How to become an author
Search
Write a publication
Pull to refresh

Comments 145

Напомните ссылку на хабраредактор, а то самому страшно.
Total votes 10: ↑7 and ↓3+4
Судя по тому, что вы перешли по ссылке от явно спам письма, то об этой фразе «Комп кристально чист и не заразен…», можно забыть.
Total votes 4: ↑3 and ↓1+2
Согласен, но в данном случае: Думаю мало кто возьмется спорить с тем при использовании последних версий постоянно развивающихся альтернтивных браузеров выполнение кода на локальной машине практически исключено. С учетом также моего патологически-параноидального отношения к авторанам на флешках, левым экзешникам, с наличием на компьютере продуктов, организующих безопасность на нем в конце концов… Ну следуя из всего этого я так заключил. Все чисто, разве что не блестит =)
Total votes 2: ↑2 and ↓0+2
щас вконтакте подсуетится и закроет дыру. надеюсь.
Total votes 11: ↑10 and ↓1+9
всегда к этому идет, когда подобные вещи вылезают в паблик =)
Total votes 3: ↑2 and ↓1+1
да я же только за. хотя не ясно тогда сколько же получают программисты вконтакте если они допускают такие ошибки (под словом получают имелось ввиду и сумма зп и их проф уровень). это же не сайт васи пупкина. это громадная соц сеть которую должны пробовать на взлом хакеры (само собой по заказу владельцев вконтакте), специалисты по безопасности и тд и тп.

не понимаю…
Total votes 9: ↑7 and ↓2+5
На этот вопрос Вам ответит вакансия, которая светилась относительно недавно там…
Вкратце — програмист-верстальщик-дизайнер.
Хотя со всеми бывает… Может человеческий фактор.
Total votes 8: ↑7 and ↓1+6
Цель программсита побыстрее сдать код и получить деньгию. Плевать он хотел на вашу безопасность. Вы посмотрите на винду какую-нибудь, мегакорпорация, а делают систему на уровне разработок 20-летней давности. Победил индус-стайл кодинг, ничего не поделаешь.

Хотя избегать XSS — проще простого.
Total votes 33: ↑5 and ↓28-23
1. не все программисты которые просто хотят денег.
2. винду делают между прочим на высочайшем уровне на котором ни вам и ни мне не снилось даже. cmm5 в полной мере это вам не вася пупкин ко. а то что у них есть баги — я бы на вас глянул с таким обьемом кода сколько бы там багов было.

плохо то что программситы знают о дыре и не закрывают.
либо это кому то выгодно, либо это кому то выгодно :) ибо уважающий себя программист узнав о дыре сразу же полезет ее латать.
Total votes 11: ↑11 and ↓0+11
Это не так. Практически у любого программиста (вне зависимости от уровня самоуважения) есть начальство…
Total votes 2: ↑2 and ↓0+2
значит дыра выгодна начальству, или их начальству и тд…
лично я не вижу других причин не закрывать зная про нее
Total votes 1: ↑1 and ↓0+1
Причина — деньги. Грубо говоря при выполнении заказа фирмой далеко не всегда в ТЗ оговаривается безопасность создаваемого продукта, или это идет за отдельную цену и влечет за собой какие-либо гарантии.
Total votes 2: ↑2 and ↓0+2
1. Есть, но их маловато.или они видимо работают в каих то других областях.
2. Я не знаю, что такое cmm5, я про интерфейс. Извините, но эти несчастные меню, окошки, диалоги сохранения файла, и прочая хрень (Меню «Пуск», когда же оно сдохнет!), стыренная у ксерокса и эппл, придуманы лет 30 назад, они давно и безнадежно устарели. Впрочем, когда МС тырит идеи, это еще ничего, а вот когда сами придумывают, получается ужас типа ribbon. Хотя наверно, это вечный религиозный спор :)

