Форум » Листая страницы forum.canada.ru » Тестирование forum.canada.ru » Ответить
Тестирование forum.canada.ru
Пользователь: При проверке сайта forum.canada.ru оказалось, что форум осуществляет XSS-атаки на пользователей. XSS атака является одним из любимейших видов атак у хакеров. В данной статье мы постараемся в доступной форме разъяснить, что эта за вид атак, как они реализуемы, какие у них последствия, и как же от них уберечься. Аббревиатура XSS расшифровывается как Cross Site Scripting, или «межсайтовый скриптинг». При этом первую букву С заменили на Х вследствие того, что аббревиатура CSS уже занята, обозначает «Каскадные таблицы стилей» и применяется в веб-программировании. XSS атака – это атака на уязвимость, которая существует на сервере, позволяющая внедрить в генерируемую сервером HTML-страницу некий произвольный код, в котором может быть вообще все что угодно и передавать этот код в качестве значения переменной, фильтрация по которой не работает, то есть сервер не проверяет данную переменную на наличие в ней запрещенных знаков –, <, >, ’, ”. Значение данной переменной передается от генерируемой HTML-страницы на сервер в скрипт, ее вызвавший путем отправки запроса. А далее начинается самое интересное для хакера. РНР-скрипт в ответ на данный запрос генерирует HTML-страницу, в которой отображаются значения требующихся хакеру переменных, и отправляет данную страницу на браузер хакера. То есть, говоря проще, XSS атака – это атака с помощью уязвимостей на сервере на компьютеры клиентов. XSS атака чаще всего используется для кражи Cookies (или куки, как их произносят по-русски). В них хранится информация о сессии пребывания пользователя на сайтах, что и бывает нужным хакерам для перехвата управления личными данными пользователя на сайте в пределах, пока сессия не будет закрыта сервером, на котором размещен сайт. Помимо этого в Cookies хранится зашифрованный пароль, под которым пользователь входит на данный сайт, и при наличии необходимых утилит и желания хакерам не доставляет особого труда расшифровать данный пароль. А чем это чревато, думаю, всем понятно. Чаще всего, как я упоминал выше, XSS атаки используются для кражи cookies (в народе – куки). В них хранятся сессии пребывания пользователя на том или ином сайте, этим злоумышленник и пользуется. Таким способом можно находится, например, на форуме, под аккаунтом другого человека. Так же cookies содержат зашифрованный пароль к аккаунту пользователя, который “сетевой хулиган” может с легкостью расшифровать и получить постоянный и ничем неограниченный доступ. Теперь опишем другие возможности XSS атак (конечно при условии их успешного проведения). Возможно при открытии страницы вызвать открытие большого количества ненужных пользователю окон. Возможна вообще переадресация на другой сайт (например, на сайт конкурента). Существует возможность загрузки на компьютер пользователя скрипта с произвольным кодом (даже вредоносного) путем внедрения ссылки на исполняемый скрипт со стороннего сервера. Зачастую происходит кража личной информации с компьютера пользователя, помимо Cookies в качестве объекта кражи выступает информация о посещенных сайтах, о версии браузера и операционной системе, установленной на компьютере пользователя, да к тому же еще и плюсуется IP-адрес компьютера пользователя. XSS атака может быть проведена не только через сайт, но и через уязвимости в используемом программном обеспечении (в частности, через браузеры). Поэтому рекомендуем почаще обновлять используемое программное обеспечение. Также возможно проведение XSS атак через использование SQL-кода. Как мы видим из всего вышесказанного, возможностей у XSS атак достаточно много. Злоумышленник может овладеть вашей личной информацией вплоть до получения паролей доступа к сайтам, а это очень неприятно. К тому же XSS атака наносит вред исключительно клиентским машинам, оставляя сервер в полностью рабочем состоянии, и у администрации различных серверов порой мало стимулов устанавливать защиту от этого вида атак.
Ответов - 89, стр:
1 2 3 4 5 All
Прльзователь: Поэтому после посещения forum.canada.ru рекомендуется поменять пароли к электронной почте, социальным сетям и т.д.
БИРГ: Пользователь пишет: Помимо этого в Cookies хранится зашифрованный пароль, под которым пользователь входит на данный сайт, и при наличии необходимых утилит и желания хакерам не доставляет особого труда расшифровать данный пароль. Пользователь пишет: Злоумышленник может овладеть вашей личной информацией вплоть до получения паролей доступа к сайтам, а это очень неприятно У блин, проклятый Риддик, теперь я понял, почему ко мне на мыло не доходят письма, которых я так долго жду.
