@shadowjack15 окт 2011 в 17:41

HTML/CSS-инъекция в почте Mail.Ru

2 мин

17K

Информационная безопасность *

+86

Комментарии 63

@format1981 15 окт 2011 в 18:09

Я и впрямь стал задумываться о переезде с mail.ru.

@radarlog 15 окт 2011 в 18:19

давно пора)

@lomalkin 16 окт 2011 в 00:10

Однако лучше поздно, чем никогда.

@Pingvi 15 окт 2011 в 18:26

Не прошло и полугода и вот она — новая уязвимость.
shadowjack конечно mail.ru оповестили об этом.

@shadowjack 15 окт 2011 в 19:00

Судя по блоку «Похожие посты» справа, не прошло и месяца. 8)

@Pingvi 15 окт 2011 в 19:05

я образно сказал. не хотел расстраивать программистов с майла

@fluxion 15 окт 2011 в 21:27

Месячные у мэйлрушечки.

@xjunkiex 16 окт 2011 в 03:56

мне кажется что разработчики mail.ru используют совсем другую почту :-)
www.google.com/a/mail.ru/

@INIT 16 окт 2011 в 11:29

а программисты Яндекса видимо этим да?
www.google.com/a/yandex.ru/

@gotanda 16 окт 2011 в 18:18

У меня вопрос возник: у меня есть почта тут www.google.com/a/dezcom.org. Почтовый адрес записывается как *****@dezcom.org. Значит ли это что моя почта *****@yandex.ru расположена тоже на серверах гугл?

@GraDea 16 окт 2011 в 12:57

Может они всю почту там хостят, а на mail.ru просто обертка, местами кривая? bk.ru и list.ru тоже есть.

@mokaton 16 окт 2011 в 21:15

Ну с другой стороны можно сказать спасибо mail.ru, за то что они допускают такие баги и кто-то их находит и «выводит на чистую воду». Теперь хоть многие вебмастеры и прочие программисты не будут делать подобных косяков в своих проектах! :)

@Anexroid 15 окт 2011 в 18:55

Поэтому вообще стараюсь не использовать web-интерфейсы. Всё через почтовые клиенты

@ZyL 15 окт 2011 в 18:57

Вообще есть такой софт, называется IBM AppScan, его натравливают на сайт и он выдает всякого рода уязвимости. К сожалению, он отнюдь не open source и стоит по-моему 34 000 USD за лицензию. У нас на работе используется, выдает очень подробный отчет с осмысленным текстом, как именно проводился «взлом», какого рода уязвимость и т.д. К сожалению, наш нельзя натравить на чужой сайт, а то я бы свои попробовал прогнать.

@bulka_by 15 окт 2011 в 19:14

Что-то мне подсказывает, что для такой компании, как Mail.ru, купить программку за жалких (для ее уровня дохода) 34к уе — это как бе не проблема. Другое дело, лично я сомневаюсь в пользе от данной «утилиты» для проекта Mail.ru и всех его сервисов.

@shadowjack 15 окт 2011 в 19:18

Тестеры обычно пишут свои наборы тестов, скрипты и т.д.
Тут такое чувство, что новую почту mail.ru выкатили в продакшн без тестирования.

@GapCoder 16 окт 2011 в 10:08

as usual

@timukas 16 окт 2011 в 10:40

в последнее время я часто замечаю, что всё тестирование происходит в продакшнах, на живых клиентах и настоящими деньгами

@megasua 16 окт 2011 в 15:30

Наверное в этом есть какой-то смысл, пока оттестируешь — аудитория может уйти на другой сервис, а если сервис актуальный, то пользователи простят ошибки (при условии если своевременно, по мере развития продукта, ошибки исправлять).

НЛО прилетело и опубликовало эту надпись здесь

@zyaleniyeg 16 окт 2011 в 18:31

аник хороший, но не совсем понятно к чему он тут?

