Как стать автором
Поиск
Написать публикацию
Обновить

Комментарии 95

Пешы еще!
Всего голосов 143: ↑126 и ↓17+109
Ты серьезно или просто так? А то я тут новенький, еще не понимаю, кто серьезно говорит, а кто в пустую…
Всего голосов 55: ↑30 и ↓25+5
Здесь всё тлен.
На самом деле, нет.
Всего голосов 98: ↑95 и ↓3+92
>на Хабре был частым человеком и заходил сюда по своему аккаунту.
>я тут новенький
Шиза какая-то.
Всего голосов 121: ↑118 и ↓3+115
Частым в плане чтения новостей, но не обсуждения их. Я комментарии даже и не читал, так как и ответить не мог!
Всего голосов 63: ↑24 и ↓39-15
зря не читал.
Часто в комментариях больше информации, чем в самом топике.
Либо альтернативное решение задачи топика.
Всего голосов 140: ↑140 и ↓0+140
А зря, тут в комментах информации порой больше чем в посте
Всего голосов 13: ↑12 и ↓1+11
Особенно в этом? =))
Всего голосов 37: ↑36 и ↓1+35
Ну, в Вашем так точно…
Всего голосов 5: ↑4 и ↓1+3
Ну что вы так, я же про пост :)
Комментарий пока не оценивали0
В некоторых статьях вся соль именно в комментариях)

p.s. впредь всегда буду обновлять страницу перед публикацией комментария
Всего голосов 8: ↑5 и ↓3+2
Я вроде совсем не новенький, но все равно не всегда понимаю кто говорит серьезно, а на что реагировать нужно с иронией ;)
Всего голосов 14: ↑14 и ↓0+14
Они сами этого не понимают, всё в порядке.
Всего голосов 7: ↑7 и ↓0+7
Если остановиться и подумать — всё обычно становится ясно. Обычно многие держут «в уме» последний абзац или соседний пост, или местный мем, или правила хабрахабра.
В данном случае вполне может иметь место сарказм, рассматривающий основную цель хабрахабра: «делиться знаниями». Вот данный пост мне знаний не прибавил, оттого и у меня тоже первая мысль: «зачем оно мне?».
Комментарий пока не оценивали0
Более подробнее в нижнем комментарии раскрывается мысль:
habrahabr.ru/post/197466/#comment_6847770
А если «держать в уме» вывод, который получается, если остановиться и подумать, а именно — в данном случае SelfXSS, то всё станет ещё яснее.
Комментарий пока не оценивали0
Это вы сейчас серьезно, или иронизируете?))
Всего голосов 1: ↑1 и ↓0+1
Ну XSS-уязвимость это не так уж и серьезно. Максимум спереть куку
Всего голосов 23: ↑20 и ↓3+17
А на хабре куки http-only, так что и их не сопрешь
Всего голосов 5: ↑5 и ↓0+5
Максимум спереть куку админа, максимум получить доступ в админку, максимум слить базу, максимум залить шёлл… Даже уязвимости класса «раскрытие информации» могут быть полезными.
Всего голосов 23: ↑9 и ↓14-5
Не в этом случае. Тут даже ссылку на стрничку с xss дать невозможно.
Всего голосов 15: ↑12 и ↓3+9
Кажется я что-то не понял, а в чём тогда уязвимость? 0_о
Всего голосов 5: ↑5 и ↓0+5
Ну так вся соль в этом — нет ее в таком виде, чтоб придумать как использовать на других пользователях.
Всего голосов 8: ↑7 и ↓1+6
Теперь уже понял, спасибо.
Всего голосов 1: ↑1 и ↓0+1
НЛО прилетело и опубликовало эту надпись здесь
XSRF, для обхода фильтрации по рефереру и токенам, да.
Всего голосов 1: ↑1 и ↓0+1
Здесь SELF XSS, ничего не выйдет.
Всего голосов 3: ↑2 и ↓1+1
НЛО прилетело и опубликовало эту надпись здесь
Хабр нельзя открыть во фрейме. SAMEORIGIN
Всего голосов 9: ↑8 и ↓1+7
НЛО прилетело и опубликовало эту надпись здесь
зачем фрейм, если можно постить в target=_blank например.
Комментарий пока не оценивали0
фрейм не так заметен)
Комментарий пока не оценивали0
а пофиг заметен или нет, XSS то исполнится )
Комментарий пока не оценивали0
Если не передаются заголовки на запрет открытия сайта во фрейме(X-Frame-Options: SAMEORIGIN(DENY)), то все проворачивается на раз-два.
Всего голосов 2: ↑1 и ↓10
Но POST запрос будет отправляться с другого домена только
Комментарий пока не оценивали0
НЛО прилетело и опубликовало эту надпись здесь
Разница в том, что это легко фильтруется по реферу
Всего голосов 1: ↑0 и ↓1-1
НЛО прилетело и опубликовало эту надпись здесь
Для защиты от XSS нужно фильтровать вводимые данные) Если есть на сайте xss, то токены не спасут :(
Данные можно передавать не только во фрейме, можно грубо автосабмитом формы с последующим перенаправлением и sameorigin не поможет.
Всего голосов 2: ↑2 и ↓0+2
НЛО прилетело и опубликовало эту надпись здесь
На своем сайте делаем форму с Post-dat'ой, и по онлоаду передаем форму на чужой скрипт. Не обязательно же делать тоже самое, но во фрейме. Фрейма нет, проверки реферера нет, данные переданы, SAMEORIGIN не помогает.
Всего голосов 1: ↑0 и ↓1-1
Не все админы правильно формируют регулярки проверки реферера, если вы об этом, например, на хабре, изловчившись, можно было отправить запрос с похожего домена(сейчас fixed) и такое встречается часто.
Всего голосов 2: ↑2 и ↓0+2
К счастью*
Комментарий пока не оценивали0
НЛО прилетело и опубликовало эту надпись здесь
В хроме и ие уже стоят фильтры на XSS, осталось дождаться солидарной поддержки со стороны других и забудем о пассивках навсегда :)
Всего голосов 2: ↑0 и ↓2-2
НЛО прилетело и опубликовало эту надпись здесь
Это называется жаргон. Давно не следил за этой темой, но если я не ошибаюсь, то единственный «обход» — передаваемые данные уже внутри Js, остальные же извращения регулярно фиксят.
Всего голосов 1: ↑0 и ↓1-1
НЛО прилетело и опубликовало эту надпись здесь
НЛО прилетело и опубликовало эту надпись здесь
зачем то заминусовали адекватный комент
Комментарий пока не оценивали0
одумался и отписался в техподдержку

