Пассивная XSS на mail.ru и готовый exploit

[ilyaplot]

Вот никак не пойму наших «девелоперов».
Разве сложно сделать универсальный инструмент для защиты от XSS в полях ввода? Мне кажется, это сущие пустяки, однако, со времен dial-up постоянно натыкаюсь на новые посты типа «XSS в %projectname% решето».
Видимо, нравится им набирать в разработчики школоту и делать абсолютно все руками.

[ertaquo]

Возможно, просто забыли сделать вызов этой функции. Разработчики ведь тоже люди :-)

[ilyaplot]

Значит им не очень удобно работать, раз они могли такое забыть.

[spacediver]

Может быть, на эту тему их никто не пинает и не лишает премий?.. Мало ли, что неудобно, если без этого решето. Я вот тоже до недавнего времени не задумывался о SQL-инъекциях, а когда прокачал свой моск — не могу без ужаса смотреть на сопровождаемый ныне код. Некоторые знания лишают сна, и заслуженно.

[youlose]

Хорошо, вы разработчик?

Так почему не сделали универсальный инструмент для защиты от XSS? =)

[ilyaplot]

В моем наборе инструментов есть класс, позволяющий привязать к полю определенный список правил. Если таких правил нет в классе, я добавляю новые.

[CKOPOBAPKuH]

а можете ли вы, например, забыть привязать к полю все нужные правила?

[borisko]

Это решается очень просто — достаточно привязывать не запреты, а разрешения.

[z3apa3a]

А если вы привяжете все нужные разрешения, чтобы работала определенная фича — означает ли это, что не будет XSS?

[borisko]

Скорее всего, да. Всё зависит от того, в какой степени Вы пользуетесь ЯП.

У меня (C++) используется класс SecureString, который шаблонно наследуется от ряда стратегий, например, QuotesStrategy и HtmlStrategy. Каждая стратегия может быть Throw, Skip, Escape, Ignore. В этих случаях при встрече запрещенного символа будет соответсвенно либо брошено исключение, либо символ не попадёт в результирующую строку, либо будет заэскейплен, либо будет пропущен в результат. Вместе с Qt и implicit sharing, всё проверяется и приводится к нужным типам почти мгновенно, так как нет лишних копирований, а только один проход при присваивании/другом изменении.

При этом в HTML-вывод пользователю не может попасть строка, у которой HtmlStrategy — это Ignore, что гарантирует система приведения типов во время компиляции.

[maxic]

Во всем виноваты не только школота, но и дидлайн

[Tairesh]

Это же Mail.RU

[Namolem]

Действительно… Отдыхаю на проекте otvet.mail.ru… Если бы не большая посещаемость, ноги бы моей там не было. На сайте уже несколько лет не видно никаких изменений в плане нового функционала/исправляемости багов =(

[vadymg]

otvet.mail.ru? Вы шутите? ;)

[Namolem]

К сожалению, серьезно. Как говорится, ежики плакали, кололись…

[Deffe]

Посоветуйте альтернативный сервис с большим количеством пользователей.

[Namolem]

Пробовал от гугла, но пользователей там на глаз намного меньше.
Других не нашел…

[Deffe]

А еще на гугл ВиО последнее время анонимусы расплодились и учиняют беспредел. 80% вопросов от них и почти все из них какой-нибудь бред.

[Gangsta]

треш-холдинг (с) Дуров
тэг «РЕШЕТО» поставлен не зря)

[smart]

Большое спасибо автору за сообщение о проблеме. Мы всегда просим сообщать нам о таких дырках заранее, и в данном случае zorgrhrd поступил совершенно правильно, что написал нам. То, что проблема не была закрыта сразу, чисто наша вина. В ситуации внутри разобрались, выводы сделали, надеюсь больше таких важных сообщений служба поддержки не пропустит. И да, дырку конечно закрыли.

[CKOPOBAPKuH]

обосрали всё веселье

[CKOPOBAPKuH]

ну т.е. haters gonna hate, а вы молодцы, радует адекватная и быстрая реакция.

[Shvonder]

Надо было всю статью писать от третьего лица, или от первого.

[Mithgol]

А также либо от множественного числа («проверяем», «получаем», «обновляем»), либо от единственного («сидел», «любил», «прошу»).

[CKOPOBAPKuH]

а ещё ударения не проставлены