Комментарии 95
Пешы еще!
+109
Ты серьезно или просто так? А то я тут новенький, еще не понимаю, кто серьезно говорит, а кто в пустую…
+5
Здесь всё тлен.
На самом деле, нет.
На самом деле, нет.
+92
>на Хабре был частым человеком и заходил сюда по своему аккаунту.
>я тут новенький
Шиза какая-то.
>я тут новенький
Шиза какая-то.
+115
Частым в плане чтения новостей, но не обсуждения их. Я комментарии даже и не читал, так как и ответить не мог!
-15
зря не читал.
Часто в комментариях больше информации, чем в самом топике.
Либо альтернативное решение задачи топика.
Часто в комментариях больше информации, чем в самом топике.
Либо альтернативное решение задачи топика.
+140
А зря, тут в комментах информации порой больше чем в посте
+11
В некоторых статьях вся соль именно в комментариях)
p.s. впредь всегда буду обновлять страницу перед публикацией комментария
p.s. впредь всегда буду обновлять страницу перед публикацией комментария
+2
Я вроде совсем не новенький, но все равно не всегда понимаю кто говорит серьезно, а на что реагировать нужно с иронией ;)
+14
Они сами этого не понимают, всё в порядке.
+7
Если остановиться и подумать — всё обычно становится ясно. Обычно многие держут «в уме» последний абзац или соседний пост, или местный мем, или правила хабрахабра.
В данном случае вполне может иметь место сарказм, рассматривающий основную цель хабрахабра: «делиться знаниями». Вот данный пост мне знаний не прибавил, оттого и у меня тоже первая мысль: «зачем оно мне?».
В данном случае вполне может иметь место сарказм, рассматривающий основную цель хабрахабра: «делиться знаниями». Вот данный пост мне знаний не прибавил, оттого и у меня тоже первая мысль: «зачем оно мне?».
0
Более подробнее в нижнем комментарии раскрывается мысль:
habrahabr.ru/post/197466/#comment_6847770
А если «держать в уме» вывод, который получается, если остановиться и подумать, а именно — в данном случае SelfXSS, то всё станет ещё яснее.
habrahabr.ru/post/197466/#comment_6847770
А если «держать в уме» вывод, который получается, если остановиться и подумать, а именно — в данном случае SelfXSS, то всё станет ещё яснее.
0
Это вы сейчас серьезно, или иронизируете?))
+1
я тут новенький, еще не понимаюLOL..)
-11
Ну XSS-уязвимость это не так уж и серьезно. Максимум спереть куку
+17
А на хабре куки http-only, так что и их не сопрешь
+5
Максимум спереть куку админа, максимум получить доступ в админку, максимум слить базу, максимум залить шёлл… Даже уязвимости класса «раскрытие информации» могут быть полезными.
-5
Не в этом случае. Тут даже ссылку на стрничку с xss дать невозможно.
+9
Кажется я что-то не понял, а в чём тогда уязвимость? 0_о
+5
НЛО прилетело и опубликовало эту надпись здесь
Хабр нельзя открыть во фрейме. SAMEORIGIN
+7
К сожалению, политика безопасности браузеров такое не позволяет
+1
Если не передаются заголовки на запрет открытия сайта во фрейме(X-Frame-Options: SAMEORIGIN(DENY)), то все проворачивается на раз-два.
0
Но POST запрос будет отправляться с другого домена только
0
НЛО прилетело и опубликовало эту надпись здесь
Разница в том, что это легко фильтруется по реферу
-1
НЛО прилетело и опубликовало эту надпись здесь
Для защиты от XSS нужно фильтровать вводимые данные) Если есть на сайте xss, то токены не спасут :(
Данные можно передавать не только во фрейме, можно грубо автосабмитом формы с последующим перенаправлением и sameorigin не поможет.
Данные можно передавать не только во фрейме, можно грубо автосабмитом формы с последующим перенаправлением и sameorigin не поможет.
+2
Не все админы правильно формируют регулярки проверки реферера, если вы об этом, например, на хабре, изловчившись, можно было отправить запрос с похожего домена(сейчас fixed) и такое встречается часто.
+2
К счастью*
0
НЛО прилетело и опубликовало эту надпись здесь
В хроме и ие уже стоят фильтры на XSS, осталось дождаться солидарной поддержки со стороны других и забудем о пассивках навсегда :)
-2
зачем то заминусовали адекватный комент
0
Переименуйте в «Как я НЕ взломал Хабр, а написал в техподдержку»
+76
> Сначала я решил сделать какое-нибудь черное дело через уязвимость
Я что-то не пойму, что вообще можно сделать через эту уязвимость? Приведите пример, как ее можно эксплуатировать?
Я что-то не пойму, что вообще можно сделать через эту уязвимость? Приведите пример, как ее можно эксплуатировать?
+16
никак, поэтому и написал
+9
Вывести себе алерт, например.
+54
НЛО прилетело и опубликовало эту надпись здесь
А по-моему, самое замечательное оформление сарказма — это без тегов, смайликов, спойлеров и всего остального.
Просто если сарказм хороший, его и так поймут, а если не поймут — значит, плохой.
Просто если сарказм хороший, его и так поймут, а если не поймут — значит, плохой.