Поевезло, что техподдержка на хабре адекватная.
А то бы вышло как с Фейсбуком )
Всего голосов 5: ↑4 и ↓1+3
Мне много не надо, мне инвайта хватит…
Всего голосов 17: ↑9 и ↓8+1
Переименуйте в «Как я НЕ взломал Хабр, а написал в техподдержку»
Всего голосов 78: ↑77 и ↓1+76
И перенесите в «Я пиарюсь» еще до кучи
Всего голосов 51: ↑51 и ↓0+51
> Сначала я решил сделать какое-нибудь черное дело через уязвимость

Я что-то не пойму, что вообще можно сделать через эту уязвимость? Приведите пример, как ее можно эксплуатировать?
Всего голосов 16: ↑16 и ↓0+16
никак, поэтому и написал
Всего голосов 9: ↑9 и ↓0+9
Уязвимость нельзя эксплуатировать — поэтому написали в саппорт? Иначе бы реально кого-то взломали? Так нужно трактовать Ваш краткий ответ?
Всего голосов 1: ↑1 и ↓0+1
Вы все верно поняли, только «написал» — «автор написал в саппорт»
Комментарий пока не оценивали0
Вывести себе алерт, например.
Всего голосов 58: ↑56 и ↓2+54
НЛО прилетело и опубликовало эту надпись здесь
А по-моему, самое замечательное оформление сарказма — это без тегов, смайликов, спойлеров и всего остального.
Просто если сарказм хороший, его и так поймут, а если не поймут — значит, плохой.
Всего голосов 12: ↑10 и ↓2+8
Хороший = народный, понятный всем и каждому?
Всего голосов 1: ↑0 и ↓1-1
Вообще, да. Юмор, ирония и сарказм должны быть понятны аудитории. Иначе зачем они нужны?
А клеить тег <sarcasm> — это так же тупо, как объяснять анекдоты. Если сарказм непонятен, и это очевидно даже автору — лучше бы его не было совсем (<joke>сарказма, а не автора</joke>).
Всего голосов 5: ↑4 и ↓1+3
Лучшая шутка та, которую поняли не все.