Программситы, авозможно, все заняты, им не до этого, и с чего кстати вы взяли, что они о ней знают.
Total votes 24: ↑3 and ↓21-18
Да-да! А ещё Microsoft стырил идею одинаковые повторяющиеся действия объединять в цикл! ;-)
Total votes 7: ↑7 and ↓0+7
Как вы заебали сунуть свой эппл и ругать винду. Разговор вообще не об этом
Total votes 15: ↑15 and ↓0+15
Ну так обидно купить эпл, в двое заплатить против писи и не получить ничего реально выдающегося. (:
Total votes 5: ↑4 and ↓1+3
Скорее всего имелось ввиду CMMI For Development Maturity Level 5, который крайне тяжело получить.
Total votes 2: ↑2 and ↓0+2
обвините тойоту что украли у форда идею движущийся тележки на четырех колесах…
Total votes 4: ↑4 and ↓0+4
UFO just landed and posted this here
Майкрософту выгодно выпускать Windows с багами, ведь можно будет продать следующую версию Windows, которая безопаснее, удобнее и современнее.
Total votes 8: ↑3 and ↓5-2
Винда? Да ну бросьте, не всегда старый код плох. Или то, что vi уже 33 года, уже не аргумент?
This comment wasn’t rated yet0
Вы считаете, что винду надо сделать в стиле vi? С простым и понятным даже новичку интерфейсом?

У нее сейчас то интерфейс непонятный, без толстенного мануала не разберешься. а vi вообще человеку нормальному не осилить.
Total votes 1: ↑0 and ↓1-1
Это сайт Пашки Дурова, учитывая направление его развития, его не сервис интересует, а купоны.
Total votes 5: ↑0 and ↓5-5
Хех. Вконтакте глюки верстки в профиле не могут месяца 3 подправить, только на моей памяти… что уж говорить об программинге :)
Total votes 4: ↑2 and ↓20
Думаю, тут приоритеты другие.
Total votes 4: ↑4 and ↓0+4
Дырка жива давно. Народ не чешется.
Total votes 3: ↑3 and ↓0+3
Кстати, да. От жены таким же образом рассылались сообщения чуть ли не полгода назад. После краткой лекции «не ходить по левым ссылкам и т.д.» и смены пароля — более не повторялось.

А вот у её знакомой в одноглазниках было ещё интереснее: аналогичный спам, но разным людям — разный, причём сделано просто офигенно, и выглядит как продолжение переписки (с цитированием и более-менее осмысленным комментарием), после которого идёт «кстати, я тут в конкурсе участвую, бла-бла-бла....». Самое интересное — конкурс от самих одноглазников. Что ещё интереснее — через пару дней письма самопроизвольно удалились.
This comment wasn’t rated yet0
Вот так и я удалился из Одноклассников. Позорище хуже ВКонтакте.
Total votes 4: ↑3 and ↓1+2
Очень вряд ли — до сих пор вон просмотр скрытых фотографий латают
Total votes 3: ↑3 and ↓0+3
Да мне думается что не латают вовсе — там невелика проблема, исправить все можно за день-другой. При желании, конечно.
This comment wasn’t rated yet0
Ага, некогда — монетизацией, бедные, занимаются :)
Total votes 2: ↑1 and ↓10
Судя по сообщениям на форуме их техподдержки — уязвимости полгода минимум, а вот закрывать её они не горят желанием. Сам вчера так же попался :)
Total votes 4: ↑4 and ↓0+4
ответ на описание уязвимости на форуме: «знаем».
This comment wasn’t rated yet0
UFO just landed and posted this here
Как бе — «В работе над новым поиском участвовали лучшие программисты планеты.» © Блог ВКонтакте. :D
Total votes 3: ↑2 and ↓1+1
Эм… Может у них уже своя какая-то планета?)
Total votes 2: ↑1 and ↓10
UFO just landed and posted this here
цитатка как раз оттуда:
«Если Вы считаете, что для успешной работы программисту требуются специальные тестеры и менеджеры по качеству, мы с Вами живем в разных мирах.»
Total votes 5: ↑5 and ↓0+5
Странно что полгода, ведь gsearch.php появился буквально пару месяцев назад.
This comment wasn’t rated yet0
да, вы правы, я перепутал сообщения. В феврале говорилось о какой-то другой уязвимости. Сабжевая упоминается в начале июня
This comment wasn’t rated yet0
Безопасный браузер ничего не гарантирует (в данном случае это XSS-уязвимость на «крупнейшем сайте рунета»), а вот бдительность усыпляет

