Comments / Profile of Tokolist / Habr

Tokolist Aug 5 2009 at 00:15

В аннотации и ссылках по теме, я думаю, Вы найдете ответы на свои вопросы.

Tokolist Aug 5 2009 at 00:10

По вашим суждениям жертва авторизована на неуязвимом сайте, который подвержен CSRF уязвимости.

Просто CSRF уязвимости, можно сказать, подвержены все сайты по умолчанию и считаются неуязвимыми :) Но, да, Вы правы, немножко неправильно сформулировал свою мысль.

Нередким вариантом является XSS и CSRF на одном и том же хосте.

Да, согласен.

Также ничего не сказано про DOM-based XSS

Это, по сути, пассивная уязвимость, поэтому я особо не акцентировал на ней внимание, но да, следовало все таки о ней упомянуть.

Tokolist Aug 4 2009 at 23:58

Эта ссылка указанна мной первой в ссылках по теме :)

Tokolist Aug 4 2009 at 23:53

Я встречал оба варианта. Просто XSRF запомнился больше по аналогии с CSS/XSS. Добавил вторую аббревиатуру.

Cross-site request forgery, also known as a one-click attack or session riding and abbreviated as CSRF («sea-surf»[1]) or XSRF

en.wikipedia.org/wiki/Cross-site_request_forgery

Tokolist Aug 4 2009 at 23:44

Кроме того, что GET проще в реализации (как уже отметили), еще больше доверия вызывает адрес

yandex.ru/search.php?q=%3C%73%63%72%69%70%74%3E%3C%2F%73%63%72%69%70%74%3E

чем

hackersite.com/yandex-xss.php

ведь нужна переадресация с сайта злоумышленника.

хотя можно использовать домен сильно напоминающий оригинальный

wwwyandex.ru
yondex.ru

что тоже может остаться незамеченым

Tokolist Aug 3 2009 at 21:42

Да, верно. Согласен.

Tokolist Aug 3 2009 at 20:47

Рамблер также не спешит штопать дыры :)

Tokolist Jul 30 2009 at 19:47

У меня в Опере 9.64 даже при видимой кнопке лейб не работает так как ожидается…

Tokolist Jul 29 2009 at 01:04

Спасибо!

Tokolist Jul 29 2009 at 01:03

Да, я уже себя чуть выше исправил :)

Tokolist Jul 29 2009 at 00:54

Ой, извиняюсь, открыл глаза :)
> Для упрощения линии питания, стабилизатор и колодка ISP на схеме не показаны.

Хотелось бы все-таки инструкцию для таких чайников как я :)
С полной схемой и пошагово :)

Tokolist Jul 29 2009 at 00:41

Сам что-то паял уже давно, поэтому поправьте если я не прав, но на схеме:
транзисторов — 3
резисторов — 4
конденсаторов — 0

тогда как, на фотографии готовой платы:
транзисторов — 4
резисторов — 4
конденсаторов — 1

либо схема не та, либо фотография :)

Яндекс Фотки и срок хранения файлов

Tokolist Jul 28 2009 at 20:32

Да, «мягкое удаление» в данном случае один из вариантов решения проблемы.

Яндекс Фотки и срок хранения файлов

Tokolist Jul 28 2009 at 20:13

Недавно на АИН был пост, как раз в тему.

Tokolist Jul 28 2009 at 17:37

Да, точно! :) Спасибо!

Tokolist Jul 28 2009 at 17:11

Я имел в виду тег «ссылка, кнопка, отправить форму, html, javascript, css, извращения» :)))

Да, спасибо, я погорячился, есть ведь замечательный метод:

replaceChild(newChild, oldChild)

класс (если может использоваться несколько) можно проверять регулярным выражением приблизительно так

(^|\s)class(\s|$)

А name можно отправлять (если есть такая необходимость) создавая по нажатию на ссылку скрытый параметр.

Tokolist Jul 28 2009 at 16:38

Да, работает. Я чуть ниже уже это написал. Видимо где-то ошибся в коде, валидатором не проверил, а так как остальные браузеры прятали кнопку, то грешил на одну только Оперу :)

Tokolist Jul 28 2009 at 00:59

В Опере и ИЕ label для кнопки не работает вообще, поэтому даже если скрыть кнопку желаемого результата мы не добьемся…

Кстати, не понимаю в чем проблема, но у меня display: none; в Опере то работает, то не работает. Видимо что-то я перемудрил :)

Tokolist Jul 28 2009 at 00:13

К сожалению, вариант не кроссбраузерный… Не работает в IE. В Опере не работает display: none; для кнопки (видимо из соображений безопасности). Фактически нормально работает только в Gecko и Webkit.

Tokolist Jul 28 2009 at 00:02

А нет… Извините, ошибся. Ваше решение и решение insa не работает в Опере. В Опере даже display: none; для кнопки не работает, видимо из соображений безопасности. Фактически нормально работает только в Firefox.