+8
Хороший = народный, понятный всем и каждому?
-1
Вообще, да. Юмор, ирония и сарказм должны быть понятны аудитории. Иначе зачем они нужны?
А клеить тег
А клеить тег
<sarcasm>
— это так же тупо, как объяснять анекдоты. Если сарказм непонятен, и это очевидно даже автору — лучше бы его не было совсем (<joke>
сарказма, а не автора</joke>
).+3
Лучшая шутка та, которую поняли не все.
Английская пословица
Но блеснуть на Хабре тонким английским юмором без последствий вряд ли получится. Непонявшие заминусуют )
+1
Первым делом осваивайте habracut
+10
Желтизна в заголовке!)
+19
Пассивная XSS, серьезно? С учетом того, что хром, опера, ие явно фильтруют любую пассивную инъекцию(с некоторыми оговорками).
Я тоже, кстати, подобным образом инвайт получил, но там было немного интереснее :)
Я тоже, кстати, подобным образом инвайт получил, но там было немного интереснее :)
0
Пост, достойный 1337 haxxor'а =).
+20
Self-XSS )
+6
Отличная программа поощрения поиска багов от Хабра. Нашел баг — отписался в техподдержку — получил инвайт. Объявили бы об этом официально.
+1
Как мало человеку нужно для счастья.
+5
Перенесите в блог «Информационная безопасность», пусть держит уровень!
+2
У меня тоже есть история!
Не имел я несколько дней назад инвайта, но на Хабре был частым человеком и заходил сюда со своего калькулятора.
Несколько дней назад я нажал на «Хабрахабр», вместо «Вконтакте» и увидел перед собой Хабрахабр. «А вдруг?» — подумал я — и начал вводить какие-то буквы в каждое поле.
И вот оно! Свершилось! Уязвимость была обнаружена в адресной строке браузера. Буквы проверялись на правильность после перехода на следующее поле. В поле ввода url'а не было фильтрации, по этому сообщение с единичкой появилось.
Сначала я решил сделать какое-нибудь черное дело через уязвимость, но потом одумался и отписался в техподдержку.
Не имел я несколько дней назад инвайта, но на Хабре был частым человеком и заходил сюда со своего калькулятора.
Несколько дней назад я нажал на «Хабрахабр», вместо «Вконтакте» и увидел перед собой Хабрахабр. «А вдруг?» — подумал я — и начал вводить какие-то буквы в каждое поле.
И вот оно! Свершилось! Уязвимость была обнаружена в адресной строке браузера. Буквы проверялись на правильность после перехода на следующее поле. В поле ввода url'а не было фильтрации, по этому сообщение с единичкой появилось.
Сначала я решил сделать какое-нибудь черное дело через уязвимость, но потом одумался и отписался в техподдержку.
Было![](https://habrastorage.org/r/w1560/storage3/8eb/f10/141/8ebf10141b201c8fa795fe9bde9d8e7b.png)
![](https://habrastorage.org/storage3/8eb/f10/141/8ebf10141b201c8fa795fe9bde9d8e7b.png)
Стало![](https://habrastorage.org/r/w1560/storage3/91f/cb8/dd1/91fcb8dd149a2b466b63d10027ec4fc9.png)
![](https://habrastorage.org/storage3/91f/cb8/dd1/91fcb8dd149a2b466b63d10027ec4fc9.png)
+16
Когда то давно получил инвайт за найденный на нестандартном порту бэкэнд, в котором не блокировались запросы к папке .svn, в которой лежали исходники, в т.ч. всякие пароли…
Я ни разу не афишировал это, а тут странный XSS, которой очень сложно использовать.
Я не знаю есть ли смысл ставить куку в .habrahabr.ru, поддоменов вроде бы уже нет.
Я ни разу не афишировал это, а тут странный XSS, которой очень сложно использовать.
Я не знаю есть ли смысл ставить куку в .habrahabr.ru, поддоменов вроде бы уже нет.
0
Самое время вспомнить про Эффект Даннинга — Крюгера
+1
«Я ни разу не афишировал это» = false
0
пост написан в 13:37 :) совпадение или автор старался попасть именно в этом время? )
+2
Are you ***** kidding me? :D
«Взломал Хабр», «постовый script alert» = инвайт на хабр?)) требую себе второй! :D
«Взломал Хабр», «постовый script alert» = инвайт на хабр?)) требую себе второй! :D
+5
Сначала я решил сделать какое-нибудь черное дело через уязвимость, но потом одумался и отписался в техподдержку.
Какое-такое черное дело? Попросить админа ввести код вредноносного скрипта в поле email?
Кстати, на руках есть активка на ICQ.com, стоит рассказать Хабру о ней? В техподдержку майлру писал, меня попросили прислать скрины ошибки, и ничего не пофиксили.
+1
Есть bugscollector.com x)
+1
Вы молодец, хороший сайт, хоть и требует доработки.
Вот мой каммит в виде актуального контента.
bugscollector.com/db/icq.com/57/
(активная xss на icq.com)
Вот мой каммит в виде актуального контента.
bugscollector.com/db/icq.com/57/
(активная xss на icq.com)
+2
0
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Как я взломал Хабрахабр