Похищаем сохраненный в Chrome пароль с помощью XSS

[koreychenko]

Ну, это же несколько искусственный пример, не? Чтобы оно сработало, надо чтобы сошлись следующие звезды:
1. На сайте, от которого нужен пароль, должна быть уязвимая страница.
2. На этой странице должна быть форма, в которую мало того, что можно подставить параметры из УРЛа из Get запроса, так еще и чтобы оно всё выводилось без экранирования.
3. У пользователя должен быть сохранен пароль от этого сайта в браузере.

Ну, т.е. очень маловероятный сценарий ))

[myshenkov]

ну не то чтобы очень малая вероятность)
вполне рабочий пример, да главным условием должно быть наличие уязвимости XSS,

а насчет сохранения паролей в браузере, практика показывает, что так делают почти все

[NikaLapka]

Да легко, ссылка в письме не отличимом от настоящего, с вашими персональными данными и правильным доменном, не вызовет никаких опасений, например, "Геннадий Букин, напоминаем, что срок оплаты страховых взносов,... вы можете легко оплатить онлайн, ваш Банк". В эпоху "слили очередную базу" это рядовой случай. А дальше, очередной скомпрометированный .js счётчика, идентификатора, сколько их таких используется, и на СБЕР, ВТБ, Госуслугах.. ну а пароли как верно подметили, "так делают почти все.

Блин, ещё одна фобия.

[AndreyDmitriev]

У нас на работе весёлые админы постоянно рассылают письма от имени компании, имитирующие фишинговые, выглядящие как настоящие, но с хитрыми ссылками, количество кликов по которым они же и отслеживают. Ну типа смените пароль, проверьте данные профиля и т.д. Раз в квартал такая учебная тревога прилетает, и народ вроде научился не щёлкать куда попало, а помечать их как фишинговые.

[saboteur_kiev]

Говорят сотовые провайдеры в РФ легко вставляют в html свой код

[koreychenko]

И не только в РФ. Однако, с https это не работает.

[saboteur_kiev]

MIM, и какой-нить админ внутри компании может стырить данные карточек сотрудников.

[jakobz]

А если кнопку ОК сделать прозрачной для кликов (pointer-events: none), и подставить над вашей кнопкой?

[myshenkov]

кстати да, сработает) тогда в случае кипасса отстаётся только надеяться, что база не разблокирована в текущий момент

[Urub]

поясните правильно ли я понял:
1. пользователь зашел на "неблагонадежный" сайт
2. вылезло какоето окно с кнопкой ОК, которое на самом деле содержит форму ввода логина и пароля, например от сайта какого либо почтовика, а браузер любезно подставил туда логин и пароль
3. при нажатии на ОК именно эти логин и пароль утекают ?

[myshenkov]

логин-пароль будет от того сайта, на котором уязвимость

[Urub]

т.е. с сайта из п.№1 ?

[myshenkov]

ага, но это не обязательно будет "неблагонадёжный" сайт, уязвимость может быть на любом сайте

[Urub]

хм, надо будет попробовать еще раз менеджер паролей - на первой попытке keepassx мне не понравился в удобстве, например для гугла не работал

[tr0thinka]

Cool