This comment wasn’t rated yet0
Случано отправилось…
Так вот к тому же ФФ есть Noscript, который по идеи такую заразу должен уметь резать.
Total votes 26: ↑13 and ↓130
xss — лажа сайта, а не браузера.
Total votes 18: ↑18 and ↓0+18
С этим никто не спорит и исправлять это конечно надо на уровне кода веб-приложения.
Но страдает от этого «браузер» и поэтому дополнения вроде Noscript безусловно полезны и выполняют свои функции неплохо.
Total votes 9: ↑5 and ↓4+1
посмотрел на описание этого плагина, он же только отключает скрипты для конкретного сайта, в опере (использует автор статьи) такое есть, но толку мало, надо же знать, что сайт с уязвимостью.
Total votes 1: ↑0 and ↓1-1
Почитайте более подробно как работает. Он в по умолчанию отключает все скрипты, а вы уже включаете скрипты для конкретного сайта/домена.
Total votes 14: ↑8 and ↓6+2
Он блокирует все XSS и подозрительные скрипты. Отключать можно гибко, лучший плагин для безопасного серфинга.
Total votes 3: ↑3 and ↓0+3
Что значит «все XSS»? Все скрипты, обращающиеся на сторонние хосты/подгружающиеся со сторонних хостов?
Total votes 2: ↑2 and ↓0+2
The Noscript Firefox extension provides extra protection for Firefox, Flock, Seamonkey and other mozilla-based browsers: this free, open source add-on allows Javascript, Java and Flash and other plugins to be executed only by trusted web sites of your choice (e.g. your online bank), and provides the most powerful Anti-XSS protection available in a browser.
Total votes 4: ↑2 and ↓20
за что минусы? у меня noscript по-умолчанию разрешает все скрипты на всех сайтах, но после попытки перейти по ссылке «демонстрирует это» noscript написал, что заблокировал потенциальную xss атаку. так что все он умеет и режет.
Total votes 8: ↑8 and ↓0+8
забыл добавить — никакого алерта не было. попробовал в опере — выскакивает.
This comment wasn’t rated yet0
Не знаю за что минусы, но я подобные вещи не использую т.к. представляется некоторая аналогия такой надстройки с фаерволом и его правилами. Но если фаерволом я реально защищаю свою машину, и впринципе все прозрачно для пользователя разрешается/запрещается, а noscript — зная, как в вебе все подгружается не понять откуда и куда (хосты разные даже в пределах одного ресурса, тот же вконтакте с их серверами фотографий формата csXXX.vkontakte.ru и не только) — не заморачиваюсь в общем, а считаю что все XSS-проблемы должны решаться на стороне сервера. Т.к. на 100% тут noscript всеравно не спасет (нет четких правил что можно, а что нельзя подгружать), а вот время отнимет на то чтобы разбираться со всем этим. Когда я хочу зайти в веб, на какой-нибудь сайтик, посмотреть там фотки гламурненьких машинок и собачек, а не думать о работе, настраивая правила безопасности :) имхо.
Total votes 2: ↑0 and ↓2-2
Ваши бы принципы да веб-разработчикам в уши. Вот оно и решается допустим на том же «В контакте». Решается долго, а в это время происходят атаки, описанные вами же. Пользователям ждать, когда же наконец-то разработчик исправить XSS и «не пользоваться интернетом»? Никто не отрицает того факта, что надо исправлять на стороне сервера, но время обнаружения/исправления/тестирования обычно не такое маленькое как вы себе видимо представляете. Noscript помогает как раз в этот промежуток (когда разработчик наконец-то додумается исправить баг) пользователям избежать атаки.
Total votes 1: ↑1 and ↓0+1
Ну я нигде не сказал что «noscript не нужен», я просто объяснил почему это не является настоящим решением проблемы, и рассказал почему не пользуюсь сам. Раз существует — значит это действительно кому-то нужно, но и не обязательно что нужно сразу всем.
This comment wasn’t rated yet0
для наибольшей безопасности нужен nohtml <_<
Total votes 8: ↑8 and ↓0+8
кстати у меня на незалогиненом в контакте по вашей ссылки для проверки уявзимости выдало запрос на логин и никакого алерта. таки логинится надо чтобы поиск работал.
Total votes 2: ↑1 and ↓10
Да, в этом случае надо логиниться, иначе не работает.
Total votes 1: ↑1 and ↓0+1
UFO just landed and posted this here
Noscript вам в браузер. Спасает от XXS и от Javascript на ненужных страницах.
Total votes 8: ↑6 and ↓2+4
Клиентская часть защиты это хорошо, но это не устраняет корень проблемы, который как был на сайте, так и есть.
This comment wasn’t rated yet0
Да я все это понимаю, но ошибки будут всегда. От этого никуда не деться, за всем не уследишь. Поэтому Noscript и есть.
Total votes 3: ↑3 and ↓0+3
Вот именно. Ошибки исправлять конечно надо в веб-приложениях, но и Noscript на всякий случай держать не помешает.

