rulu ruru

post XSS na Seznamu

December 25th, 2007

Filed under: xss — starenka @ 11:59
Tags: , ,

Dneska jsem se na blogu meta dočetl o možnosti injekce hledaní na Seznamu. Pěkné. To co mě ale vyvedlo z míry je fakt, že když jsem kdysi zkoušel klasiku ve stylu

<script>alert(‘Baf!’)</script>

vše se pěkně převedlo a stále ještě převádí na entity. Tudíž jsem tehdy usoudil, že se prostě speciální znaky převádí na enitity a nedá se už moc dělat. Jenže opak je pravdou. Myslím že vývojářům na seznamu opět trošku nesedl regularní výraz a nám klidně projde i něco ve stylu:

<script type="text/javascript">alert("BUBUBU!")</script>

Ozkoušet se samozřejmě dají i jiné tagy například <marquee>, <font> atd… Nevěřící Tomáš může klikat zde.

xss - seznam.cz

No Comments

No comments yet.

RSS feed for comments on this post.

Sorry, the comment form is closed at this time.

ruldrurd
© starenka 2oo7, cute alien monster by noizcut, original theme by Laurentiu Piron - customized by starenka | proudly powered by WordPress