И не только в жабаскрипте, но и в жабе простой. Подгрузят любой класс в свое удовольствие. (Например httpd сервер на жабе который отдаст все что нипопросят, до чего оно сможет дотянуться).

"Disable java immediately", если стало страшно ;)

И что? Проверил этот код на старой beta Netscape и в JavaScript console получил сообщение:
Attempt to load a javascript: URL from one host
in a window displaying content from another host
was blocked by the security manager.

Так что все путем даже при включенном Java и JavaScript.

Мозилка у меня стоит и ни чего не происходит? Так что все путем и в Java и JavaScript.

загруз

Вот что mozilla 1.3 пишет:
Attempt to load a javascript: URL from one host
in a window displaying content from another host
was blocked by the security manager.

А также из свежего:

Microsoft Internet Explorer %USERPROFILE% File Execution Weakness - http://securityfocus.com/bid/7826

Internet Explorer file:// Request Zone Bypass Vulnerability - http://securityfocus.com/bid/7539

Microsoft Internet Explorer Classic Mode FTP Client Cross Domain Scripting Vulnerability - http://securityfocus.com/bid/7810

Microsoft Internet Explorer False URL Information Vulnerability - http://securityfocus.com/bid/7763

Microsoft Internet Explorer Malformed JavaScript Denial of Service Vulnerability - http://securityfocus.com/bid/7706

Microsoft Internet Explorer DHTML AnchorClick Partial Denial Of Service Vulnerability - http://securityfocus.com/bid/7502

Microsoft Windows 2000/XP/2003 IPV6 ICMP Flood Denial Of Service Vulnerability - http://securityfocus.com/bid/7788

ну и многое другое... с праздничком тебя, Ogr!

В Mozille все нормально

Этот номер в Mozille 1.3 не прошел. Ogr - брехло...

Да фуфло это. Вы подпись посмотрите.

Copyright © 2003, Paper Street Soap Company, Inc.

Ogr, у меня не работает. Наверное, потому, что Linux sux?

А Konqueror'у ПАБАРАБАНУ! Ogr, не пугай маленьких анонимусов!!! :))

Что за свинство, не проверить...

Только завтра:

The website you have requested has exceeded its daily bandwidth quota of 56MB and has been temporarily de-activated. It will automatically be re-activated within 24 hrs.

я щас крамольную мысль скажу, но не верю я securityfocus. "Не ве-ерю !", как у Станиславского :)

Я как-то задался целью проэксплоитить какой-либо броузер на предмет inter-frame scripting (или как оно там). На securityfocus нашел море багов на эту тему в IE.

Я так и не смог найти такой IE, чтобы на нем их эксплоиты работали. Штук 10 эксплоитов, штук десять разных IE.

То есть там конечно указана точная версия IE, я на этой самой версии его и пробовал, но - нифига, не ломается ! Всех друзей-знакомых перетряс - "сходи на эту страничку, у тебя в эксплорере дырка и она там должна эксплоитится" :) У меня такое ощущение, что те глюки, которые кто-то иногда наблюдает - присущи каким-то конкретным билдам, не исключаю, что тем, которые случайно "утекли" от майкрософта. Причем доля пользователей, пользующих эти билды исчезающе мала.

С нетскейпом и мозиллой, чувствую, ситуация похожая, особенно учитывая то количество релизов (хоть каждую ночь из CVS компилируй), какое есть у Mozilla.

дык исправили, говорят...

Вот, люликсоты аграниченные. даже иксплойты от огра у вас ни работают !!!
И где ваша хваленая савместимость? У нас пад виндас все есть, и варез и траяны и вири и прочее гумно на любой вкус, а у вас ни будит ничиго, даже не ждите!!!

Огрик, милый, где ты был, когда IE патчили с февраля месяца. Там же решето, а не браузер. Патчи выходили раза два-три в месяц. Последний патч вышел в начале этого месяца.

бред то все, мужик себе выставил секюрити - allow all ;-) и пургу гонит на JavaScipt и Мурзилку. Там еще кто-то кричал про ошибки Java. Код в студию пожалуйста. И свой ~/.java.policy

Или я чего-то не догоняю, или не работает эксплойт...

