Wykop.pl

Wykopalisko (250) Hity Mikroblog

Wyczaiłem lukę XSS na Wyczaj.to

W dosłownie kilkadziesiąt minut od zarejestrowania się na konkurencyjnym dla Wykopu Wyczaj.to odkryłem możliwość przeprowadzenia ataku XSS na jedną ze stron tego serwisu prowadzonego przy wsparciu Grupy Onet.pl SA.

Dodany z blog.rulz.pl do Technologia » Nowe technologie z tagami wyczajto xss hack włamanie hacking javascript

Wykopali 209, zakopali 41

Apple iMac 27 Core i5 3.1GHz MC814PL/A fV23% NOWY! Cena: 7999.00 zł
Nissan Juke 1.6, Samochód Demonstracyjny Salonu J Cena: 65000.00 zł
Head First PHP & MySQL ~~PROMOCJA~~ KURIER 0zł Cena: 83.50 zł

Allegro.pl

Wymagana obsługa JavaScript

Żeby w pełni skorzystać z nowych funkcji włącz obsługę JavaScript lub zmień przeglądarkę na taką, która go wspiera.

Powiązane (3)

pokaż (2)

niezaminusowane

Pokaż: ustaw jako domyślne

pokaż obrazki

Komentarze (50)

Reklamy Google
fanzonun 2 lata 7 mies. temu +107

Już tak nie biadolcie, każdemu może się zdarzyć :P
http://tinyurl.com/mesa8n
- #
pokaż komentarz
Potfur 2 lata 7 mies. temu +11

Touché! ;)
- #
pokaż komentarz
miszk 2 lata 7 mies. temu +6

Dodaj ten link do powiązanych. he he
- #
pokaż komentarz
czarofnick 2 lata 7 mies. temu +17

Wielki fanzonun powrócił i zj%%ał wyszukiwarke wykopowi :D To jest konkretniejsza luka niż na wyczaj, skoro zwykły user może dodać złośliwy kod do bazy. Czyli chyba te plotki o Tobie były prawdziwe..
- #
pokaż komentarz
sorek 2 lata 7 mies. temu +2

Dzięki fanzonun! A zastanawiałem się, jak przekazać komuś informacje potajemnie przez wykop! :)
- #
pokaż komentarz
POPPO 2 lata 7 mies. temu +11

Fanzonun to nie człowiek, to fenomen.
- #
pokaż komentarz
hiena 2 lata 7 mies. temu +1

wiesc sie szybko niesie po falach internetu
http://wyczaj.to/sO2O
- #
pokaż komentarz
msichal 2 lata 7 mies. temu +13

I tak oto, powiadam wam, powrócił w chwale Fanzonun, najzaj#$istrzy mędrzec Wykopu.
- #
pokaż komentarz
Lisu 2 lata 7 mies. temu +49

Szkoda że to 'dziurka' a nie jakaś duża dziura, bo można by zrobić z wyczaj.to przekierowanie na wykop ;D To by była dopiero reklama ;D
- #
pokaż komentarz
marcinxd7 2 lata 7 mies. temu +35

Reklama to będzie dla 'wyczaju' jak to wejdzie na główną...
- #
pokaż komentarz
ffs 2 lata 7 mies. temu +4

i stało się. ucieszą się, że dużo wejść będą mieli dziś.. tylko tyle ;)
- #
pokaż komentarz
kkz 2 lata 7 mies. temu +6

Mówisz i masz: http://pokazywarka.pl/hepa4m/

Jakby naprawili to tutaj jest dowód ;]
http://img169.imageshack.us/img169/2674/dowod.png
- #
pokaż komentarz
lukas_jg 2 lata 7 mies. temu +2

Już poprawione
- #
pokaż komentarz
postaldude 2 lata 7 mies. temu -4

http://bayimg.com/KaCfEaabE
- #
pokaż komentarz
mad_dud 2 lata 7 mies. temu +22

Niezły spammer: http://www.google.com/search?client=opera&rls=en&q=Wyczai%C5%82em+luk%C4%99+XSS+na+Wyczaj.to&sourceid=opera&ie=utf-8&oe=utf-8
- #
pokaż komentarz
Wolfer 2 lata 7 mies. temu +3

