Securelist.com — XSS и SQL Injection уязвимости

[@itspoma]

молодец! =)
что самое интересное и неожиданное — что пишут о безопасности, и сами не могут себя защитить…

[@ssve]

Зато, теоретически, могут посадить

[@itspoma]

даже не теоретически, а практически )
ну в большом счете это будет зависить от администрации сайта, от их совести.
автор топика же с хорошими намерениями все это делал,
целью не было сделай дефайс, или удалить все файлы, ..etc, а показать и виправить ошибки в работе сайта.
плюс он сообщил о своих дейсвиях, и о найденых багах.
— в «народе» это называется «белый взлом», или «белый хак», когда цель — помочь сайту, а не навредить ему.

[@ssve]

В доблестной милиции, при случае, с удовольствием послушают про «белый хак»

[@itspoma]

Белый хакер — по натуре не злодей — поэтому тонкости хакерского дела ему нужны, чтобы как раз обеспечивать безопасность. Это специалист, который взламывает систему, чтобы указать владельцу ее слабые места.
«Черные» же используют эти дыры в программном коде для того, чтобы шантажировать владельца и зарабатывать на этом деньги.
«Но «белым» хакерам по уровню знаний далеко до «черных» — мотиваций профессионального роста у вторых больше: сколько взломал — столько заработал»

tutamc.com/node/218

[@logka]

Ага, расскажи ментам, что Робин-Гут не разбойник ;)

[@Zibx]

За изменение своих куков на своей машине, и за их ошибки с фильтрацией xss статья? Пользователь то ничего толком не делал противозаконного. Он вводил данные туда, куда их было можно вводить.

[@TuKTeeK]

Есть такая формулировка в УКРФ, как несанкционированный доступ. Так что вводить можно все что угодно, а вот санкций на вход в админку у товарища явно не было. Так что это все на свой страх и риск.

[@missTerr]

С одной стороны — это «статья» и автор явно палится, но с другой, претензии со стороны ЛК вызовут шумиху и при таком раскладе, ощутимо ударят по их репутации).

[@skobkin]

А надо бы предложить работу ;)

[@ssve]

Так статистику раскрываемости надо повышать

[@Setti]

Когда-то для своего местечкового сообщества роллеров писал много всяких штук без всяких фильтров. Потому что как бы «для своих». А когда таких своих стало слишком много, начались проблемы.

[@SychevIgor]

из серии-" У сапожника всегда свои сапоги дырявые"

[@Surgeon]

Спасибо.интересно.люблю читать подобное:)

[@ssve]

Уронили Мишку на пол, оторвали Мишке яйки

:D

[@beezzee]

после «интернета по паспорту» как-то неприятно теперь касаться продуктов касперского…

[@eigrad]

На мой взгляд это грязный пиар securelist.com/ru/. Не верю я что у таких компаний бывают такие дырявые сайты. Если ошибаюсь — автор молодец. Касперский в любом случае отстой.

[@LMaster]

Вот хотел я написать, что это не пиар (слишком уж черный), но передумал, видимо, зря. А качество продуктов ЛК я тут не обсуждаю.

[@ssve]

KIS 2010 — молодец

[@skobkin]

Касперский — мощный антивирь в руках растущих из нужного места. Хотя, многим, у которых с руками и головой все в порядке — достаточно чего-то более простого.

[@eigrad]

Например Linux'а.

[@skobkin]

Да. Использую сам. Однако, если судить об антивирусах — линукс будет оффтопиком.

[@friday]

> На сайте есть блог, в котором постяться сотрудники ЛК

А также молятЬся и слушаютЬ радио «Радонеж».

[@int20]

«РадонежЪ»!

[@Raz0r]

Пару часов я потратил на то, чтобы добиться нормального Blind-вывода.

blind-вывод звучит как оксюморон. Пара часов от AND 1=1 до (SELECT ascii(substring(version(),1,1))) стоит сказать очень долго

[@RiderSx]

О ужас… css сломался :(

[@fatum]

вы не туда статью написали

вот напишите ее на xakep.ru — вам еще и гонорар могут выплатить

еще в таких статьях нужно делать преамбулу как в сауспарке для защиты от дурака, мол все чисто для ознакомительных целей и любые совпадения случайны )

[@Vayun]

Кстати интересно. Когда сохраняешь на peeep.us какую-то страницу. Теоретически, если она содержит вредоносный javascript, он может стырить куки от peeep.us? Ведь страница по сути грузится с домена peeep.us.

[@SLashRU]

Решил поискать как kis блокирует xss (это было в комментариях на их сайте), но наткнулся на то, что для касперского XSS это не впервые: news.softpedia.com/news/Symantec-and-Kaspersky-Websites-XSSed-109559.shtml

[@LMaster]

Я вставил скрипт, передающий данные (cookie) на мой php-скрипт.

[@z00]

ясен пень, некогда блогом заниматься, все заняты выбиванием бабла из государства на безопасный интернет.

[@sunnybear]

да, вот они — развлечения лихой молодости :)

[@LMaster]

Ой, да не говори!

[@TiGR]

Странно. OpenDNS считает этот сайт порнографическим… К чему бы это? :)

[@egorinsk]

Вот такакя фигня выходит, когда десктопные программисты берутся за сайты. Не подпускайте их к этому делу!

[@nicothin]

>> На сайте есть блог, в котором постяться сотрудники ЛК.

не сочтите стебом, но посмотрите в словаре, что означает слово «поститься».

[@int20]

Не сочтите издевательством, но даже в значении слова «постится», как «соблюдает правила поста» всё равно отсутствует мягкий знак.

Спасибо, пожалуйста.

[@nicothin]

да ничего. пожалуйста. спасибо.

что делать? — поститься (соблюдать пост).

[@int20]

Спасибо, пожалуйста. Действительно, не подумала, что вы имели в виду такую форму. ;)

[@AndrewTishkin]

Но всё равно, в сабже-то «постяться» ни к селу, ни к городу. Сотрудники что делают? — Постятся
А вообще все эти хитросплетения легко выкидываются. Люди, пишите проще :)
«Блоги, в которых отписываются сотрудники», «блоги, в которых сотрудники ЛК оставляют посты» (а ещё лучше «записи»)… Вариантов можно придумать массу

[@x1shn1k]

Ответ на Вашу тему от ЛК www.securelist.com/ru/weblog/34128/V_odnu_reku_ne_voyti_dvazhdy

[@MagicWolf]

«Молодцы», обвинили автора в неэтичности и толсто намекнули на уголовный кодекс.

ИМХО, после такого отношения на уважение профессионалов по безопасности рассчитывать не стоит.

[@AndrewTishkin]

Там в комментариях сильно автора пропесочили ;-) Александр Гостев аж вскипел )))

[@MagicWolf]

Теперь понятно, почему у сайтов касперского feedback лажает. Ответственный вскипает вместо работы: «Написано же все!».
О usability видимо представления нет.

Помню, тоже хотел как-то баг запостить, потратил час (!) своего времени, чтобы найти куда. И мне еще сказали «а теперь возьмите свой баг репорт и отправьте его примерно туда-то, в общем найдете где». Так я и сменил антивирус.

[@fedor7]

© ЗАО «Лаборатория Касперского», 1997-2009
Ведущий производитель систем защиты от вирусов, спама и хакерских атак
— в футере «пострадавшего» :))