ТРЕВОГА

[Arhar]

Одна из тем выдала мне алерт!!!

 

Вот ссылка!!! _ttp://www.ibresource.ru/forums/index.php?showtopic=9895&hl=flashchat&st=120

 

Вот скрин!!! http://img156.imageshack.us/img156/3239/isithack0kv.jpg

 

А вот и он, дружочек))) http://img142.imageshack.us/img142/8376/hereitis8xt.jpg

[freeman85]

ого, видимо аватарка прокатила....!!!!!!!!!!

 

 

Админы, а если у вас щаз уведут около сотни клиенских аккаунтов... мне то всеравно, а аккуратнее надо бы... а как его там ramzes'a выпороть.

 

хорошо что чайник(а может и добродетель) попался... alert умудрился только вставить.

Изменено 15 Июня 2006 пользователем freeman85

[Arhar]

Ну вот, не зря я тему то поднял XSS через аватар

[freeman85]

вообще про это тема (document.cookie) была давно поднята, Song нашел несколько методов, но так и не поделился.

 

Похоже в ipb так и будут еще находить лазейки... причем однообразные.

 

Song!!!!!!!!!

 

ну это не суръезно... поищитеже в базе все совподения document.cookie, может давно уже кто с нюхивает hash'Ы

Изменено 15 Июня 2006 пользователем freeman85

[Arhar]

хахаха...здесь всёж есть ограничение на символы)))))

127 уже не проходит)))

 

так что не снюхивают)

[Song]

ну это не суръезно... поищитеже в базе все совподения document.cookie, может давно уже кто с нюхивает hash'Ы

 

не знаю, что же вы, я уже всё давно сделал. Я же написал вам в той теме: "всё готово, тестите". Вы чего-то так ничего и не ответили.

[Arhar]

афтар, решение в студию

особенно непробиваемо отделение процента от идущих следом цифр

[freeman85]

ну это не суръезно... поищитеже в базе все совподения document.cookie, может давно уже кто с нюхивает hash'Ы

 

не знаю, что же вы, я уже всё давно сделал. Я же написал вам в той теме: "всё готово, тестите". Вы чего-то так ничего и не ответили.

 

А там нечего отвечать... я все возможные варианты испробывал... дальше просил у вас решения для 2.1.х ... с уведомлением в ПМ, помните? вы еще сказали, что с ПМ пока не получится... вроде на этом все и остановилось.

[freeman85]

его аватар как, напамять оставили ? ))) Изменено 16 Июня 2006 пользователем freeman85

[Arhar]

Баг фиксите пока не поздно...

См мой аватар..прошёл..

Я честно говорю, свой хэш я уже получил..

 

http://thearhar.tulpar.net/files/trevoga.JPG

 

Пользователь 30151

Ваш хэш тоже

Если увидите это сообщение, меняйте пароль

Сниффер я убираю сегодня вечером

[GiV]

А мою?

[Arhar]

Фигово..

Нет

[GiV]

А какой у Вас браузер?

[Arhar]

Идёт только через Эксплорер

Через оперу не идёт)))

Вывод-юзать оперу..

 

А, нет, вру, идёт..

Моя запись:

User agent Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; MRA 4.4 (build 01348); .NET CLR 1.1.4322)

Запись юзера 30151:

User agent Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; ru) Opera 8.54

 

Отображать аватары пользователей в темах - Нет?

 

Пользователь 9391

Ваш хэш тоже

Если увидите это сообщение, меняйте пароль

 

Пользователь 22355

Ваш хэш тоже

Если увидите это сообщение, меняйте пароль

 

Пользователь 39859

Ваш хэш тоже

Если увидите это сообщение, меняйте пароль

 

Пользователь 44388

Ваш хэш тоже

Если увидите это сообщение, меняйте пароль

 

Пользователь 14171

Ваш хэш тоже

Если увидите это сообщение, меняйте пароль

 

 

Аватар снят

Честно удалил все записи сниффера

http://thearhar.tulpar.net/files/trevoga.JPG

[Ashes]

при всем уважении к колективу, а что стоит запретить удаленые аватары ? религия ?

[Milse]

Полностью солидарен с предыдущим автором. Запретите - и не будет лишней головной боли.

[.silent]

а что даст владение хэшем-то?

[jim bim]

Возможность зайти под аккаунтом того,чей хэш у тебя есть

[.silent]

уау! и как же ты собираешься это делать? Изменено 16 Июня 2006 пользователем .silent

[jim bim]

Инструкций подобного рода полно на просторах интернета, одной из них пользовался, все получилось.

[.silent]

ясно. Изменено 17 Июня 2006 пользователем .silent

[Dr.Freddy]

Во-первых, md5 хэш не криптостоек. Во-вторых, с его помощью легко подделываются кукисы.