XSS на Яндексе

[arestov]

серьёзно

[absolvo]

Уже не аллё.
Утка или за 30 минут поправили?

[Oxyd]

Работает!

[absolvo]

Точно - невнимательно прочёл топик.

[Oxyd]

О! Шушпанчик! Работает!

[GogA]

Видимо уже поправили.
Хотя слабо верится с таким простым запросом…

Помню только один XSS, который был при проверке роботс.тхт

[GogA]

Сорри, забыл нажать на расширенный поиск :)

[absolvo]

Видимо сказывается ночь и накопленная усталость - я тоже позабыл )

[GogA]

Вот так бы небыло непоняток:

Переходим по ссылке и жмем в расширенный поиск.

[absolvo]

Согласен - так очевидней, полпятого ночи то)

[amosh]

точно
зашел на яндекс по вашей ссылке и увидел строчку носкрипта "NoScript отфильтровал потенциальную XSS-атаку (попытку межсайтового скриптинга) с сайта [habrahabr.ru]"
надо же :)

[altmind]

Кто без дырок. Я сам нашел одну на bs.yandex.ru (рекламный хост) ;)
К сожалению, сообщил в саппорт.
эх, былое, былое... как я был наивен...

[GogA]

> СПАСИБО!

[cookie]

Так, ушлые пользователи сразу найдут 100000 багов... по 100$ и разорится компания Yandex :)

[nblxa]

Ну уж не разорится, достаточно грамотно прописать условия вознаграждения.
Зато портал станет безопаснее...

[Accko]

а надо вычитать из зарплаты прогеров:)

[mix2000]

Лера Страза
охренеть %)

[Mazikk]

У меня работает... Интересно, что ответит "Яндекс"...

[egyptian]

Не работает. NoScript не дремлет :)

[sunnybear]

Вы не заметили, что этим постом мне удалось убедить нажать на эту кнопку сотни человек :) Да, я не злоумышленник, но ведь всякое бывает, правда? :)

[Bakti9rov]

да... распугаешь тут всех alert'ом)

[myiworm]

ничего особого, на яндексе xss немало.
оповещал саппорт по трем xss в разных сервисах(блоги, карта, шоп) гдето в середине октября 2007, 24.10.07 пришел ответ:

Здравствуйте!
Большое спасибо за информацию, я передам ее разработчикам.
--
С уважением, Тимофей Журавлев
Служба поддержки Яндекс.Ру
http://help.yandex.ru/

на настоящее время две XSS так и работают...

[myiworm]

чтобы не быть голословным:
http://market.yandex.ru/model.xml?hid=90…';alert('XSS');//
и таких багов на данный момент там много.

[myiworm]

урл побился...
hxxp://market.yandex.ru/model.xml?
hid=90639&modelid=1039364&a=';alert('xss');//

[Robust]

Да. Здесь посерьезней, чем в топике.

[ppv]

FF не ревгирует

[GogA]

Всё работало, уже закрыло.

Чтобы быстрей исправили баг — надо отправить его в паблик :)

[myiworm]

+ ещё такая же:
hxxp://help.yandex.ru/partner/?id=996706&a='+eval('alert(1)')+'

заходим и кликаем на линк "войти" в верхнем правом углу :)

[Stepanow]

Доработал чуток =)

help.yandex.ru/partner/?id=996706&a='+eval('alert(unescape("%u041D%u0435%20%u0432%u0445%u043E%u0434%u0438%u0442%u044C%21%20%3D%29%20"))')+'

заходим и кликаем "войти" в верхнем правом углу. =)

Может это обсуждение на Хабре сподвигнет Яндекс таки заняться вопросами безопасности?

[Belgorod]

у меня все работает. офигеть =)

[Bakti9rov]

ну и что? XSS неопасный какой-то) Приведите пример опасного XSS!

[myiworm]

ага, страшного, который венду убивает:)

[Mastyf]

http://habrahabr.ru/blog/infosecurity/34…

Да нет, всего-лишь украдут ваш аккаут и Я.Кошелек на котором все ваши сбережения :)

[veged]

с помощью этого xss Я.Кошелёк конечно же нельзя украсть. Платёжный пароль нигде никак не хранится.

[Robust]

Через XSS можно куки получить, и, если вы были залогированны на сайте...
Слышали когда-нибудь про подмену сессии?

[Stepanow]

А в чём физическая угроза такого бага для ресурса? В браузере пользователя выполняется его-же javascript-код. Ну если хотя-бы не нужно было открывать расширенный поиск, а всплывающее диалоговое окошко выскакивало сразу - тогда ещё понятно - нехороший человек мог бы давать ссылку на ресурс, переходя по которой я видел бы окошко с какой-нибудь гадостью, или ложной информацией. А так... Объясните в чём собака зарыта.

[IlVin]

А ничего страшного в этом нет.
Ну подумаешь, хакер куку уведет, по которой происходит авторизация юзера...
Ну в директе перерасход бабала организует, ну почтовый ящик уведет.
Это же все ерунда... Не страшно...

[Stepanow]

Но для этого-же надо перейти по кнопке "расширенный поиск". Ожидать что адекватный пользователь захочет нажать расширенный поиск видя в окне поиска javascript-код, а не слово "колбаса" к примеру, мне кажется наивным. То что дыра в заборе есть это очевидно, но только расположена она на уровне второго этажа. Может поэтому и не спешат затыкать.

