[a.....r]

Wygląda na to, że jest już poprawiony, stąd mogę wyjawić błąd XSS jaki był jeszcze wczoraj na wykopie:

http://screencast.com/t/DwBKlbJr

#wykop #xss

[anonim1133]

@almafater: O, fajne. Ale... jaka jest korzyść z takiego XSS? Co możesz zrobić? Wykraść jakiś klucz sesji, czy coś?

[Colek]

@anonim1133: zawładnąć światem.

[dyktek]

@almafater: no ok ale skoro tam nie jest wpuszcza na inna domena niz yt i vimeo to co z tym zrobisz? film nakręcisz :) aha już to zrobiłeś to sory że pytam

[a.....r]

@anonim1133: Klucz sesji to jedna z opcji co można zrobić. Inna jest taka, że mogę zrobić dowolną rzecz, którą możesz zrobić na Wykopie. Czyli mógłbym zrobić samowykopujące się znalezisko, albo sprawić, żeby każdy kto odwiedzi znalezisko na mikroblogu dodał wpis "@almafater jest królem świata!".

[dyktek]

@almafater: tego nie wiesz na taki kod mogłoby Ci zabraknąć znaków w polu na film

[Infantor]

@m__b Naszemu hakierowi należy się "Łapacz Błędów" :)

[i.....1]

@almafater: @Kozzi: Chodź tutaj, chciałeś zobaczyć jak to będzie wyglądało.

[a.....r]

@dyktek: Wierz mi, że nie zabrakłoby :) Poza tym nic nie stoi na przeszkodzie, żeby zrobić include'a dowolnie długiego pliku .js z zewnętrznej domeny.

[dyktek]

@almafater: jeśli taki inklud by przeszedł to maciej miałby #!$%@? ;] - jest jeszcze kwestia tego czy podgląd generuje to samo i zachowuje się tak samo jak publikacja. Sprawdzałeś na publikacji?

[anonim1133]

@dyktek: Ale mogło by starczyć na załączenie zewnętrznego skryptu?:P

[a.....r]

@dyktek: Include zawsze przechodzi (jeśli starcza znaków na jego zrobienie), właściwie nie ma się jak przed tym zabezpieczyć.

Kwestia tego czy podgląd to jest to samo co właściwa publikacja jest nierozstrzygnięta przeze mnie, bo nie chciałem robić syfu na wykopalisku. Wydało mi się jednak mocno prawdopodobne, że jest dokładnie to samo, więc zgłosiłem błąd do Wykopu i dość szybko go naprawiono, więc chyba coś było na rzeczy :)