Всем привет только что писал троя, а обнаружил ХСС-ку на крупном почтовике!!!
Объясняю принцип действия подручными средствами, т.к не хочу полить, наверное уже сейчас мега червя.
1) Регим мыло допустим на tut.by, я сделал такое xacker@tut.by
2) Настроим перенаправление почты на другой адрес, т.е target@gmail.com
3) Берём клиента какого-нить почтовика, я брал The Bat!
4) Пишем новое письмо на адрес xacker@tut.by к которому присоединяем аттач
с именем XXXXXXXX.html c таким содержимым:
<script>alert('XSS found OneMiay');</script>
5) Отправляем.
6) Заходим на target@gmail.com и жмём Загрузить - видим





Или если текст файла:
<script>alert(document.cookie);</script>





Пускай ХСС-ка пассивная, но никто не мешает заменить имя файла и адрес отправителя. (RFC SMTP)

Автор не несёт никакой ответственности за предоставленную информацию, так как она изложена ради вашей же безопасности. Ответственность за неправомерное применения данной информации ложиться только на вас и карается УК РФ ст. 272