Admin wyczaj.to się pewnie nudzi :P
- #
pokaż komentarz
stoickiszaleniec 2 lata 6 mies. temu +1

ale wykop wcale nie jest wolny od luk, postaram się coś zmontować zaraz ;)
- #
pokaż komentarz
stoickiszaleniec 2 lata 6 mies. temu 0

oo np możliwy jest atak CSFR tutaj, tzn atak to może za dużo powiedziane bo wszystkie akcje wymagające wzmożonego bezpieczeństwa ( zmiana hasła bo tym się interesowałem ) są zabezpieczone stampem unikatowym dla użytkownika, ALE możliwe jest np spreparowanie dokumentu który pozornie wyświetla obrazek a pod spodem w iframie konstruuje formularz i wysyla pod odpowiedni adres, możemy w ten sposób zaplusować np dowolny komentarz , tzn można sprawić że użytkownik bezwiednie zaplusuje jakiś koment. Sporo ajaksowych akcji tego typu może się udać, dodanie usera do czarnej listy czy przyjaciół. Ale ten motyw działa dla odmiany jedynie w IE, tzn mozilla mi np niepozwala na to ze względów bezpieczeństwa ale już Explorer ( chyba 7 mam ) na luzaku przepuszcza cos takiego :

d = document.getElementById("iframe");
d.contentWindow.document.getElementById("sendme").submit();
- #
pokaż komentarz
stoickiszaleniec 2 lata 6 mies. temu 0

jak ktoś ma jakiś serwer żeby to wypróbować mogę podesłać odpowiednie pliki, bo ja samymi komercyjnymi dysponuje;)
- #
pokaż komentarz
stoickiszaleniec 2 lata 6 mies. temu +2

http://www.cumulustest.yoyo.pl/cumulus/ - wygląda na obrazek ale kliknięcie na niego dodaje plusa do mojego komentarza , http://www.wykop.pl/link/212154/czy-samotnosc-moze-cie-zabic#comment-1292124
- #
pokaż komentarz
gac3k 2 lata 7 mies. temu +6

już poprawili ale samo przesyłanie wiadomości GET-em w tak "rozbudowanym" serwisie jest co najmniej żałosne i pozbawione sensu, aż sami się proszą żeby im to rozwalić ;]
- #
pokaż komentarz
hiena 2 lata 7 mies. temu -7

Popraw mnie jesli sie myle ale czy GET nie jest uzywany w ramach RESTowych aplikacji takich jak Flickr, Twitter czy Amazon S3? To teraz co, wszyscy wymienieni sa zalosni czy moze przyznasz sie do bledu ;)
- #
pokaż komentarz
damianoos 2 lata 7 mies. temu +3

@hiena
poczytaj dokładnie: "przesyłanie wiadomości GET-em"

na tych serwisach co podałeś GETem przesyłane są parametry i treści generowane przez użytkowników, ale nie gotowe szablony komunikatów. Chyba trzeba Cię jednak poprawić :)
- #
pokaż komentarz
hiena 2 lata 7 mies. temu +4

racja, przyznaje sie do bledu :)
- #
pokaż komentarz
nargil 2 lata 7 mies. temu +16

nieaktualne.
- #
pokaż komentarz
Czerwony_Krokodyl 2 lata 7 mies. temu +5

No cóż, wyczaj ma błędów popełniania zwyczaj.
- #
pokaż komentarz
czarofnick 2 lata 7 mies. temu +2

"Jestem Ania i jestem slamerką"
- #
pokaż komentarz
AltumVidetur 2 lata 7 mies. temu +8

pewnie nawet nie trzeba zmiany hasła, być może wystarczyło by buchnąć cookie. Dokleić odpowiedni kod do jakiegoś obiecującego zjawiska, zamieścić na wyczaju.
W sumie to niepotrzebnie się wygadałeś, mogłeś zrobić samowyczajający się wyczaj i zgarnąć nagrodę :)
- #
pokaż komentarz
postaldude 2 lata 7 mies. temu +16

http://bayimg.com/dACpFaacj
- #
pokaż komentarz
Speedy 2 lata 7 mies. temu +4

Ech... Mnie się już dawno znudziły niesamowite historie o atakach typu xss. Jakiś nowy rodzaj ataku byście wymyślili...
- #
pokaż komentarz
pioterek96 2 lata 7 mies. temu -1

Nosz k***a mać
_Anonimowy pisze...
Wykop.pl pozdrawia :D
16 lipiec 2009 03:24 _
- #
pokaż komentarz
flakoo 2 lata 7 mies. temu +38

Kto by się spodziewał...
- #
pokaż komentarz
kolnay 2 lata 7 mies. temu +1

Przecież to nic strasznego nie jest. A jedyny sensowny sposób wykorzystania tego, jaki mi przychodzi na myśl, to zrobienie linka do podbierania haseł użytkownikom wyczaj.to. Niezbyt przydatna dziurka.

