Форум АНТИЧАТ - Возможность использования xss на yandex.ru и rambler.ru

ANTICHAT — форум по информационной безопасности, OSINT и технологиям

ANTICHAT — русскоязычное сообщество по безопасности, OSINT и программированию. Форум ранее работал на доменах antichat.ru, antichat.com и antichat.club, и теперь снова доступен на новом адресе — forum.antichat.xyz.

Форум восстановлен и продолжает развитие: доступны архивные темы, добавляются новые обсуждения и материалы.

⚠️ Старые аккаунты восстановить невозможно — необходимо зарегистрироваться заново.

#21

05.11.2007, 14:25

LeverOne

Познающий

Регистрация: 22.02.2006

Сообщений: 67

Провел на форуме:
4155100

Репутация: 2033

Кука рамблера "rsid" (сессионная) устанавливается с параметром httpOnly. Этот параметр не позволяет получать к ней доступ, используя document.cookie. На mail.rambler.ru эту куку также невозможно получить таким способом. Сначала этот параметр поддерживался только ИЕ, теперь еще и Файрфокс. И это боян, ребята!

Таким образом, приведенным кодом можно получить все куки, включая rsid, только если юзер-испытуемый пользуется Оперой (проверено на v9.24). Все, что описано в статье в части рамблера, может использоваться только для таких случаев.

Кука rsid передается во все зоны, куда передаются rlogin и ruid, поскольку настройка домена, которую можно посмотреть в любом куки-редакторе, у них одинакова.