LINUX.ORG.RU
Форум — Linux-org-ru  

Дырка в движке лора


0

0
Любой сайт, который вы посещаете, может с помощью вашего браузера запостить сообщение от вашего имени сообщение на лоре или произвести любую другую активность.

Проверка

Результат

Решение:

1) не допускать никакие изменения иначе как через POST;

2) при POST передавать ID сессии как скрытое поле и проверять его (даже для анонимных пользователей) либо проверять соответствие Referrer (но лучше все-таки скрытое поле, так как домены могут быть разные).


← 2dragon_djanic
IBM developerWorks →
  1 2 3

я - тузик

честное слово
iBliss ★
()
Ответ на: комментарий от true
Уговорили, с ЛОРа ходить по ссылкам буду внешним браузером, тем более у меня и так в контекстном меню есть "Open link with links2"
sdio ★★★★★
()
Ответ на: комментарий от sdio
>Уговорили, с ЛОРа ходить по ссылкам буду внешним браузером, тем более у меня и так в контекстном меню есть "Open link with links2"

Не обязательно с лора. Я могу ссылку на любом другом сайте подложить. :)

true
() автор топика
Ответ на: комментарий от sdio
> Не можешь, на те сайты у тебя доступа нет :-)

А ты представь урода мантайнющего корпоративный портал или имеющий туда доступ... гы ЛОР - помрет.

iBliss ★
()
Ответ на: комментарий от sdio
надо проверку поменять в коде на lor , я уже описал проблему в рассылке, код можно будет на этой неделе сделать, так что следите за темой.
test100 ☆
()
Ответ на: комментарий от ero-sennin
пока не подправят, noscript спасает.
sdio ★★★★★
()

я - тузик

честное слово
boombick ★★★★★
()

я - тузик

честное слово
isden ★★★★★
()

я - тузик

честное слово
asdas ★
()

я - тузик

честное слово
Anoxemian ★★★★★
()

Sun-ch - тузик

честное слово
dm_f ★
()

я - тузик

честное слово
sin_a ★★★★★
()
Ответ на: комментарий от true
>>ID уже есть в куках(их можно украсть) лучше какой-то другой ID(но это уже гемор)

>Куки посылаются только на оригинальный сервер.

"пап, а ты с кем сейчас говорил, а?" я ж написал, что куки можно украсть

>Как ты в браузере клиента нарисуешь referrer другого сайта?

легко и просто - сконструирую запрос(например в ИЕ ;)

>Man-in-the-middle при SSL не возможен при условии использования сертификата, выданного Thawte/Verisign/что-то в этом роде.

скинемся на сертификат?

AcidumIrae ★★★★★
()

я - тузик

честное слово
dilmah ★★★★★
()
Ответ на: комментарий от AcidumIrae
>"пап, а ты с кем сейчас говорил, а?" я ж написал, что куки можно украсть

Как? Дырки в самом браузере не рассматриваем.

true
() автор топика

я - тузик

честное слово
emaxx ★★
()

я - тузик

честное слово
Axis
()

я - тузик

честное слово
Axis
()
Хорошо об этом почти никто не знает.
emaxx ★★
()

я - Туз!

честное слово. Всем тузикам построиться и пересчитаться.
bugmaker ★★★★☆
()

я - не тузик

честное слово
kss ★★★★★
()
Зобанедь всех тузегов!

Слава ботам!

tailgunner ★★★★★
()
Мыши продолжают жрать кактус, постепеннно им начинает нравиться колоться...
anonymous
()

я - тузик

честное слово
anonymous
()

я - тузик

честное слово
cthulhu ★☆
()

я - тузик

честное слово
xargs ★★★
()
Флэшмоб идёт полным ходом.
Teak ★★★★★
()

я - тузик

честное слово
catap ★★★★★
()

я - тузик

честное слово
dm_f ★
()

я - тузик

честное слово
dm_f ★
()

я - тузик

честное слово
ARTh ★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
  1 2 3
← 2dragon_djanic
Linux-org-ru
IBM developerWorks →