@FractalizeR 15 окт 2011 в 19:21

Еще есть MaxPatrol: ptsecurity.com/

@bulka_by 15 окт 2011 в 19:26

Не бывший ли XSpider это случаем?

@FractalizeR 16 окт 2011 в 07:33

Да, он.

@Bo0oM 16 окт 2011 в 13:29

Это отдельный продукт. XSpider всё ещё поддерживается (недавно вышла новая версия с новым интерфейсом), но парол лучше (и дороже)

@Acuna 1 дек 2013 в 11:30

«Service Temporarily Unavailable» при попытке скачивания продукта за 34 000 USD — это печалька(

@elliadan 15 окт 2011 в 19:29

Прощу прощения за, возможно, несерьезный тон моего коммента, но блин я фигею с этиъ мейлрушечек!!!11 Еще одна уязвимость, не прошло и месяца. ~~А они еще борятся за звание дома выской культуры быта!~~ А они в это время, блин, пилят аську и пиарят свой агент.

@lampa 15 окт 2011 в 19:42

На mail.ru нельзя выделять даже письма нормально. Сиди и щелкай по чекбоксам.

@Klaster 16 окт 2011 в 01:29

>>Эта винда со своими скучными обоями, меняешь их меняешь…

@xjunkiex 16 окт 2011 в 03:51

можно настроить сбор почты на тот же gmail и юзать short-key

@lampa 16 окт 2011 в 06:59

У меня основная почта на yandex.ru, которая и собирает со всех других ящиков письма :)

@EvgeniyLazarev 16 окт 2011 в 08:44

А нормально — это как?
Не из праздного любопытства интересуюсь :)

@lampa 16 окт 2011 в 08:46

Вы наверно знаете, как в проводнике windows можно выделять файлы с помощью зажатия левой кнопки мыши? Вот хотелось бы так-же.

@datacompboy 16 окт 2011 в 06:10

Нда. А поставить position: relative для блока с письмом, видимо, было никак.

@DmitryKoterov 16 окт 2011 в 07:13

Только на position:absolute, а overflow:hidden. Это бы помогло от данного вида проблемы, наверное.

@datacompboy 16 окт 2011 в 07:26

Да, overflow тоже нужен.
Position: relative надо чтобы у любых блоков внутри position:absolute отсчитывалось от текущего блока, а не от окна;
А overflow:hidden нужен, чтобы отрицательные координаты не могли вылезти наружу.

@shadowjack 16 окт 2011 в 07:50

А ещё бывает position: fixed, от которого никакое relative и overflow не поможет. 8)

@smartov 16 окт 2011 в 12:42

mail.ru – было есть и будет ещё долго решето с дырками такого размера, что подходит для отсеивания футбольных мячей от баскетбольных. Невзирая на присутсвие на Хабре инженеров по безопасности mail.ru, которые недавно горячо убеждали хабраобщественность, что работа над улучшением и углублением кипит. Самое смешное, что судя по количеству плюсов, за тот комментарий, писать пламенные речи пока получается гораздо лучше, чем работать над безопасностью.

@V_Komissarova 16 окт 2011 в 17:59

Баг исправлен. Автору поста — спасибо :)

@shadowjack 16 окт 2011 в 18:11

Хм-м, а Вы уверены? 8)

@danikin 16 окт 2011 в 19:13

Первый раз починили вылезание сверху и слева. Теперь зачинили справа и снизу. Можете повторить проблему?

@shadowjack 16 окт 2011 в 19:16

Проблема описана в посте.
Вам пример кода дать? 8)

@AndrewSumin 16 окт 2011 в 19:20

Пример кода из поста теперь выглядит так

@shadowjack 16 окт 2011 в 19:30

Прекрасно, но ведь бывает ещё position: fixed (это, кстати, обсуждается двумя ветками комментариев выше).

