теперь зачинили справа и снизу. Можете повторить проблему?

shadowjack Oct 16 2011 at 23:16

Проблема описана в посте.
Вам пример кода дать? 8)

AndrewSumin Oct 16 2011 at 23:20

Пример кода из поста теперь выглядит так

shadowjack Oct 16 2011 at 23:30

Прекрасно, но ведь бывает ещё position: fixed (это, кстати, обсуждается двумя ветками комментариев выше).

Берём такой код:

<div class="alertFade" style="top: 0; left: 0; width: 100%; height: 100%; background-color: pink; z-index: 65535; opacity: 1;">
<div style="padding-top: 100px;"><h1>Привет, мейлрушники! 8)</h1></div>
</div>

Видим старое доброе:

Т.о. проблема использования существующего класса с нежелательными свойствами осталась.

AndrewSumin Oct 16 2011 at 23:35

С классами будем разбираться, но в ночь с воскресенья на понедельник этого лучше не делать.

shadowjack Oct 16 2011 at 23:36

;-)

AndrewSumin Oct 17 2011 at 00:02

Хотя есть одна идея.

shadowjack Oct 17 2011 at 00:11

Ну, можно запилить alertFade и сделать inline-овое позиционирование там, где оно нужно.
Или сделать название этого класса рандомным.

AndrewSumin Oct 17 2011 at 01:00

done

shadowjack Oct 17 2011 at 01:10

Счастье, радость!

AndrewSumin Oct 17 2011 at 01:12

Да уж, были совсем другие планы на вечер twitter.com/#!/AndrewSumin/status/125621656117985280

danikin Oct 16 2011 at 23:29

Да. И проблема после починки больше не повторяется. Если у вас она все равно повторяется, то, пожалуйста, сообщите.

P.S.

Еще раз спасибо, что нашли баг!

shadowjack Oct 16 2011 at 23:30

Ответил выше.

mclander Oct 16 2011 at 22:13

меня больше парит, что письма в папке спам остаются отмеченные, как не прочитанные. И соответственного «горят» в количестве непрочитанных писем. Ну и какое-то загадочное сообщение в агенте, которое «горит» в интерфейсе и нереально доставляет. Письмо невозможно ни удалить ни прочитать.

smart Oct 17 2011 at 01:00

Эх, как было бы прекрасно, если б каждый, кто находит проблему, сначала сообщал бы о ней в соответствующую компанию, а потом уже писал пост на Хабре…

shadowjack Oct 17 2011 at 01:05

Было бы прекрасно, если бы баг-репортеры получали что-нибудь за свои репорты. 8)

note Oct 17 2011 at 04:32

Вы получаете более качественный продукт :)

Делая же обзоры любых уязвимостей до их исправления, вы повышаете вероятность попадания других пользователей в нехорошую ситуацию.

Для нашей команды очень важна обратная связь. Сейчас много что меняется, многое улучшается, многое переписывается с нуля. Во время этого перерождения очень сложно не ошибиться, учитывая масштабы проекта и его возраст со всеми вытекающими из этого последствиями. И, как бы это банально не звучало, мы очень стараемся и прикладываем все возможные усилия для улучшения качества наших сайтов.

Надеюсь, что наши старания будут вознаграждены отзывами довольных пользователей, баг-репортами не очень довольных и конструктивной критикой совсем недовольных :)

shadowjack Oct 17 2011 at 12:04

Я получаю более качественный продукт используя Gmail. 8)

Kindman Oct 17 2011 at 09:10

Бесполезно в MAIL-RU о каких-то проблемах сообщать — как об стенку горох.

Сколько раз их просил, чтоб они сделали наконец-таки возможность входа в веб-интерфейс по HTTPS, что-то типа mail.ru а, воз и ныне там.

shadowjack Oct 17 2011 at 12:13

<form method="post" action="https://auth.mail.ru/cgi-bin/auth" name="Auth"… >

Хм-м?..

Kindman Oct 17 2011 at 14:12

А, это ничего, что оно редиректит с кодом 302 сначала на
e.mail.ru/cgi-bin/start а затем на e.mail.ru/cgi-bin/login
и не дает работать по HTTPS?

shadowjack Oct 17 2011 at 14:15

Вы хотите безопасную авторизацию или же чтобы абсолютно всё работало по https?

Andorfin Oct 23 2011 at 00:03

Мы хотим достойную, не глючную, защищенную почту! Даёшь интернет ,.ля...?