Блин, какие-то умники заминусовали..:(
Total votes 7: ↑4 and ↓3+1
Да не переживай за минусы =) Я вон из -2 год вылезти не могу и не расстраиваюсь =)
Total votes 5: ↑1 and ↓4-3
Дурыч посасывает хуйцы в очередной раз :) А ведь клятвенно заверял, что никаких уязвимостей на их сайте нет и быть не может, а весь спам это из за глупых пользователей, оставляющих свои пароли где попало…
Total votes 72: ↑58 and ↓14+44
Наверно идеальный пользователь в его понимании это тот, который сидит только в контакте и других сайтов для него не существует. Что ж, он пожалуй в безопасности :D Ах да, приложения тоже запускать не желательно
Total votes 11: ↑10 and ↓1+9
Дуров за Интернет и против Экстернета. =)
Total votes 8: ↑8 and ↓0+8
Дуров много что клятвенно заверял =) Про эту уязвимость «девёлопёрам» известно уже месяца 2 точно, воз, как видно, и ныне там =) Получается как в басне, практически =) Дуров весь в белом, аки лебедь, вконтактёры раком… ну и где-то еще с… щуки-спамеры =)
Total votes 5: ↑5 and ↓0+5
… и про отсутствие рекламы в самом начале их развития неоднократно говорилось =)
Total votes 4: ↑3 and ↓1+2
реклама это ладно. я ее просто игнорирую. а они деньги получают. так что не парит. а деньги нужны всем, хоть убей.
Total votes 4: ↑3 and ↓1+2
«зарплаты будут больше, жилье дешевле»… слышали все это ;)))
Total votes 2: ↑2 and ↓0+2
Дуров говорил про сферического пользователя в вакууме
Total votes 7: ↑7 and ↓0+7
подобное заявление — уже глупость=))
Total votes 1: ↑1 and ↓0+1
О, эта уязвимость не нова. Сначала я видел людей, рассылающих друзьям на стены сообщения вида «глянь третий ролик в пятом ряду на этом порносайте, это очень смешно», потом стали приходить уже мне личные сообщения с тестом IQ и фразой «приветик» от довольно брутальных по характеру парней. От этого ведь не защитишься на стороне сервера?
Total votes 2: ↑2 and ↓0+2
Ох уже эти социалки, ох уж эти разработчечги…

