Раскручиваем XSS на Яндексе (fixed)

Хороший материал :)

«Internet Explorer has modified this page to help prevent cross-site scripting.»

Даже крупные организации грешат XSS, что уж говорить о мелких самописных CMSках? BTW — готовлю материал для создания некого подобия сертификата безопасности веб систем — если есть интерес — могу опуб

А яндексу-то отписали?

Если проводить мышкой по пустому месту — появляется рука. Ну, это побочное действие :)

после этого топика, руководство яндекса просто обязано взять автора тестировщиком :)

Есть ли опасность, если аутентификационному кукису установлен флаг httponly? Кстати, yandex устанавливает этот флаг?

В Opera 11.50 Mac не всегда срабатывает, фрейм на пикселей 7 выше чем курсор.

При наведении на любую ссылку Chrome пишет, снизу в статусной строке, что будет происходить.

Chrome 15 под убунтой, никаких алертов нет.
Но автор, конечно, молодец, а вот Яндексу стоит серьёзнее следить за безопасностью своих сервисов. Я в торе видел сайты намного более защищенные от подобных проделок.

NoScript в FF помог.
Cразу же сообщил о блокировке XSS, а при попытке клика на странице — вывел дополнительное сообщение об XSS.

p.s. Ещё желательно поменять курсор — он тоже наводит на мысли о чём-то нехорошем.
p.p.s. А за исследование спасибо, не знал о таком.

Такая техника атаки называется Clickjacking.

Только сообщил Яндексу, и тут внезапно bit.ly/qLMGgH. Я в курсе, как называется данный тип техники, но тут фишка ещё и в безопасности Яндекса. Некоторые расширения помогают бороться с уязвимостью.

А IE вообще блокирует такие страницы. :)

А где-то сидит сейчас один какой-то конкретный человек и, положив ладонь на лицо, думает… Много думает… :)

Как это мило — разместить уязвимость на Яндексе на хостинге от Яндекса.

Mac OS 10.7/Safari 5.1 — не срабатывает, пустая страница

Когда только опубликовали оно работало, сейчас только грузит страницу, но щелчок по ней не работает, в яндексе начали чинить? (хром 15\вин XP)

Похоже, запретили все протоколы, кроме HTTP, HTTPS и FTP.

Уже прикрыли уязвимость. Печально, а то хотел попробовать

Похоже, что в последний месяц это становиться некоторой проверкой мужественности. Как древние люди ходили охотиться на льва, чтобы доказать что они стали мужчинами, так и современные веб-программисты ищут очередную дырку в Яндыксе. Пока дырку не нашёл — тру прогером не будешь.

Уязвимость пофиксили.

На почту пришло:

Добрый день, Олег!

Благодарим за интерес к работе нашего сервиса и Ваше сообщение, мы обязательно проверим указанную Вами информацию. Ваше письмо направлено разработчикам.

--
С уважением, [имя сотрудника]
Служба поддержки Яндекса
http://help.yandex.ru/

Я действительно очень рад за Яндекс, что уязвимости прикрываются с такой быстрой скоростью.