shadowjack 15 окт 2011 в 21:41

HTML/CSS-инъекция в почте Mail.Ru

2 мин

16K

Информационная безопасность*

+86

Комментарии 63

format1981 15 окт 2011 в 22:09

Я и впрямь стал задумываться о переезде с mail.ru.

-26

radarlog 15 окт 2011 в 22:19

давно пора)

+107

lomalkin 16 окт 2011 в 04:10

Однако лучше поздно, чем никогда.

Pingvi 15 окт 2011 в 22:26

Не прошло и полугода и вот она — новая уязвимость.
shadowjack конечно mail.ru оповестили об этом.

shadowjack 15 окт 2011 в 23:00

Судя по блоку «Похожие посты» справа, не прошло и месяца. 8)

Pingvi 15 окт 2011 в 23:05

я образно сказал. не хотел расстраивать программистов с майла

fluxion 16 окт 2011 в 01:27

Месячные у мэйлрушечки.

xjunkiex 16 окт 2011 в 07:56

мне кажется что разработчики mail.ru используют совсем другую почту :-)
www.google.com/a/mail.ru/

+24

INIT 16 окт 2011 в 15:29

а программисты Яндекса видимо этим да?
www.google.com/a/yandex.ru/

gotanda 16 окт 2011 в 22:18

У меня вопрос возник: у меня есть почта тут www.google.com/a/dezcom.org. Почтовый адрес записывается как *****@dezcom.org. Значит ли это что моя почта *****@yandex.ru расположена тоже на серверах гугл?

-1

GraDea 16 окт 2011 в 16:57

Может они всю почту там хостят, а на mail.ru просто обертка, местами кривая? bk.ru и list.ru тоже есть.

mokaton 17 окт 2011 в 01:15

Ну с другой стороны можно сказать спасибо mail.ru, за то что они допускают такие баги и кто-то их находит и «выводит на чистую воду». Теперь хоть многие вебмастеры и прочие программисты не будут делать подобных косяков в своих проектах! :)

Anexroid 15 окт 2011 в 22:55

Поэтому вообще стараюсь не использовать web-интерфейсы. Всё через почтовые клиенты

-6

ZyL 15 окт 2011 в 22:57

Вообще есть такой софт, называется IBM AppScan, его натравливают на сайт и он выдает всякого рода уязвимости. К сожалению, он отнюдь не open source и стоит по-моему 34 000 USD за лицензию. У нас на работе используется, выдает очень подробный отчет с осмысленным текстом, как именно проводился «взлом», какого рода уязвимость и т.д. К сожалению, наш нельзя натравить на чужой сайт, а то я бы свои попробовал прогнать.

-16

bulka_by 15 окт 2011 в 23:14

Что-то мне подсказывает, что для такой компании, как Mail.ru, купить программку за жалких (для ее уровня дохода) 34к уе — это как бе не проблема. Другое дело, лично я сомневаюсь в пользе от данной «утилиты» для проекта Mail.ru и всех его сервисов.

+14

shadowjack 15 окт 2011 в 23:18

Тестеры обычно пишут свои наборы тестов, скрипты и т.д.
Тут такое чувство, что новую почту mail.ru выкатили в продакшн без тестирования.

GapCoder 16 окт 2011 в 14:08

as usual

timukas 16 окт 2011 в 14:40

в последнее время я часто замечаю, что всё тестирование происходит в продакшнах, на живых клиентах и настоящими деньгами

megasua 16 окт 2011 в 19:30

Наверное в этом есть какой-то смысл, пока оттестируешь — аудитория может уйти на другой сервис, а если сервис актуальный, то пользователи простят ошибки (при условии если своевременно, по мере развития продукта, ошибки исправлять).

НЛО прилетело и опубликовало эту надпись здесь

zyaleniyeg 16 окт 2011 в 22:31

аник хороший, но не совсем понятно к чему он тут?

FractalizeR 15 окт 2011 в 23:21

Еще есть MaxPatrol: ptsecurity.com/

bulka_by 15 окт 2011 в 23:26

Не бывший ли XSpider это случаем?

FractalizeR 16 окт 2011 в 11:33

Да, он.

Bo0oM 16 окт 2011 в 17:29

Это отдельный продукт. XSpider всё ещё поддерживается (недавно вышла новая версия с новым интерфейсом), но парол лучше (и дороже)

Acuna 1 дек 2013 в 15:30

«Service Temporarily Unavailable» при попытке скачивания продукта за 34 000 USD — это печалька(

elliadan 15 окт 2011 в 23:29

Прощу прощения за, возможно, несерьезный тон моего коммента, но блин я фигею с этиъ мейлрушечек!!!11 Еще одна уязвимость, не прошло и месяца. ~~А они еще борятся за звание дома выской культуры быта!~~ А они в это время, блин, пилят аську и пиарят свой агент.

+13

lampa 15 окт 2011 в 23:42

На mail.ru нельзя выделять даже письма нормально. Сиди и щелкай по чекбоксам.

Klaster 16 окт 2011 в 05:29

>>Эта винда со своими скучными обоями, меняешь их меняешь…

-1

xjunkiex 16 окт 2011 в 07:51

можно настроить сбор почты на тот же gmail и юзать short-key

lampa 16 окт 2011 в 10:59

У меня основная почта на yandex.ru, которая и собирает со всех других ящиков письма :)

EvgeniyLazarev 16 окт 2011 в 12:44

А нормально — это как?
Не из праздного любопытства интересуюсь :)

lampa 16 окт 2011 в 12:46

Вы наверно знаете, как в проводнике windows можно выделять файлы с помощью зажатия левой кнопки мыши? Вот хотелось бы так-же.

datacompboy 16 окт 2011 в 10:10

Нда. А поставить position: relative для блока с письмом, видимо, было никак.