Берём такой код:

<div class="alertFade" style="top: 0; left: 0; width: 100%; height: 100%; background-color: pink; z-index: 65535; opacity: 1;">
<div style="padding-top: 100px;"><h1>Привет, мейлрушники! 8)</h1></div>
</div>

Видим старое доброе:

Т.о. проблема использования существующего класса с нежелательными свойствами осталась.

@AndrewSumin 16 окт 2011 в 19:35

С классами будем разбираться, но в ночь с воскресенья на понедельник этого лучше не делать.

@shadowjack 16 окт 2011 в 19:36

;-)

@AndrewSumin 16 окт 2011 в 20:02

Хотя есть одна идея.

@shadowjack 16 окт 2011 в 20:11

Ну, можно запилить alertFade и сделать inline-овое позиционирование там, где оно нужно.
Или сделать название этого класса рандомным.

@AndrewSumin 16 окт 2011 в 21:00

done

@shadowjack 16 окт 2011 в 21:10

Счастье, радость!

@AndrewSumin 16 окт 2011 в 21:12

Да уж, были совсем другие планы на вечер twitter.com/#!/AndrewSumin/status/125621656117985280

@danikin 16 окт 2011 в 19:29

Да. И проблема после починки больше не повторяется. Если у вас она все равно повторяется, то, пожалуйста, сообщите.

P.S.

Еще раз спасибо, что нашли баг!

@shadowjack 16 окт 2011 в 19:30

Ответил выше.

@mclander 16 окт 2011 в 18:13

меня больше парит, что письма в папке спам остаются отмеченные, как не прочитанные. И соответственного «горят» в количестве непрочитанных писем. Ну и какое-то загадочное сообщение в агенте, которое «горит» в интерфейсе и нереально доставляет. Письмо невозможно ни удалить ни прочитать.

@smart 16 окт 2011 в 21:00

Эх, как было бы прекрасно, если б каждый, кто находит проблему, сначала сообщал бы о ней в соответствующую компанию, а потом уже писал пост на Хабре…

@shadowjack 16 окт 2011 в 21:05

Было бы прекрасно, если бы баг-репортеры получали что-нибудь за свои репорты. 8)

@note 17 окт 2011 в 00:32

Вы получаете более качественный продукт :)

Делая же обзоры любых уязвимостей до их исправления, вы повышаете вероятность попадания других пользователей в нехорошую ситуацию.

Для нашей команды очень важна обратная связь. Сейчас много что меняется, многое улучшается, многое переписывается с нуля. Во время этого перерождения очень сложно не ошибиться, учитывая масштабы проекта и его возраст со всеми вытекающими из этого последствиями. И, как бы это банально не звучало, мы очень стараемся и прикладываем все возможные усилия для улучшения качества наших сайтов.

Надеюсь, что наши старания будут вознаграждены отзывами довольных пользователей, баг-репортами не очень довольных и конструктивной критикой совсем недовольных :)

@shadowjack 17 окт 2011 в 08:04

Я получаю более качественный продукт используя Gmail. 8)

@Kindman 17 окт 2011 в 05:10

Бесполезно в MAIL-RU о каких-то проблемах сообщать — как об стенку горох.

Сколько раз их просил, чтоб они сделали наконец-таки возможность входа в веб-интерфейс по HTTPS, что-то типа mail.ru а, воз и ныне там.

@shadowjack 17 окт 2011 в 08:13

<form method="post" action="https://auth.mail.ru/cgi-bin/auth" name="Auth"… >

Хм-м?..

@Kindman 17 окт 2011 в 10:12

А, это ничего, что оно редиректит с кодом 302 сначала на
e.mail.ru/cgi-bin/start а затем на e.mail.ru/cgi-bin/login
и не дает работать по HTTPS?

@shadowjack 17 окт 2011 в 10:15

Вы хотите безопасную авторизацию или же чтобы абсолютно всё работало по https?

@Andorfin 22 окт 2011 в 20:03

Мы хотим достойную, не глючную, защищенную почту! Даёшь интернет ,.ля...?

Зарегистрируйтесь на Хабре, чтобы оставить комментарий