Много вопросов по Xss
 

Будет ли на форумах работать xss вставка внутри месаджа если она в виде hex?

Правка: Вопрос на счет Hex снят - снифер словил инфу, значит понимает, в IPB.
Возникли другие вопросы:

1) если допустить что админу приходят текстовые месаджи новых сообщений, увидит ли он в тексте xss?

2) И будет ли работать xss в подписи, у меня пока не получилось?

Правка: ответ дали - будет.


3) При использования hex кода получаем очень длинную строку, в опере окно очень сильно расширяется и текст xss палится, пока не знаю как обойти, ИЕ и Фаерфокс оставляют окно нормального размера. Если я не ошибаюсь, то xss-строку вида

можно записать как
и она останется работоспособной, или я не прав? Если это возможно, то есть ли тонкости в этом пункте?

4) Есть ли ограничение на количество xss-ловушек в одном сообщении? У меня такое ощущение, что работает только если используется 1.

5) Заметил странную особенность, но не могу ее объяснить - одни и те же версии браузеров, но с разных компов, и видимо с разными настройками не всегда попадают в лог сниффера. Какие должны быть настройки включены чтоб xss проходил? Возможно включить "allow popups" или низкий уровень приватности? С домашнего компа, у меня с трех браузеров на всех xss я получаю 0 - не срабатывают. Я не могу из-за этого найти идеально рабочий вариант для всех ситуаций

В подписи работает.... Xss скрывай цветом... т.е. пиши текстом под цвет форума.

Согласен но маленький совет ... юзай прогу Pixie что бы точно определи цвет фона

А я делал скрин и определял в фотошопе...

;) я уже нашел софтину, очень удобная, если не считая что шорткаты у меня не работают

как показали мои опыты, фотошоп определяет не совсем верно, более того, в разных браузерах парные сообщения отличаются по цвету от непарных на форуме, это точно так в исследуемом IPB. Для примера - опера и фаерфокс сообщения парные и непарные делают разным цветом, а вот ИЕ одним.

UP

Добавил вопросы в исходное сообщение
2 модератор - если не сложно, измените тему на "Много вопросов по Xss"

PS Почему в Флейм кинули?

на крайняк можно CSS классы поковырять тока вот проблемка - на форумах бывают скины =)

1 Смотря какие фильтры стоят.
3 Вроде тама после перевода на другую строку добавлятеться <br> во многих форумах.(что не позволяет осуществить)
4 нету только если ошибки в страницах, или чо нить хотя малоо соображаю.
5 Смотря какие коды юзаешь некоторые только будут работать в ие, другие во многих, если ты делаешь бб кодами то вроде пахает тока под ие и еще вроде какой то бразуер если постораться (опера вроде)

юзаю те, которые обычно указаны в темаз "Уязвимости форума SOMEFORUM"