nvbn 29.03.2010 20:46
0byte — Бекпортированы багфиксы и оптимизации
Исправлена работа блямбы справаИсправлена работа с черновикамиИсправлен rssЗалит эксперементальный оптимизированный вывод группы постовУбарны лишние вызовы geshi
Был ужасный говнокод по имени post.php, в который с момента создания просто всовывались новые куски. Сейчас я его переписал с нуля.
Этот файл отвечает за вывод главной, блогов, списка постов пользователей, поиска, и постов с определённым тегом.
Этот файл отвечает за вывод главной, блогов, списка постов пользователей, поиска, и постов с определённым тегом.
Исправлена работа блямбы справа
что такое блямба справа? и есть ли она слева?!
Подробней, куда здесь можно пропихнуть xss, чтоб это было уязвимостью?
CSRF не подразумевает, что XSS обязательно должно присутствовать на этом сайте. Можно найти на любом другом из тысячи тысяч и успешно использовать.
Ну и для всех действий, которым можно так подгадить, используется POST+проверка на пустоту.
POST обходится элементарным javascript. При отключённом javascript существует более 9000 способов заставить пользователя нажать на кнопку.
Не знаю, что Вы назвали проверкой на пустоту, но поля профиля на пустоту не проверяются. Допустим, эта проверка будет в профиле(кстати, не поможет, т.к. ничего не мешает заполнить все поля), но как Вы собираетесь делать её в постах-комментах?
Раз уж Вы напросились на POC, вот вам HTML-страница(срок 1 день, пароль у Вас в личке), которую можно поместить где угодно - локально, на собственном сайте, в виде скрытой формы на странице с полезной информацией и т.п.
ВАРНИНГ: При открытии(и включённом javascript) показывает алерт, а потом зануляет профиль и делает ICQ=111. Единственное требование - быть залогиненным на сайте. Сами понимаете, что может и не занулить, а например прописать свою почту, сменить пароль, а потом разлогинить. Я уже не говорю про возможность тем же способом поститьспам что угодно от Вашего имени в блог, комментировать другие посты или открывать закрытые только для друзей.
Советую не изобретать велосипед, а защититься проверенным способом, благо он несложный.
При смене данных профиля, особенно e-mail, неплохо бы тоже спрашивать пароль, а то мало ли кто там что поменять захочет, пока Вас нету :).
Не знаю, что Вы назвали проверкой на пустоту, но поля профиля на пустоту не проверяются. Допустим, эта проверка будет в профиле(кстати, не поможет, т.к. ничего не мешает заполнить все поля), но как Вы собираетесь делать её в постах-комментах?
Раз уж Вы напросились на POC, вот вам HTML-страница(срок 1 день, пароль у Вас в личке), которую можно поместить где угодно - локально, на собственном сайте, в виде скрытой формы на странице с полезной информацией и т.п.
ВАРНИНГ: При открытии(и включённом javascript) показывает алерт, а потом зануляет профиль и делает ICQ=111. Единственное требование - быть залогиненным на сайте. Сами понимаете, что может и не занулить, а например прописать свою почту, сменить пароль, а потом разлогинить. Я уже не говорю про возможность тем же способом постить
Советую не изобретать велосипед, а защититься проверенным способом, благо он несложный.
При смене данных профиля, особенно e-mail, неплохо бы тоже спрашивать пароль, а то мало ли кто там что поменять захочет, пока Вас нету :).
Не говоря уже о том, что можно создать свою страницу и любым доступным способом заманить туда пользователей. Например, действительно наполнить её полезной информацией :).
Это как?