@Virage Nawet jeśli wzrost cen miesiąc do miesiąca (a o takim mówisz w swoim wpisie) wynosi choćby 1% to jest to już dużo. Zakładając, że każdego miesiąca ceny wzrastają "tylko" o 1%, to oznacza, że po dwunastu miesiącach wzrost cen wyniesie (1,01)^12 = 1,1268, czyli innymi słowy - rok do roku to wzrost o prawie 13%.

Z kolei jak wymnożysz dane od początku tego roku (dzieląc je najpierw przez 100) toPokaż całość

@Curus_Bachleda: u mnie combo: zarówno niedosłuch, jak i szum w uszach (od ponad 10 lat). Lekarze niestety nie pomogli, jedynie aparat słuchowy coś daje. Ale, jak mawia klasyk, można się przyzwyczaić ;]

@Khaine: Najważniejszym pytaniem, na jakie musisz sobie odpowiedzieć, to: "przed jakimi atakami chcesz się bronić", czyli jaki masz model zagrożeń. Ktoś kiedyś ładnie powiedział, że "bezpieczeństwo bez modelu zagrożeń to nie bezpieczeństwo - tylko paranoja" ;)

Czas ważności tokena jest kwestią, która bardzo mocno zależy od typu aplikacji - trudno dać tutaj ogólne zalecenie, że wszystkie aplikacje powinny mieć sesje o ważności maksymalnie x minut.

Jeśli rzeczywiście boisz się, że ktośPokaż całość

@KacperSzurek: sandbox nie jest konieczny - wystarczy iframe z URL-em typu data:.

@KacperSzurek: Co ciekawe, nie trzeba mieć zainstalowanego Burpa, by skorzystać z ClickBandita, bo twórca wrzuca też jego źródła na GitHuba:
https://github.com/hackvertor/clickbandit/blob/master/clickbandit.js

@InnyKtosek: W odniesieniu do OAutha, to jeśli używany jest flow "implicit grant", to wówczas client secret nie jest potrzebny, więc open redirect może być przydatny.

Ponadto open redirect jest ciekawy w aplikacjach, które opierają się o jakiekolwiek mechanizmy typu webview (jak zalinkowany wyżej mój tekst o Hangouts Chat).

Moim zdaniem open redirect jako możliwość wykonania phishingu to faktycznie dość naciągany atak. Natomiast, jak wspomniał @ZaufanaTrzeciaStrona, przydaje się przyPokaż całość

@fizyk20: Jak dla mnie - kryptograficznie (ideowo) rozwiązanie wydaje się okej.. Mam jedną uwagę do implementacji. W funkcji constructmessage masz:

return main_domain.encode("utf-8") + domains.encode("utf-8") + challenge
Jak budujesz wiadomość do podpisu, to koniecznie muszą być separatory pomiędzy konkatenowanymi elementami. Inaczej jest ryzyko, że dwie różne wiadomości mogą dać ten sam podpis. Wynika to z faktu, że np. "123"+"456" daje ten sam wynik co "12"+"3456".

Inne małe ryzyko jakie może tutaj być, toPokaż całość

@Antwito: Jak już wyżej napisano, hasło nie jest nigdzie przechowywane - jest tylko używane do zbudowania klucza do deszyfracji. Z kolei jeśli dane próbujesz deszyfrować kluczem, który jest niepoprawny, to w wyniku takiej deszyfracji dostaniesz tylko śmieci. Wiesz więc, że klucz jest niepoprawny, ale nie wiesz jaki jest poprawny.

Możesz sobie zobaczyć demo np. dla algorytmów używanych przez bibliotekę TweetNaCl: https://tweetnacl.js.org/#/secretbox .

Kliknij sobie najpierw "Random" przy "Key" oraz "Nonce", a następniePokaż całość

@ultraoptymista: Co ciekawe, tą właściwością name możesz nadpisywać standardowe metody w document ( ͡° ͜ʖ ͡°)

https://jsbin.com/hedolavoni/1/edit?html,output

@onechaos:

Po pierwsze: lastDigit = value % 10.

Po drugie: możesz skorzystać z magii, z której korzysta gettext i użyć gotowego wyrażenia, które zwraca 0, 1 lub 2 w zależności od tego jaka forma ma być użyta:

plural=(n==1 ? 0 : n%10>=2 && n%10<=4 && (n%100<10 || n%100>=20) ? 1 : 2);

Super gierka, ale dość szybko sobie poradziłem ze wszystkimi etapami.

@ZasilaczKomputerowy: To spróbuj tego:
https://xssgolf.appspot.com/ (inna XSS-owa gierka Google ;))

I jeszcze (łatwiejsze niżPokaż całość

@look997: Jedyne, co mi przychodzi do głowy, co pasuje do opisu, to Service Workers, gdzie można z poziomu API w JS kontrolować wszystkie zasoby pobierane przez aplikację. Dzięki SW można faktycznie sterować, które elementy mają pobierane z cache'u, a które muszą być odświeżone.

Wygląda jednak na to, że akurat Facebook nie korzysta z SW, a przynajmniej u siebie go nie widzę w chrome://serviceworker-internals/ .

Jeszcze link do małego opisuPokaż całość

@asunez: Mógłbyś wkleić pierwszych dziesięć liczb jakie widzisz w C# (czyli w takiej formie jak chcesz je widzieć), a potem też pierwszych dziesięć elementów tego bytearraya, którego dostajesz w Pythonie?

@asunez: Hm, okej, chyba na początku źle zrozumiałem w czym tak właściwie jest problem ;)

W takim razie literal_eval faktycznie powinien dać radę. Innym rozwiązaniem mogłoby być zrobienie split po przecinku i zrobienie casta wszystkich wartości na inta.

Coś wPokaż całość