[Mastyf]

Посмотрите выше, там есть серьезнее баги, которые даже нажатия на "Расширенный поиск" не требуют.

[Stepanow]

Задал не праздный вопрос, который интересует многих, зиминусовали до смерти. Про последствия (хакер куку уведет, по которой происходит авторизация юзера...
Ну в директе перерасход бабала организует, ну почтовый ящик уведет.
) про которые написал IlVin выше как-раз не было. Про другие баги почитал, один код даже доработал (см. выше) =)

[IlVin]

А у нас цель не эксплуатировать дырку, а научить Яндекс таких дырок не делать. Вот для нас эта дырка очевидна. И ее последствия тоже очевидны. А для разработчиков и тестеров Яндекса не очевидна. Так давайте шуметь вокруг этих дырок на втором этаже, чтобы они не допустили таких же дырок в подвале :)

[cruzoe]

вот, к примеру, миллион долларов за дыркой лежит - не полезете? (к тому, что плохая аналогия)

[sanch3z]

Помимо уведения конфиденциальной информации, можно воспользоваться какой-либо уязвимостью браузера. Если у жертвы ИЕ 6.0, то - большой простор для деятельности.

[HeadWithoutBrains]

Судя по развитию комментов в данном топике через пару часов тут уже ломанут яндекс, и возьмутся за гугл :) . А вообще, sunnybear, вам "решпект" за то что сообщили о дырке, а не просто утаили, или например попробовали воспользоватся, или хуже - кому то продать инфу о ней.

[akmute]

10:49 - Еще работает)))

[yoshitoshi]

2016 год, 15 декабря, 10:22 - все еще работает...

[ppv]

Забудьте о Яндексе в 2016 году.
Don't be evil.

[lev]

2 sunnybear:
некрасиво поступаете, Андрей публиковал эту информацию с несколько иными целями

[sunnybear]

по поводу "нехорошо" может быть много разных мнений.

Здесь я доношу до общественности то, что может быть до нее донесено. Чем больше будет общественный резонанс, тем быстрее ситуация будет исправлена (по крайней мере, эти вещи коррелируют). Возможно, Андрей, не этого хотел своим письмом. Но если бы он этого не хотел, то прямо бы написал об этом.

[boris]

Дело в том, что информация была опубликована на закрытом листе, и вы нарушили правило распространения информации (3.1).
При этом, судя по вашему профилю, вы себе эту "заметку" уже внесли в список "О себе", не указав на источник/автора. Некрасиво.

[sunnybear]

конкретно в этом пункте я с Вами соглашусь.

Но мне лично не совсем понятно, как давать ссылку на закрытый лист (он же закрытый, да еще и лист).

В профиле список опубликованных подо мною статей/переводов на этом ресурсе. По какой именно ссылке на этом ресурсе он доступен, не играет большой роли.

[boris]

Ссылку на источник и автора можно дать словесно, если автор вообще давал разршение на вынос информации. Думаю, вы это и сами понимаете. Никто не говорит о технической гиперссылке на письмо.
Хорошо, что мы поняли друг друга.

[megabrain]

Да, наверное, уже давно кто-то преспокойно собирает куки, ибо пользователей яндекса в рунете хватает. Вопрос-то в другом! Почему разработчики так пофигистически относятся к волонтерам, которые сообщают им о весьма существенный ошибках? Почему такие тормоза? Неужели нужна широченная огласка в сети, чтобы они заметили ошибку? Помню был вариант xss на mail.ru. Там передавалась строка с количеством входящих писем: можно было подставить алерт с отсылкой куков и жить себе преспокойно. Вот только прикрыли эту дырку моментально.

[Setti]

До сих пор работает. Я в шоке!

[0day]

Я не вижу ничего особо опасного в данной XSS. Эта XSS является пассивной, даже дважды пассивной. Т.е. мы должны заставить юзера перейти по этой ссылке, потом на открывшейся странице заставить нажать его еще одну ссылку. Сомневаюсь, что при проведении атаки найдется хоть один нормальный человек, который это сделает и ничего не заподозрит. Пассивных XSS на Яндексе хватает. Более опасными являются активные XSS, но если на Яндексе они и есть, то находятся строго в "привате".

Что касается заявлений о том, что Яндекс не заботится о своей безопасности и не закрывает дыры — я скажу, что это не совсем так. Пару месяцев назад на Яндексе была такая бага, которая позволяла регистрировать неограниченное число аккаунтов в обход каптчи, за счет перехода сразу на второй шаг регистрации. После уведомления об этом саппорта по e-mail, бага была закрыта менее чем за 24 часа. Деньги за найденные баги они не платят — просто пишут в ответ письмо с благодарностью.

[jiexaspb]

прикрыли

[Virtual_GOD]

я тоже не застал.. а жаль :)

[ppbimix]

не успел насладиться...

[alrond]

Прикрыли, зато от Stepanow еще работает...

[amyot]

Прикрыли и теперь пишут: XSS и Не входить.

[kost_bebix]

Если еще хоть кто-то начнет тему "firefox небезопасен" - пусть попробуют походить по всем этим xss-сайтам с firefox + NoScript.

[Arsenya]

Ага, просто пассивная XSS, которая ничего не делает, вставка html-кода в уязвимый скрипт и все. Еще можно без всякого вреда помглумиться над гуглом и мсн:
http://www.google.com/url?q=http://www.ya.ru
http://search.live.com/act2.aspx?q=49&b=1&url=http://www.yandex.ru