Английская пословица

Но блеснуть на Хабре тонким английским юмором без последствий вряд ли получится. Непонявшие заминусуют )
Всего голосов 1: ↑1 и ↓0+1
По-моему, юмор на этом и строится — на ощущении «Не понял… не понял… А! Понял! Хахаха!».
И чем дольше и напряженнее это «Не понял», тем шутка лучше и тоньше. Самое трудное — это найти баланс, чтобы было понятно не сразу, но в итоге, всё-таки, понятно.
Комментарий пока не оценивали0
Первым делом осваивайте habracut
Всего голосов 12: ↑11 и ↓1+10
Желтизна в заголовке!)
Всего голосов 21: ↑20 и ↓1+19
Пассивная XSS, серьезно? С учетом того, что хром, опера, ие явно фильтруют любую пассивную инъекцию(с некоторыми оговорками).
Я тоже, кстати, подобным образом инвайт получил, но там было немного интереснее :)
Всего голосов 8: ↑4 и ↓40
Так поделитесь же!
Комментарий пока не оценивали0
image

Пост, достойный 1337 haxxor'а =).
Всего голосов 20: ↑20 и ↓0+20
Отличная программа поощрения поиска багов от Хабра. Нашел баг — отписался в техподдержку — получил инвайт. Объявили бы об этом официально.
Всего голосов 3: ↑2 и ↓1+1
Такой заголовок… Я удивлен как ещё о нём не сказали в новостях.
Комментарий пока не оценивали0
Как мало человеку нужно для счастья.
Всего голосов 5: ↑5 и ↓0+5
Перенесите в блог «Информационная безопасность», пусть держит уровень!
Всего голосов 4: ↑3 и ↓1+2
У меня тоже есть история!

Не имел я несколько дней назад инвайта, но на Хабре был частым человеком и заходил сюда со своего калькулятора.

Несколько дней назад я нажал на «Хабрахабр», вместо «Вконтакте» и увидел перед собой Хабрахабр. «А вдруг?» — подумал я — и начал вводить какие-то буквы в каждое поле.

И вот оно! Свершилось! Уязвимость была обнаружена в адресной строке браузера. Буквы проверялись на правильность после перехода на следующее поле. В поле ввода url'а не было фильтрации, по этому сообщение с единичкой появилось.

Сначала я решил сделать какое-нибудь черное дело через уязвимость, но потом одумался и отписался в техподдержку.

Было

Стало
Всего голосов 18: ↑17 и ↓1+16
Жесть какая, куда только эти разработчики смотрят? Такую дырищу оставить на самом видном месте. После этого не пользуюсь браузерами.
Всего голосов 15: ↑15 и ↓0+15
«Зачем мне Chrome и Firefox, я юзаю wget.
Я ведь не браузер смотрю, а интернет.»
Всего голосов 5: ↑5 и ↓0+5
я думаю стоит доверять только курлу
Комментарий пока не оценивали0
Спс, посмеялся от души!
Комментарий пока не оценивали0
Когда то давно получил инвайт за найденный на нестандартном порту бэкэнд, в котором не блокировались запросы к папке .svn, в которой лежали исходники, в т.ч. всякие пароли…
Я ни разу не афишировал это, а тут странный XSS, которой очень сложно использовать.
Я не знаю есть ли смысл ставить куку в .habrahabr.ru, поддоменов вроде бы уже нет.
Комментарий пока не оценивали0
Принципы не позволяют выкладывать какие — то умные способы обхода в публичный доступ, есть другая работа, кроме как отлавливать юных хакеров из логов. Скорее хочется наоборот продвигать безопасность систем, а не способы компрометации.
Комментарий пока не оценивали0
«Я ни разу не афишировал это» = false
Комментарий пока не оценивали0
пост написан в 13:37 :) совпадение или автор старался попасть именно в этом время? )
Всего голосов 2: ↑2 и ↓0+2
Are you ***** kidding me? :D

«Взломал Хабр», «постовый script alert» = инвайт на хабр?)) требую себе второй! :D
Всего голосов 5: ↑5 и ↓0+5
Сначала я решил сделать какое-нибудь черное дело через уязвимость, но потом одумался и отписался в техподдержку.


Какое-такое черное дело? Попросить админа ввести код вредноносного скрипта в поле email?

Кстати, на руках есть активка на ICQ.com, стоит рассказать Хабру о ней? В техподдержку майлру писал, меня попросили прислать скрины ошибки, и ничего не пофиксили.
Всего голосов 1: ↑1 и ↓0+1
Вы молодец, хороший сайт, хоть и требует доработки.
Вот мой каммит в виде актуального контента.

bugscollector.com/db/icq.com/57/
(активная xss на icq.com)
Всего голосов 2: ↑2 и ↓0+2
Нет, это не активная XSS, это пассивная.
Комментарий пока не оценивали0
НЛО прилетело и опубликовало эту надпись здесь
На самом деле у меня их две: активная и пассивная, и я случайно запостил пассивную под именем активной. Настоящую активку запостю позже, но вы дело говорите!
Комментарий пока не оценивали0
Зарегистрируйтесь на Хабре, чтобы оставить комментарий

Публикации

Истории

Ваш аккаунт

Разделы

Информация

Услуги

Техническая поддержка
© 2006–2024, Habr