-3

DmitryKoterov 16 окт 2011 в 11:13

Только на position:absolute, а overflow:hidden. Это бы помогло от данного вида проблемы, наверное.

-1

datacompboy 16 окт 2011 в 11:26

Да, overflow тоже нужен.
Position: relative надо чтобы у любых блоков внутри position:absolute отсчитывалось от текущего блока, а не от окна;
А overflow:hidden нужен, чтобы отрицательные координаты не могли вылезти наружу.

shadowjack 16 окт 2011 в 11:50

А ещё бывает position: fixed, от которого никакое relative и overflow не поможет. 8)

smartov 16 окт 2011 в 16:42

mail.ru – было есть и будет ещё долго решето с дырками такого размера, что подходит для отсеивания футбольных мячей от баскетбольных. Невзирая на присутсвие на Хабре инженеров по безопасности mail.ru, которые недавно горячо убеждали хабраобщественность, что работа над улучшением и углублением кипит. Самое смешное, что судя по количеству плюсов, за тот комментарий, писать пламенные речи пока получается гораздо лучше, чем работать над безопасностью.

V_Komissarova 16 окт 2011 в 21:59

Баг исправлен. Автору поста — спасибо :)

shadowjack 16 окт 2011 в 22:11

Хм-м, а Вы уверены? 8)

danikin 16 окт 2011 в 23:13

Первый раз починили вылезание сверху и слева. Теперь зачинили справа и снизу. Можете повторить проблему?

shadowjack 16 окт 2011 в 23:16

Проблема описана в посте.
Вам пример кода дать? 8)

AndrewSumin 16 окт 2011 в 23:20

Пример кода из поста теперь выглядит так

shadowjack 16 окт 2011 в 23:30

Прекрасно, но ведь бывает ещё position: fixed (это, кстати, обсуждается двумя ветками комментариев выше).

Берём такой код:

<div class="alertFade" style="top: 0; left: 0; width: 100%; height: 100%; background-color: pink; z-index: 65535; opacity: 1;">
<div style="padding-top: 100px;"><h1>Привет, мейлрушники! 8)</h1></div>
</div>

Видим старое доброе:

Т.о. проблема использования существующего класса с нежелательными свойствами осталась.

AndrewSumin 16 окт 2011 в 23:35

С классами будем разбираться, но в ночь с воскресенья на понедельник этого лучше не делать.

shadowjack 16 окт 2011 в 23:36

;-)

AndrewSumin 17 окт 2011 в 00:02

Хотя есть одна идея.

shadowjack 17 окт 2011 в 00:11

Ну, можно запилить alertFade и сделать inline-овое позиционирование там, где оно нужно.
Или сделать название этого класса рандомным.

AndrewSumin 17 окт 2011 в 01:00

done

shadowjack 17 окт 2011 в 01:10

Счастье, радость!

AndrewSumin 17 окт 2011 в 01:12

Да уж, были совсем другие планы на вечер twitter.com/#!/AndrewSumin/status/125621656117985280

danikin 16 окт 2011 в 23:29

Да. И проблема после починки больше не повторяется. Если у вас она все равно повторяется, то, пожалуйста, сообщите.

P.S.

Еще раз спасибо, что нашли баг!

shadowjack 16 окт 2011 в 23:30

Ответил выше.

mclander 16 окт 2011 в 22:13

меня больше парит, что письма в папке спам остаются отмеченные, как не прочитанные. И соответственного «горят» в количестве непрочитанных писем. Ну и какое-то загадочное сообщение в агенте, которое «горит» в интерфейсе и нереально доставляет. Письмо невозможно ни удалить ни прочитать.

smart 17 окт 2011 в 01:00

Эх, как было бы прекрасно, если б каждый, кто находит проблему, сначала сообщал бы о ней в соответствующую компанию, а потом уже писал пост на Хабре…

shadowjack 17 окт 2011 в 01:05

Было бы прекрасно, если бы баг-репортеры получали что-нибудь за свои репорты. 8)

note 17 окт 2011 в 04:32

Вы получаете более качественный продукт :)

Делая же обзоры любых уязвимостей до их исправления, вы повышаете вероятность попадания других пользователей в нехорошую ситуацию.

Для нашей команды очень важна обратная связь. Сейчас много что меняется, многое улучшается, многое переписывается с нуля. Во время этого перерождения очень сложно не ошибиться, учитывая масштабы проекта и его возраст со всеми вытекающими из этого последствиями. И, как бы это банально не звучало, мы очень стараемся и прикладываем все возможные усилия для улучшения качества наших сайтов.

Надеюсь, что наши старания будут вознаграждены отзывами довольных пользователей, баг-репортами не очень довольных и конструктивной критикой совсем недовольных :)

shadowjack 17 окт 2011 в 12:04

Я получаю более качественный продукт используя Gmail. 8)

Kindman 17 окт 2011 в 09:10

Бесполезно в MAIL-RU о каких-то проблемах сообщать — как об стенку горох.

Сколько раз их просил, чтоб они сделали наконец-таки возможность входа в веб-интерфейс по HTTPS, что-то типа mail.ru а, воз и ныне там.

-5