Albo
http://infobot.pl/r/1kf9
- #
pokaż komentarz
gac3k 2 lata 7 mies. temu -1

hmm to zależy ile js jest użyte na atakowanej stronie, a na wyczaju jest go całkiem sporo więc stwarza to teorytyczne możliwości na przeprowadzenie ciekawego ataku
- #
pokaż komentarz
maruch 2 lata 7 mies. temu -1

http://wyczaj.to/wyczajka.html?slug=sO2O
...
- #
pokaż komentarz
marcinxd7 2 lata 7 mies. temu 0

Może korzystając z okazji zaspamujemy ich komentarzami 'wykop pozdrawia'? ]:->
- #
pokaż komentarz
arek92 2 lata 7 mies. temu -4

chcecie zostac haksiorami ? to wejdzcie na wykop i wpiszcie to w adres : javascript:R=0; x1=.1; y1=.05; x2=.25; y2=.24; x3=1.6; y3=.24; x4=300; y4=200; x5=300; y5=200; DI=document.getElementsByTagName("img"); DIL=DI.length; function A(){for(i=0; i-DIL; i++){DIS=DI[ i ].style; DIS.position="absolute"; DIS.left=(Math.sin(Rx1+ix2+x3)x4+x5)+"px"; DIS.top=(Math.cos(Ry1+iy2+y3)y4+y5)+"px"}R++}setInterval("A()",5); void(0);

i cieszcie sie ze zhakowaliscie wykop.pl
- #
pokaż komentarz
czarofnick 2 lata 7 mies. temu -2

Biorąc pod uwagę to, że jestem w stanie przeczytać Twój komentarz właśnie przeglądam Wykop. W ten sposób hakoffać Wykop to ja mogę codziennie, choćby dzięki addonowi do FF o nazwie FireBug.
- #
pokaż komentarz
arek92 2 lata 7 mies. temu 0

no popatrz ale ty jestes wspaniały, naprawdę ...
- #
pokaż komentarz
msichal 2 lata 7 mies. temu 0

super, szkoda ze nie działa.
- #
pokaż komentarz
czarofnick 2 lata 7 mies. temu 0

@arek92,

wiem, ale mimo to dziękuję :)
- #
pokaż komentarz
hiena 2 lata 7 mies. temu -17

bleh, ile mozna o tym sluchac. zakop.
- #
pokaż komentarz
FELIX90 2 lata 7 mies. temu -2

http://wyczaj.to/komunikat.html?msg=%3CIFRAME%20SRC=%22javascript:alert(Wykop%20Pozdrawia!%27);%22%20style=%22display:%20none;%22%3E%3C/IFRAME%3E%3Ch2%3E%20%20Serwis%20wyczaj.to%20jest%20podatny%20na%20ataki%20typu%20XSS%20%3Cbr/%3E%20%20%3Ca%20href=%22http://blog.rulz.pl%22%20style=%22color:%20blue%20!important%22%3EKontynuuj%20%3E%3E%3E%3C/a%3E%3C/h2%3E
- #
pokaż komentarz
hiena 2 lata 7 mies. temu +1

Już chyba musztarda po obiedzie i nie działa :/
- #
pokaż komentarz
soccerinho2 2 lata 7 mies. temu -9

Już nie będę :( Przepraszam
- #
pokaż komentarz
michuck 2 lata 7 mies. temu +2

Nie rób wstydu...
- #
pokaż komentarz
goldwyn 2 lata 7 mies. temu -4

"już nie będę ,przepraszam" wyjaśni ktoś co to za mem? nie ma w wykopedii zdaje się
- #
pokaż komentarz
AltumVidetur 2 lata 7 mies. temu +2

ja wiem, że dziś trochę inaczej jest, ale musisz wiedzieć, że kiedyś jak mama krzyczała to nie biło się jej krzesłem tylko odpowiadało tym "memem" ;-)
- #
pokaż komentarz
goldwyn 2 lata 7 mies. temu 0

jeśli to nie mem , to o co chodzi w wymianie zdań
soccerinho2 i michucka?
- #
pokaż komentarz
michuck 2 lata 7 mies. temu 0

@goldwyn: zrobił edycję, pozdrowił wykop na wyczaj.to
- #
pokaż komentarz