Не догоняешь. Паставь нармальную ОС и последний ИЕ. тагда еще как заработает!

Эта 'дыра' была исправлена еще в mozilla-1.3: http://lists.netsys.com/pipermail/full-disclosure/2003-June/010200.html

to GREEN :

Я предлагаю жёсче фильтровать новости от Ogr'а.

2 MrBool

Я бы предложил пропускать новости от огра только для поддержания флейма. Полезную информацию из них извлечь все равно слишком сложно...

Ogr, мы все ждем тебя здесь:

http://www.linux.org.ru/view-message.jsp?msgid=324842&scroll=section&...

Имхо, ogr - агент влияния, поэтому относиться к нему адекватно. Ну работа у него такая.

to Виндузятник :

Ты тоже можешь заглянуть на "огонек" ;)

http://www.linux.org.ru/view-message.jsp?msgid=324842&scroll=section&...

2 MrBool (*)
Занят сейчас. К вечеру разгребу - отпишусь и вам и огру.
Виндузятник

Да гавно полное ваш linux в нём даже вирусы виндовые не пашут !

Точно ! Я мой любимый win32@Klez по сетке погонять немогу, ну нехочет он запускаться и всё тут, ни wine ни crossxoffice не помагают.

Я плакаль :

http://www.zdnet.ru/?ID=301948

Особенно умилили следующие слова :
"Мы будем конкурировать честно и серьезно."

Держите меня, я сейчас зарыдаю... 8)

Звездный Огр2: Клоун атакует.

Неужели так тяжело смириться с тем, что есть реальная альтернатива Микрософту?

http://www.zdnet.ru/?ID=301951 -

"...подобные вещи заставляют Билла Гейтса скрипеть зубами: если пустить дело на самотек, международное признание ПО open-source превратится в самую опасную угрозу безраздельной монополии Windows на рынке операционных систем с конца 90-х, когда Джанет Рено потащила Microsoft в суд..."

И не только Билли, но и Ogr зубами срипит...

The requested URL /~xxx/view-source:javascript:location='/etc/passwd'; was not found on this server.

то ли я не вогнал, как сделать эксплоит, то ли через Oper`е на этот эксплоит посрать с высокой колокольни!!!

зато в ie есть 100 других дыр

2Ogr: Видимо ты работаешь на провайдера где хостится ЛОР, и твоя должность трафиконагонятель.

about Ogr:

во блин - опять новй искуственный интелект на нас испытаывают...Надеюсь в новой версии бота пофиксили старые баги...

Такие сообщения должны время от времени появлятся. Во первых баг был. Во вторых, такие сообщения напоминают о необходимости обновлять софт. И самое главное, у случайно зашедших сюда неопределившихся не должно складыватся мнение, что в линухе (.nix) все хорошо и безоблачно. Пусть лучше попробуют и увидят, что не все так плохо, чем купятся на рекламу и разочаруются.

1. Нормальные люди обновляются своевременно.
2. Баги нужны? Иди на bugtrack или securityfocus.
3. Про эту дыру в одном из флеймов упоминалось.
4. Ну, млять, давайте будем каждую неделю обновлять список дыр за
два прошедших месяца. Одни и те же, чтобы напомнить, что в линукс
все не безоблачно.

MS IE стабильно трапается если в HTML форму засунуть _до_ тэга HEAD. Больше никто. Этакая проверка на Реальные Пацанские Броузеры ;-)

========

<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">

<html> <form><input type Use a Real browser></form>

<head>

...

Уважаемый 10-42-17. ИЕ трапается вовсе не отform до head (проверил - нормально перенес, вывел input) <!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN"> <html> <form><input type=text value="Use a Real browser"></form> <head>

а от type Use a Real т.е., если написАть type=любой_бред, то ИЕ любой (скорее всего) версии навернется как миленький. Причем у меня на W2K увалился не только открывший ссылку, но и другие instances (_НЕ_ окна, а именно экземпляры программ). Так что нет более стабильного браузера, чем ИЕ и Огр пророк его.