Привет, меня зовут Артур де Хаан, и я отвечаю за тестирование и системное проектирование в Windows Live. Я бы хотел дать вам заглянуть за кулисы Hotmail, и рассказать вам больше о том, что необходимо для создания, развертывания и запуска Windows Live Hotmail в таких глобальных масштабах.

В продолжении поста "Ресурсы по поиску качественных иконок" представляю свою коллекцию сайтов, на которых вы найдёте очень(!) много качественных наборов иконок. Все сайты проверены руками, следовательно открываются и скачиваются легко.

Ко всеобщему удивлению в сети появился трейлер фильма по игре, который можно смотреть (и даже пересматривать), а сам фильм — ждать и надеяться, что он будет хотя бы на половину также хорош.

Только-только был опубликован хабратопик про «Фактор света» как я наткнулся на видео японского происхождения, в котором используется тот же эффект, что и на фотографиях «Фактора света». Получилось очень забавное видео:

Остальные видео опубликованные этим пользователем.

Все помнят про эротическую тему во флэш-ролике Корбина телеком (http://home.corbina.ru/). Сейчас ролик поменяли, но «тема» осталась.


Инструкция: Одновременно — держим пробел и жмем на кнопку просмотра (нажми и смотри)

Обычно при вёрстке текстов для веба на оформление цитат не обращают достаточного внимания. Стараясь исправить это досадное недоразумение, мы коснёмся двух вопросов: типографического оформления цитат (в той части, где чаще всего допускаются ошибки при вёрстке) и реализации этого оформления в HTML-коде.

Мы также не будем касаться вопросов проверки смысловой точности цитирования, правильного использования купюр, сокращений и дополнений — всех интересующихся ждёт «Справочник издателя и автора» А. Э. Мильчина и Л. К. Чельцовой.

Надеемся, что эту запись будет удобно использовать как справочник по часто встречающимся вопросам оформления цитат.

Проработав пять лет в различных командах в Майкрософт я вынес несколько вещей, о которых я даже не подозревал, когда оканчивал колледж. Основные ценности, чему я научился, вынесенные уроки, причина моего крика на друзей, как ни называй, они сослужили мне хорошую службу.

Некоторые из этих вещей специфичны для Майкрософт, но большая часть найдет применение в любой командной/корпоративной среде. Некоторые из них сложны – из-за них тебя могут уволить (а может и хуже), если ты не знаешь, что делаешь.

Анонсированный некоторое время назад Слет UserGroup состоялся — встреча стартаперов благополучно совмещена с рассказом о возможностях Microsoft, шашлыком, пивом и просто приятным общением на природе.

Для тех, кому интересно — рассказ о том, как это было (будет повод приехать в следующий раз;))

Недавно нашел интересный сервис — он позволял оставлять на нем свои пароли от разных сайтов и, при желании, постить при желании на все эти сайты сразу из одного интерфейса.

Я сам таким не пользуюсь и плохо понимаю зачем такие сайты нужны, но мне стало интересно, насколько же защищены пароли пользователей на этих сайтах?

Полазив по сервису, нашёл парочку дырок с XSS-уязвимостью. Но на каком сайте их не бывает? Даже на хабре вон не все еще закрыли (хотя хабр и не хранит чужие пароли, ему простительно).

Еще больше я был удивлен, когда узнал, что сменить пароль пользователя и любую его информацию на этом сервисе можно обладая всего лишь его кукой. Такой простой вещи, как ограничение сессий по IP там нет, не говоря уже о требовании ввести пароль при смене критичных данных. А это уже совсем непростительно, даже на хабре такого неуважения к безопасности нет.

Но это не самое смешное. Случайно я обнаружил, что если сменить свой емейл в профиле, то система радостно отправляет на новый емейл незашифрованный пароль пользователя. Это уже ни в какие ворота. Мало того, что даже хранить незашифрованный пароль пользователя нельзя, но отсылать его по почте в открытом виде кому попало…

Все это мне стало настолько интересно, что я решил узнать, что же может добиться хакер на этом сайте?

Написав небольшой скриптик и применив немного психологии (чтобы заставить людей зайти на мой профиль, на котором был этот скрипт), я получил в открытом виде пароли около 400 пользователей сервиса. Учитывая, что 80 и больше процентов людей используют один и тот же пароль на нескольких сайтах (а иногда и на почте), а список сайтов, на которых зарегистрирован пользователь, можно найти прямо в его профиле (это основная «фишка» того сервиса, о котором идет речь), то получается просто рай для злоумышленников.

Написав совсем немного кода на JS можно получить доступ к паролю человека, постить от его имени в другие его блоги (если он настроил эту «фичу» на сервисе), при удаче (или неосторожности пользователя) получить доступ к его аккаунтам на других сайтах.

Что же это за замечательный сервис?
Это bestpersons.ru, программисты которого с гордостью писали о найденных XSS на самом Jaiku! UPD: уже не гордятся :(

Удачи тем, кто использует сервисы, «объединяющие сайты».

з.ы. а еще они предоставляют OpenID ;)

продолжение истории

В эпоху вебдванольности удивляет, что никак не эволюционируют формы для авторизации на сайте. Как были 10 лет назад на Hotmail два поля и кнопка, так и остаются по сей день.
Предлагаю усовершенствовать процесс авторизации, сократив форму до минимума: оставить одно поле.
Суть в том, что пользователь последовательно вводит в одно и то же поле логин и пароль, нажимает два раза на Enter и попадает на сайт. Таким образом экономится место на сайте и уменьшается количество нажатий на кнопки.


В качестве примера сделал такую формочку.
Интересно было бы услышать мнения.

Джим Хилл снова отвечает на вопросы о Диснее. На этот раз Джим попытается составить полный список всех «пасхальных яиц» и ссылок на другие работы студии в анимационных фильмах Пиксара.

Пишет Берни В:
Джим, не могли бы вы помочь мне выиграть спор? Мой коллега сказал мне, что робот WALL-E появляется в небольшом камео в мультфильме «Рататуй». А самое главное, он поспорил со мной на 100 долларов, заявив, что я никогда не смогу найти робота в этом мультике.



Я взял DVD «Рататуй» у своего ребенка и пересмотрел его три раза, но не заметил даже намека на WALL-E. Если я предложу вам процент с моего выигрыша, вы подскажете мне, где можно найти этого робота в фильме?

Заранее спасибо за помощь, Берни В.