offtop: Не первый год с интересом наблюдаю за всем, что творится в этих вконтактах-одноклассниках-соседях-социалках и тихо радуюсь, что до сих пор так и не зарегистрировался там.
Total votes 14: ↑6 and ↓8-2
UFO just landed and posted this here
Требуется нотариально заверенный скриншот! :)
А то у меня нет логиа вконтакте, не могу посмотреть что там по ссылке.
Total votes 7: ↑3 and ↓4-1
Вообще 777 ничего не обозначает, я там просто alert(777); я привык алертить цифры, т.к. если получается с цифрами, то например в этом случае даже фильтрацию на кавычки можно обойти тем же String.fromCharCode(), закодировав нужный код.
P.S. Хотя нет, наверное все-таки обозначает. Знаете, в рулетке когда 777 выпадает — Удача значит! =)
Total votes 3: ↑3 and ↓0+3
Это как раз XSS — выполнение кода в контексте безопасности уязвимого сайта. Выполняющийся код имеет доступ к кукам своего домена, в данном случае это vkontakte.ru, а вот сами данные передаются на сторонний сервер
This comment wasn’t rated yet0
Там и то и то
Сначала csrf а уже внутри xss
Тема безопасности вконтакте может собрать много прикольных аббревиатур…
Total votes 6: ↑6 and ↓0+6
а… там xss на странице, на которой предупреждение о переходе на сторонний ресурс?
пардон тогда, это не совсем очевидно из текста поста для людей, которые редко пользуются сабжем.
This comment wasn’t rated yet0
Это не страница вконтакта, это «главная» _там_. На ней все это наглым образом и работает пока пользователь читает текст…
This comment wasn’t rated yet0
если это главная страница там, тогда это csrf.
где тут xss?
This comment wasn’t rated yet0
В самом контакте. А реализовано все вместе с помощью и CSRF и XSS, да.
This comment wasn’t rated yet0
xss там потому что работает в поле поиска js код
csrf там потому что можно работать с контактом через чужой сайт заполняя нужные поля автоматом

ваш КО
Total votes 1: ↑1 and ↓0+1
угу, торможу. спасибо за терпение :-)
This comment wasn’t rated yet0
понял, пардон. торможу.
This comment wasn’t rated yet0
«ну и естественно, сидя на опере, чуствуя себя в безопасности»
…
«В IE не работает, т.к. там нет поддержки протокола «data:»»

Ну и кто тут безопаснее?
А вообще, наивно думать, что существует безопасный браузер. «Я пользуюсь оперой, теперь меня не достанут хакеры!», «ЗА FF я как за каменной стеной!»
Total votes 13: ↑4 and ↓9-5
data: это только в мной написанном примере для демонстрации, т.к. меня бы заминусовали если бы я сделал сслыку в iframe на свой файлик с алертом, и правильно бы сделали, т.к. там может быть совсем не алерт.
А у них полноценный кросс-браузерный прикол.
Total votes 2: ↑2 and ↓0+2
ага, щас еще unity: добавился :)
Total votes 4: ↑2 and ↓20
наверное не стоило это писать. Не читайте тот комент :)
Total votes 7: ↑7 and ↓0+7
>ну и естественно, сидя на опере, чуствуя себя в безопасности я перешел по этой ссылке.

