Как я не взломал «Хабрахабр» или 10+ активных XSS

[zag2art]

Название однозначно лучше, чем "Как я взломал Хабрахабр"

[Dmitry_G]

А помните, когда DIY открылся и поехали флешки с деревянным корпусом? :) Там тему закрыл вот этот пост habrahabr.ru/post/85766/
Очень надеюсь, что этот пост тоже закроет эту тему.

[stan_jeremy]

Вы же понимаете что этот пост чуть менее чем полностью саркастичен и был написан под влиянием 3-4 последних постов про в постовых формах :))

[Dmitry_G]

Конечно :) Пост про флешку тоже простебал все те безумные посты. И после такого стеба, обычно, прекращается идиотизм с флешками и взламыванием локалхоста :)
PS. Вы все правильно сделали ;)

[Walas]

Получил 10 инвайтов от администрации?

[stan_jeremy]

В конце же написано :)

[Walas]

Прочитал всё, кроме итогов, ха-ха. И верно — 100500 инвайтов! Молодец, Стас! =)

[Loner]

вот это я понимаю хакнул =)

[Homakov]

meta refresh не вижу? можно было бы попробывать его срезать тем же xss auditor если передать как гет параметр

[stan_jeremy]

ага, а пользователю перед подсовыванием тоже просить резать?)) я искал чем реально можно воспользоваться

[Homakov]

XSS auditor в хроме удаляет из ответа те куски которые ты сам посылаешь ему. Не особо известная техника. Ею удобно срезать анти кликджекинг защиты

[drak0n]

Кто ищет — тот всегда найдет.

[SlimHouse]

Не подскажите как вы отключили xss auditor? с помощью --disable-xss-auditor?

[stan_jeremy]

Это активные XSS, фильтры не умеют их резать, иначе фильтровался бы любой JS который написан разработчиками. Суть как в том что я и искал те, которые не отфильтруются, писал в самом первом абзаце :) Тот же XSS Auditor просматривает только различные браузерные заголовки + GPC.

Пример:

1. Пасивная XSS, фильтруется Аудитором

index.php?1=<script>alert(123);</script>

<?php
echo $_GET[1];
?>

2. Активная XSS ничем не отличается от обычного js-а, код уже изначально встроен в тело страницы, он не передается ни в каких параметрах, поэтому никак не может быть отфильтрован.

<?php
#где-то тут мы, например из базы, но не GPC (get,post,cookies) параметром получили $a 
#и в ней уже <script>alert(123);</script>
... 
echo $a;
?>