Reflected XSS на поддомене Пентагона (и к чему это привело)

[Yoda33]

Парни из Пентагона настолько суровы, что им глубоко пофиг…

[187]

А может собирают инфу:))

[Goodkat]

Угу, пробьют адрес по ай-пи и пришлют авианосец.

[Caravus]

XSS? Высылаем авианосец!

[shanker]

Перед началом выдвижения авианосца ударная группировка читает вот этот учебник:

[ipadm]

HoneyPot

[syschel]

Тоже первой мыслью, про него подумал
habrahabr.ru/company/symantec/blog/149904/

[iCTPEJlOK]

это же америка! они так сотрудников набирают.

[mtp]

[IRonHulk]

use noscript, Luke

[BeLove]

Тут бы акцент не на XSS, а на том, что у них получилось увести куки с помощью XSS и эти куки вообще что-то дали (они смогли с ними авторизоваться).

[LukaSafonov]

сейчас подправлю ;)

[BeLove]

Оо нашел на Вашем сайте свою урезанную/слегка переписанную статью про AXFR

[LukaSafonov]

Ответил в личку ;)
Ссылка есть на Ваш сервис прямо там же.

[d00kie]

Где прувы? Нашли XSS и выдали скрины XSS. Дали бы скрины админки, тогда уж. Имхо треш, позерство и шум из-за ничего 8)

[BeLove]

Согласен) Таких пачку XSS можно слить и на наших гос. сайтах)
Я просто оттолкнулся от того, что в новости заявили.

[Ekstazi]

Китайские хакеры на столько суровы, что ломают пентагон без ддоса.

[Antigluk]

Похоже что XSS все еще работает, но все alert тупо заменяют на void(0)

[LukaSafonov]

Браузер? Firefox 19.0.2 — алерт есть.

[Antigluk]

chrome Version 25.0.1364.152 (185281)

Но сейчас скрипты вообще не работают. Вырезаются все script теги с содержимым

[IMaestro]

Google Chrome с 7й версии имеет фильтр XSS (Cross Site Scripting Auditor)

[Antigluk]

о, не знал. спасибо

[MechanisM]

Хомяков расстроится что это был не он :)

[Indexator]

в ходе операции #opBlackSummer.

У кого-то уже лето? :(

[anreyyyy]

А как увели куки?

[RomanNikitin]

странно, почему заминусовали.
Действительно, вопрос очень важный — что толку от этого alert? как увели куку у администратора? Как его заставили зайти по этой ссылке?
Потом еще один момент, на скрине видно, что используется asp.net, который по умолчанию все куки шифрует и не факт, что если склонировать куку, то сервер пустит в закрытые разделы.

[achekalin]

Прочитав "(и к чему это привело)", открывал пост, ожидая увидеть фото избитого автора на фоне бравых парней — админов 87 левела из Пентагона.

Разочарован, честно говоря ;)

[vazic]

Напомнило:
“Отчет Mandiant APT1 попадает в СМИ”

[priv8v]

Авианосец плавает обычно в составе ударной группы по веской причине и во имя великой цели:

$fXss = FindXss ()
$fSqlInj = FindSQLHack ()

func $oil = download oil
func $demos = build democracy

// func $hack = find hackers
// not need

If $fXss or $fSqlInj {
send USS_George_Washington_carrier_strike_group ($oil, $demos)
}