безопастной бывает только гиря без ручки, в квадратном цементном блоке и то не на 100%
Total votes 2: ↑2 and ↓0+2
Гиря в цементном блоке — очень опасная вещь!
Total votes 6: ↑6 and ↓0+6
Так еще опасней, неудобно перемещать и может выскользнуть
Total votes 2: ↑2 and ↓0+2
да, я порой легкомысленен =)
This comment wasn’t rated yet0
я вот думаю, что вариантом защиты (пока дыру не залатали, разумеется) может быть следующий плагин:
он смотрит содержимое страницы, декодит все ссылки в plaintext, а потом если находит в них переход на vkontakte.ru с левого сайта, то запрашивает подтверждение у пользователя.
такие реквесты будут всплывать не часто (у меня может раз в 2 дня), а защита хорошая. что-то типо UAC в висте.
хорошо было бы все это написать как userjs, да вот только не факт, что яваскрипт успеет вовремя перехватить злобный переход
Total votes 4: ↑2 and ↓20
UFO just landed and posted this here
Похоже. Я тоже про это подумал, но времени нет ковырять. М.б. кто-нибудь займется…
This comment wasn’t rated yet0
Наверно, следы недавних доработок поиска. Попробуй найти кого-нибудь с днем рождения, скажем, 30 февраля. А раньше находило. :)
This comment wasn’t rated yet0
Упс. 30 февраля находит, а вот 32 мая — нет.
This comment wasn’t rated yet0
UFO just landed and posted this here
Никогда не будет решена проблема ВКонтакте. Поэтому лучше не открывать ссылки подозрительныее и не будет проблем лишних… Начиная от спама, заканчивая угонами ICQ и тд.
Total votes 1: ↑1 and ↓0+1
Подскажите,

«Закроется» ли эта бага, если везде будет нормальный escaping?

(не сотрудник ВКонтакте, интересует потенциально для своих сайтов)
Total votes 2: ↑1 and ↓10
Поидее именно это и нужно, но в случае с ajax возможно есть еще какие-либо особенности, о которых я не знаю.
This comment wasn’t rated yet0
Да, закроестся. В php можно использовать функцию htmlspecialchars($text, ENT_QUOTES, ваша кодировка), в smarty |escape:html, в джанго вроде все эскейпится по умолчанию.
Total votes 1: ↑1 and ↓0+1
от любопытных пользователей не спасет никакая защита :)
не силен в технологии, но куки воруют от многих сайтов, сколько раз уже писали на free-lance.ru про подобные случаи
У меня для всяких подозрительных ссылок отдельный браузер, с чистыми куками и кэшем, мало ли…

This comment wasn’t rated yet0
Эх, вот не зря у меня на незнакомых сайтах отключены ифреймы, явакрипт, флеш и прочая муть :)) Спасибо Опере за это))
Total votes 3: ↑0 and ↓3-3
UFO just landed and posted this here
А ещё на вконтакте можно в дате рождения можно ввести 31-е февраля. Какие-то мудаки, честно слово, разрабатывают этот сайт.
Total votes 3: ↑2 and ↓1+1
Мне тоже как-то делать было нечего, результат: 32 фебраля 31337 года. И отрицательный возраст.
Total votes 3: ↑3 and ↓0+3
скрин? сохранился?
This comment wasn’t rated yet0
Noscript отфильтровал потенциальную XSS-атаку

Так-то )
This comment wasn’t rated yet0
Это исключительно к фразе
Безопасный браузер ничего не гарантирует
This comment wasn’t rated yet0
Насколько я понимаю, спасет открытие сомнительных ссылок в хроме в режиме инкогнито.
This comment wasn’t rated yet0
теперь и в FF3.5 (на данный момент версия RC)
но точно ли спасет?
This comment wasn’t rated yet0
Точно. По крайней мере пример из статьи перестал работать… Неужели зашевелились?
Total votes 1: ↑1 and ↓0+1
Да дыру закрыли, а ведь даже жаль… =)
Total votes 1: ↑1 and ↓0+1
ага, видать закрыли.
This comment wasn’t rated yet0
потому что из приватов в массы вышла.
This comment wasn’t rated yet0
> И тут понимаю, что мое природное любопытство подвело меня и в этот раз. Вчера аналогичное сообщение пришло мне, ну и естественно, сидя на опере, чуствуя себя в безопасности я перешел по этой ссылке.

