Банки. Ошибки и уязвимости

[@vyacheslav_ka]

что если бы был включен Register_Globals, то можно было бы выполнить XSS.

Там нет register_globals, т.к. битрикс, а это значить что там дотнет. Обзор какой то слишком уж поверхностный получился.

[@DevMan]

С каких пор битрикс стал дотнет?

[@vyacheslav_ka]

Потому что написан на asp .net?

[@DevMan]

Ступил. Забыл, что у них 2-е редакции: PHP и ASP.NET.
Но печенька с названием PHPSESSID намекает :)

[@vyacheslav_ka]

Хм. Тоже ступил. Напрочь забыл о существовании PHP версии, которая, как оказалось, существовала(и существует) до дотнетовской версии.

[@achekalin]

Она и существовала всегда. .Net версия вышла не так давно, как ответ на «ожидания рынка», и насколько она один-в-один повторяет функционал PHP-ной — вопрос.

[@horses]

.Net версия битрикса значительно урезанна, так как предполагаю, что ресурсов на ее разработку выделяется меньше. С недавних пор она вообще не называется битриксом, а зовут ее .NET Forge CMS

[@denim]

не весть какие уязвимости…

[@PavelSandovin]

А банк X на информацию не ответил, а в полицию уже написал?

[@vatt2001]

Неделя тестирования уязвимостией сайтов на хабре всё продолжается и продолжается. Астрологи в недоумении.

[@pr0tect0r]

Самоя большая беда банков — Служба безопасности — они отлично справляются с Оффлайн угрозами, но совершенно не смыслят в IT.
Год назад в Банке Х (тоже) отказалисть от модернизации железа, ибо NT его уже не поддерживает, а W2008 не пропустила Служба безопасности. Не говоря про 98 на ПК сотрудников.

Жесть?! Жесть, ибо банк достаточно крупный.

[@chelovekdimka]

Прикиньте, и это только в России. Сколько ещё в мире банков и сколько у них сайтов. :)

[@dharrya]

Как то поверхностно и скучно, чем помешал слеш у Альфа-Банка? XSS же не заканчивается на <script>alert('ololo');</script>

[@Somewan]

Реквестирую проверку ТКС Банка.
В свете выхода бета-версии ИБ-3, на банки.ру говны вскипали от возмущения, чуть ли не с требованиями заблокировать вход в ИБ-3 по заявке от пользователей.
www.tcsbank.ru/bank/

[@Dr_Logic]

iframe и script не удалось внедрить из-за модуля про-активного фильтра. Значит не зря его ребята из битрикса писали — криворукие интеграторы не смогли создать уязвимость своим быдлокодом.

[@kaygees]

Ломать — не строить.

[@Ekstazi]

Интересно, а <img onerror=""> прошел бы с первым случаем? И еще более извращенные варианты… Думаю, что да.