All streams
Search
Write a publication
Pull to refresh
5
0.1
hMartin @hMartin

Пользователь

Send message
На своем сайте делаем форму с Post-dat'ой, и по онлоаду передаем форму на чужой скрипт. Не обязательно же делать тоже самое, но во фрейме. Фрейма нет, проверки реферера нет, данные переданы, SAMEORIGIN не помогает.
Для защиты от XSS нужно фильтровать вводимые данные) Если есть на сайте xss, то токены не спасут :(
Данные можно передавать не только во фрейме, можно грубо автосабмитом формы с последующим перенаправлением и sameorigin не поможет.
Это называется жаргон. Давно не следил за этой темой, но если я не ошибаюсь, то единственный «обход» — передаваемые данные уже внутри Js, остальные же извращения регулярно фиксят.
Не все админы правильно формируют регулярки проверки реферера, если вы об этом, например, на хабре, изловчившись, можно было отправить запрос с похожего домена(сейчас fixed) и такое встречается часто.
Если не передаются заголовки на запрет открытия сайта во фрейме(X-Frame-Options: SAMEORIGIN(DENY)), то все проворачивается на раз-два.
В хроме и ие уже стоят фильтры на XSS, осталось дождаться солидарной поддержки со стороны других и забудем о пассивках навсегда :)
XSRF, для обхода фильтрации по рефереру и токенам, да.
Хабр нельзя открыть во фрейме. SAMEORIGIN
Пассивная XSS, серьезно? С учетом того, что хром, опера, ие явно фильтруют любую пассивную инъекцию(с некоторыми оговорками).
Я тоже, кстати, подобным образом инвайт получил, но там было немного интереснее :)
Я отталкивался от контекста
Для защиты от перебора ставим различные плагины, которые легко находятся в маркете.

Это ж как вы будете ставить плагины без доступа? Нормальный аудит делается с доступом к исходникам, для определения тех. же бекдоров, вы пытались затронуть в статье темы и пентеста и защиты и проверки на оставленные файлы.
чуть выше описал этот вариант. Тем кто «пентестит» сайты подобными утилитами надо отрывать руки.
Если проверка «легальна», то такие тулзы не нужны, по причине доступа к админке и полной информации о ресурсе, если Вы преследуете корыстные цели, то «пентест» подобными программами ничуть не лучше кручения скуль хавиджем. Решают руки и голова, а не средства автоматизации, которые загадят все логи.
Эдакий мазохизм.
Зачем брутить свой же ресурс, если у вас есть их пароли, хоть и не в плейнтекст. Брут хешей — гораздо более быстрое занятие. А все левые файлы успешно закрываются ЧПУ.
Давнее правило. .ru/.рф — зоны в которых не стоит делать бизнес.
И кстати, в PRO версии есть:

Так что, это политика компании, скорее всего.
Это скорее «фича» сервиса, которую они воспринимают как конкурентное преимущество.
We'll give you a short link where your friends, family, and co-workers can view or save it.

Я вас прекрасно понимаю, но если юзер шарит скриншоты с личными данными на подобных сервисах, то все последствия — эго проблемы. Для таких на микроволновках пишут «не засовывайте в аппарат свои конечности».
Парсингом подобных сервисов мало кого можно удивить.
На файлообменке можно скачать чужой файл? Вот это уязвимость!
Вы сравнили передачу файлов в ICQ(пользователь-пользователь) и обычную шарилку контента(пользователь-весь интернет). Да, владельцы dropl могли сделать ограничение на дамп файлов, но о приватности своих данных должен заботиться конкретный юзер, через подобные сервисы приватную дату передают люди не большого ума.
Акции ВК находятся под оффшорами
Уильям Белл, перелогиньтесь.
Надеюсь, жена отожмет у Элопа столько, сколько сможет, а то, боюсь, от 25лямов диатез вылезет на его милом личике.
Убили такую замечательную компанию. До сих пор пользуюсь и nokia 6300 и n97 mini.

Information

Rating
3,511-th
Location
Санкт-Петербург, Санкт-Петербург и область, Россия
Date of birth
Registered
Activity