Xss В Контакте

Discussion in 'Мировые новости. Обсуждения.' started by Sharky, 5 Jun 2008.

  1. Sharky

    Sharky Elder - Старейшина

    Joined:
    1 May 2006
    Messages:
    749
    Likes Received:
    312
    Reputations:
    46
    В популярной социальной сети ВКонтакте.ру, в сервисе Приложения, обнаружена XSS-уязвимость.

    Она заключается в том, что в исходный код флэшки можно внедрить javascript, который при прямом доступе к флэшке исполнится, как и в IE, так и в Firefox'е. Это, конечно, разработчиками ВКонтакте учтено: прямой доступ к флэшке запрещен. Но флэшка сохраняется в кэше браузера, откуда ее можно загрузить без проблем.

    На этом основан proof-of-concept. Когда флэшка сохранилась в кэше браузера, то она может открыть новое окно с ссылкой на себя, браузер ее загрузит из кэша - и javascript выполнится.

    Единственное, что спасает, - это блокировщик всплывающих окон. Но обычные пользователи, видя, что открывает его ВКонтакт, блокировку снимут. Работоспособность во всех браузерах не гарантирована, проверялось на IE6 и FF3RC1.

    ТЕСТ (новое окно открывается через 2 секунды)

    (с) habrahabr.ru
     
    5 people like this.
  2. AFoST

    AFoST Elder - Старейшина

    Joined:
    28 May 2007
    Messages:
    630
    Likes Received:
    485
    Reputations:
    176
    угу... в опере работает....
     
  3. [:|||||:]

    [:|||||:] Banned

    Joined:
    29 May 2008
    Messages:
    77
    Likes Received:
    61
    Reputations:
    11
    Хз, я пробовал давно еще код внедрить- в опере не работало.
    А вообще недостойная новость. Во-первых, тема Контакта неактуальна и банальна, во-вторых, уязвимостей там не так уж мало- так что, на каждую заводить по теме?
     
  4. mr.The

    mr.The Elder - Старейшина

    Joined:
    30 Apr 2007
    Messages:
    1,126
    Likes Received:
    459
    Reputations:
    38
    ты из будущего? 0_о
     
  5. Zedobat

    Zedobat Elder - Старейшина

    Joined:
    24 Jul 2007
    Messages:
    154
    Likes Received:
    34
    Reputations:
    10
    На позапрошлой неделе обсуждалось на канале #rst :)
     
  6. Spyder

    Spyder Elder - Старейшина

    Joined:
    9 Oct 2006
    Messages:
    1,431
    Likes Received:
    1,209
    Reputations:
    475
    фф заругался на всплывающее окно
     
    1 person likes this.
  7. Solide Snake

    Solide Snake Banned

    Joined:
    28 Apr 2007
    Messages:
    469
    Likes Received:
    841
    Reputations:
    69
    Угу, не актуальна, не считая того что это самый посещаемый ресурс в рунете))
    Уязвимостей серьёзных мало.

    З.Ы. В опере пашет
     
  8. [:|||||:]

    [:|||||:] Banned

    Joined:
    29 May 2008
    Messages:
    77
    Likes Received:
    61
    Reputations:
    11
    Посещаемый- да. Но не имеет никакой ценности, имхо...
     
  9. NeOz

    NeOz Banned

    Joined:
    26 Jul 2006
    Messages:
    50
    Likes Received:
    44
    Reputations:
    -5
    в опере пашет.

    реально внедрить вот такой запрос?:

    http://vkontakte.ru/mail.php?act=sent&to_id=АЙДИ_КОМУ_ОТПРАВЛЯТЬ_КУКИ&title=123&message=javascript:document.write(document.cookie);
     
  10. Kaimi

    Kaimi Well-Known Member

    Joined:
    23 Aug 2007
    Messages:
    1,936
    Likes Received:
    799
    Reputations:
    219
    Ты просто не умеешь их готовить (с)

    Там при отправке ещё хэш со страницы отправки берется вроде.
     
  11. Isis

    Isis Мафиозя //хекед :D

    Joined:
    20 Nov 2006
    Messages:
    3,483
    Likes Received:
    1,193
    Reputations:
    241
    К счастью, первый это нашел +toxa+, причем давно
     
  12. geforse

    geforse Elder - Старейшина

    Joined:
    2 Mar 2008
    Messages:
    704
    Likes Received:
    290
    Reputations:
    1
    XSS уже не актуальна ?
     
  13. Sharky

    Sharky Elder - Старейшина

    Joined:
    1 May 2006
    Messages:
    749
    Likes Received:
    312
    Reputations:
    46
    актуальна...всё работает
     
  14. podkashey

    podkashey С крышкой по жизни!

    Joined:
    18 Jun 2005
    Messages:
    784
    Likes Received:
    351
    Reputations:
    353
    Покажи как мне баги в нем, умник.
    Еще один, аналогично.
    Понимаю что это понты такие, только слова надо обосновывать - скиньте баги, можно в ПМ.
     
    2 people like this.
  15. etc

    etc Elder - Старейшина

    Joined:
    16 Feb 2008
    Messages:
    113
    Likes Received:
    175
    Reputations:
    1
    Ну, вобщем что-то там уже намутили не хорошее с Xss злые одмины :)
     
  16. AlexV

    AlexV Elder - Старейшина

    Joined:
    29 Feb 2008
    Messages:
    562
    Likes Received:
    561
    Reputations:
    81
    Как неактуальна!? Очень даже актуальна для виросописателей, спамеров и рекламщиков... Не так уж много!? - раз такой умный - поделись особо интересными уязвимости - как к примеру рейтинг поднять до 10 тыщ!? :))
     
    #16 AlexV, 7 Jun 2008
    Last edited: 7 Jun 2008
Loading...