Я что-то не пойму, кто все-таки виноват? Если я ногой случайно сетевой фильтр выключу — это майкрософт виноват, что я под виндой работаю?

А вообще опера вроде частично блочит джаваскрипт между фрэймами с разными доменами?
Total votes 2: ↑0 and ↓2-2
Виноват кто? В обеспечении безопасности своего ресурса виноват вконтакт, в обеспечении же своей собственной безопасности, а также в нарушении психического здоровья моих друзей в результате спам-рассылки — виноват я сам =)

Насчет фреймов. Встречал я вот такой кусочек кода:

var iframe = document.createElement('IFRAME');
//have the IFRAME download the content we want to steal
iframe.src = 'http://site.com/AddressBook.php);
//make the IFRAME invisible
iframe.style=«width:0px; height:0px; border: 0px»
//set our function to call when the IFRAME is done loading
iframe.onload = callbackFunction;
//now add the IFRAME to the DOM.
Document.body.appendChild(iframe);

Это к слову для организации CSRF. Получается можно загружать и с разных хостов.
Total votes 1: ↑0 and ↓1-1
roem.ru/2009/04/25/addednews10574/
… durov 25.04.2009 21:55:48 #… Взламывают через фишинговые сайты, как и везде…
… durov 26.04.2009 07:56:36 #… был слив паролей с сайта free-lance.ru…

ну и т.д.
Total votes 2: ↑2 and ↓0+2
На самом деле: чем популярнее продукт, тем больше уязвимостей в нем найдут.
Будь это сайт, машина, телефон(привет iphone с псевдоуязвимостью), самый банальный справочник/учебник.
По сколько раз их переиздают/пересоздают? и, заметте, не просто так.
Это нормальный процесс. Отвалилась штукатурка, закрасили
Total votes 2: ↑2 and ↓0+2
Про штукатурку понравилось =)
Total votes 1: ↑1 and ↓0+1
интересно много ли хаброюзеров читают спам приходящий в ящик вкантакте?
Total votes 1: ↑0 and ↓1-1
Ну как минимум я не один «такой умный» =)
И почему-то кажется что хоть одним глазком его читают все. Хотябы тему сообщения.
This comment wasn’t rated yet0
И только мне начало казаться, что разрабы вконтактика научились на собственных ошибках и стали их меньше делать…
Total votes 1: ↑0 and ↓1-1
document.cookie…

Если бы они использовали httponly куки для авторизации, то как минимум не пострадали бы пользователи браузеров поддерживающих такие куки:
www.owasp.org/index.php/HTTPOnly

Странно что кто то для session id еще использует куки без httponly. Может я чего то не знаю и на это есть причины?
Total votes 2: ↑2 and ↓0+2
Вы определенное редко посещаете контакт) Такое стабильно присылается раз в неделю мне ну и посылается далее -на***- в спам без прочтения. Ну… контакт тот еще дуршлаг)) Хотя у меня всегда складывается ощущение, что большенство, так называемых багов там, сделаны специально) например доступ к закрытым фотоальбомам видео и прочь), но конешно эта дыра к такого рода не относится…
Total votes 4: ↑1 and ↓3-2
Доступ, например, к картинкам как файлам сделан правильно (то, что любой может открытьлюбой файл — картинку). Если прогонять всю медию через серверный скрипт, у них всё там поляжет.
Total votes 1: ↑1 and ↓0+1
UFO just landed and posted this here
Эхх. А я успел при помощи этой атаки поприкалываться на другом (менял статус у него).
Хотел было приколоться, сделать сервис «Залогинься на любой аккаунт вконтакта». Не успел :)
Total votes 1: ↑1 and ↓0+1
Sign up to leave a comment.

Articles

Show the best of all time

Your account

Sections

Information

Services

Support
© 2006–2024, Habr