XSS: Rainbow Twitter Released!

[zhomart]

Ещё пруфы. Весело.

[NaFigator]

И ладно бы радуга, а там уже баловство с position:absolute; пошло — выглядит уже не так радужно.

[PeterQ]

Я, возможно, недопонимаю. position:absolute; — это чем плохо?

[NaFigator]

Визуально — положением блока. Можно закрыть какие-то элементы на странице и т.п.

Но это ж всё меркнет перед, собственно, XSS.

[PeterQ]

А, нормально. Я думал, я пропустил какую-то недокументированную особенность :)
спасибо!

[kegf]

try http ://twitter.com/name#@«onmouseover=»jAvascript:alert('bla-bla');"/

[NaFigator]

Не пашет, кавычки ёлочкой на обычные заменял.

[kegf]

habrahabr.ru/blogs/infosecurity/104665/ и twitter.com/mr_the/status/25105420721

[Dlussky]

twitter.com/lesch

[lesch]

тогда уж сразу так, чего уж

[nblxa]

Это не Rainbow Twitter, это уязвимость XSS. Ссылка на пример эксплоита. Откройте страницу твита, НЕ НАВОДИТЕ мышь на текст и нажмите Ctrl+A.

[NaFigator]

Дополнил пост. Круто, блин.

[Setti]

Харвестинг куков стартовал. Аминь

[jiexaspb]

уже пофиксили

[pROCKrammer]

нет! =)

[jiexaspb]

новый уже через web добавляется пофикшеным
а старые — да, еще остались

[m1kola]

Нет. Только, что попробовал — работает.

[Ganesh]

только что создал

[WuWu]

главное всем надо ретвитнуть радужный твит, вся лента цветная…

[WoZ]

прям гей-парад

[char]

Атака алиенов-содомитов!

[PeterQ]

Ну вот, уже пошли в ленте вариации на тему soft-xss.
onmouseover=«alert» пользуют активно.

[EvilX]

Гей-пропаганда в твиттере?

[NaFigator]

А вот это уже сильно зависит от восприятия!

[NaFigator]

Веселье-то продолжается:

[jtraub]

CSS3 я первым делом и применил. Но rotate — это скучно :-) Пока самое интересное применение — это радужные твиты

[s1nn3r]

Говорят, на новом интерфейсе не работает.

[biophreak]

twitter.com/biophreak у меня теперь настоящий коммунистический твиттер (:

[WuWu]

а теперь попробуй верни в исходный вид)

[biophreak]

2 выхода: либо удалить твит, либо нафлудить на 1 страницу еще… или не?

[mmib]

у меня патриотический twitter.com/mmib

[mmib]

twitter пофиксили

[biophreak]

А никто не пробовал еще размещать js на внешних ресурсах и подгружать их?

[mix2000]

Кто-то запустил червя: twitter.com/michaelmix (заходите на свой страх и риск :) )

[lol2Fast4U]

is.gd/flb7w — вот как надо XSS юзать!

[WuWu]

у кого в ленте есть @ekozlov у того автоматом ретвитеться его твит «Давайте жить дружно», подобное сделал @Unlevin… Побанить бы их всех… Твиттер пишет 100+ ретвитов

[kirushik]

Починили только что, прямо на глазах у изумлённой публики.

[vdmytry]

как захожу в твит — постоянно идет ретвит какого-то сообщения. раньше было проще — юзал вебинтерфейс. Сейчас, видимо, придется переходить на клиентов.