О ... 
										

										+ развернуть текст   сохранённая копия

										


										Хабы: Информационная безопасность, Веб-разработка, Google Chrome 

О том, как Chrome мешает мне искать XSS-уязвимости.




Почему я ищу уязвимости?




Как и многие из вас, я делаю Code Review и первое, что ищу это конечно уязвимости. Когда уязвимость найдена в коде, хорошо бы проверить есть ли она на самом деле через браузер, потому что бывают «ложные тревоги». Это те случаи, когда данные уже приходят фильтрованными и XSS невозможен. Всегда полезно иметь возможность показать разработчику атаку в действии, потому что это хороший аргумент и помогает быстрее перейти к конструктивному решению проблемы, если есть сомнения, что уязвимость таки существует. Но проверку в браузере я делаю не часто — либо проблема очевидна прямо из кода, либо верят на слово. В общем искать уязвимости — это интересно.



Начало этой истории




Друг скинул ссылки на сайт, который ещё год назад имел XSS-уязвимость, о чем я писал владельцам ресурса. Стало интересно проверить снова. Проверил — XSS есть, но вот простейшего подтверждения выполнения JS я получить не смог!..







Я не ломаю сайты и не занимаюсь аудитом безопасности, поэтому возможно то, что я выяснил давно известно для специалистов, но для меня это было открытием.



Первые подозрения




Итак, стал проверять всевозможные варианты внедрения кода — но без результата. По ходу дела выяснил что и как фильтруется, какие есть проверки и прочее, но alert(1); упорно не выполнялся. По ходу дела нашелся ещё и XSRF — приятный бонус!

 Далее я расскажу как я потреля кучу времени, но выяснил одну важную особенность браузера Chrome.
										
										

										

										Тэги: auditor, chrome, cross, google, script, site, webkit, xss, аудит, безопасность, браузеры, веб-разработка, информационный, уязвимость 

										

																														

																				
В Chrome Canary заработали новые единицы измерения CSS — vh, vw и vmin   2012-05-01 12:28:53
										

										Хабы: Веб-разработка, Веб-дизайн, CSS 

В девелоперской версии Google Chrome (на момент  ... 
										

										+ развернуть текст   сохранённая копия

										


										Хабы: Веб-разработка, Веб-дизайн, CSS 

В девелоперской версии Google Chrome (на момент написания статьи — Chrome 20) появилась поддержка новых единиц измерения CSS — vh, vw и vmin, которые пару месяцев назад были реализованы в движке Webkit. До этого они работали только в Internet Explorer 9-й и 10-й версий. Эти единицы задают размеры объектов относительно высоты или ширины окна. В отличие от процентов, они всегда привязаны именно к окну браузера, а не к контейнеру текущего блока. 1vh равен 1% высоты окна, 1vw — 1% ширины, 1vmin — меньшему из этих двух значений. 

 Читать дальше →
										
										

										

										Тэги: chrome, css, length, relative, viewport, vmin, webkit, веб-дизайн, веб-разработка, единица, измерение 

										

																													
С праздником весны и труда поздравляет всех такси Фокс Крым   2012-04-30 18:49:54
										

										Крымское такси Фокс, лидер пассажирских перевозок солнечного полуострова поздравляет всех со светлым ... 
										

										+ развернуть текст   сохранённая копия

										


										Крымское такси Фокс, лидер пассажирских перевозок солнечного полуострова поздравляет всех со светлым праздником весны и труда. С 1-ым Мая, товарищи! Поздравляем с 1 Мая С майским праздником весны. Всего доброго желаем, Мира, счастья и любви. В Мае солнце засветило И тот час же озарило: Скоро лето и июнь, Счастье, море и любовь. Такси «Фокс» – [...]
										
										

										

										Тэги: 2012, crimea, fox, simferopol, taxi, авто, заказать, круглосуточный, крым, май, новость, пассажирский, перевозка, поездка, праздник, симферополь, такси, трансфер, фокс 

										

																													
Такси Фокс Крым стал партнером дисконтного клуба «Я свой»   2012-04-30 18:33:51
										

										Крупнейший пассажирский перевозчик Крыма такси Фокс Симферополь присоединился к партнерской  ... 
										

										+ развернуть текст   сохранённая копия

										


										Крупнейший пассажирский перевозчик Крыма такси Фокс Симферополь присоединился к партнерской программе «Я свой». Теперь все клиенты такси Фокс Крым, которые имеют дисконтные карты клуба «Я свой» без проблем могут совершать путешествия с помощью единой системы. Низкие цены, комфортные машины, вежливый диспетчер, европейский сервис! Это основные правила, которых придерживается такси Фокс. Лицензия АГ № 588840 Министерство [...]
										
										

										

										Тэги: crimea, fox, taxi, акция, дисконт, дисконтный, заказать, клуб, круглосуточный, крым, новость, отдых, пассажирский, перевозка, свой, симферополь, такси, транспорт, трансфер, фокс 

																											
								


								
Страницы: ... 141 142 143 144 145 146 147 148 149 150 151 152 153 154 155 156 157 158 159 160 ...