Показать сообщение отдельно

  #5  
Старый 17.08.2011, 15:01
XAMEHA
Новичок
Регистрация: 15.05.2010
Сообщений: 0
Провел на форуме:
2268

Репутация: 0
По умолчанию

Цитата:
Сообщение от .::f-duck::.  
Есть чятик. В чятике есть функция создания своего канала. Вот в поле "название канала" можно вставлять любой javascript, но уже потом, после создания, в title созданного канала это все дело фильтруется. Но при первичном отсылании запроса - js исполняется. Внимание вопрос: можно-ли как-то сделать так, что бы не надо было впаривать юзерам самим ввести js?
Если нет проверки referer, капчи, токенов - то можно. Это POST XSS. Нужно создать HTML файл с зловредной формой, и написать яваскрипт отправляющий её на сервер. Если всё получиться, то спрятать её в IFrame на каком ни будь сайте.

P.S. Можешь стукнуть в ПМ.
 
Ответить с цитированием