Димыч: Параноики существуют!
Мимох О'Жий: Димыч пишет: Параноики существуют! Таки и ридики бритые кроты тоже. Ой-вей, придется обрезать и куки.
vadim: Очередной тест на устойчивость форумчан.
Мимох О'Жий: vadim пишет: Очередной тест на устойчивость форумчан. Таки ждать погромов?
Оксана: Такое действительно может быть или это гон?
Gustav: Жора знает всё.
сисьадмин: Оксана пишет: Такое действительно может быть или это гон? Конечно может.случались неоднократно и кражи денег и даже лишения девственности.если нет ни того ни другого,то не страшно
сисьадмин: Gustav пишет: Жора знает всё. Слово знает в суждении лишнее
Лисапед: Не, ребята, а правда, есть тут специалисты? А то от Субъекта и Гру любой подлости можно ожидать. Вполне могли прицепить какую-нибудь дрянь. Вопрос к топикстартеру - как вы определили?
Пользователь: Лисапед пишет: Вопрос к топикстартеру - как вы определили? Специально завел новый почтовый ящик и обнаружил, что кто-то читает мою почту после посещения canada.ru. Это не обязательно действия администрации. Обратите внимание сколько там спама.
Пользователь: Предыдущий пост не мой. Клон. Тестирование было проведено с помощью программных средств. Каких именно - это конфиденциальная информация. Совсем необязательно, чтобы хакеры с канада.ру знали подробности.
Пользователь: Ещё информацию о XSS-атаках можно почерпнуть здесь: http://www.woweb.ru/publ/59-1-0-408
БИРГ: Пользователь пишет: Предыдущий пост не мой. Клон. Подтверждаю.
Пользователь: Пользователь пишет: Предыдущий пост не мой. Клон. Тестирование было проведено с помощью программных средств. Каких именно - это конфиденциальная информация. Совсем необязательно, чтобы хакеры с канада.ру знали подробности. Этот пост тоже не мой. Происки хакеров с канада.ру.
БИРГ: Пользователь пишет: Этот пост тоже не мой. Само собой. Вы уж сами разберитесь, кто чей клон. Кто раньше зарегистрируется, тот и будет прав.
БИРГ: Пользователь пишет: Этот пост тоже не мой. Само собой. Вы уж сами разберитесь, кто чей клон. Кто раньше зарегистрируется, тот и будет прав.
едрос: Надо понимать, что два предыдущих поста были от БИРГа и его клона или наоборот. Вы уж сами разберитесь. Во хакеры канадурские чудят, и сюда проникли.
Матильда: Я ничего не понимаю в программировании, но у меня на канадуре постоянно выскакивает "вы забанены" и Антивирусник трещит.
Пользователь: Матильда пишет: Антивирусник трещит В-о-о-о-т. А теперь вспомните, как давно вам фрёкен Хильдур Бок давала мясные тефтели или печонку? Вы не находите, что вашу печонку кто-то тырит через интернет?
зяблик: Матильда пишет: и Антивирусник трещит. нунинаю, мой касперыч (легальный лицензионный обновляемый и все такое) мовчить.. як риба об лід
Матильда: Сударь, я не знаю ни про какую печонку, но согласитесь, неприятно когда кто-то шарит в ваших карманах. Что вы посоветуете, как защититься от этого воровства? Честно говоря, у меня совсем отпала охота заходить на этот сайт.
Матильда: зяблик пишет: нунинаю, мой касперыч (легальный лицензионный обновляемый и все такое) мовчить.. як риба об лід Мой Dr/Web постоянно предупреждает и запращивает какие-то разрешения. Но у меня не только антивирусник, а ещё защита от вредных программ.
зяблик: может это реклама его беспокоит? у меня еще адблок плюс душит на подступах все что ему не нравится вот сейчас зашла специально посмотреть, адблок сигналит: Адрес: бла-бла-бла Тип: Скрипт (заблокирован) Домен страницы: forum.canada.ru (запрос с другого сайта) и шо бы это значило?
Матильда: Я не люблю все эти Firewall, от них больше проблем. Обязательно какие-то сайты перестают открываться. Ну своруют они у меня пароль от facebook, плевать, все финансовые операции я делаю через notebook мужа.
Пользователь: Матильда пишет: Сударь, я не знаю ни про какую печонку, но согласитесь, неприятно когда кто-то шарит в ваших карманах. Сударыня, полностью с вами согласен. А печонку там тырит хакер на доверии - Бритый Риддик подлый крот. Матильда пишет: Что вы посоветуете, как защититься от этого воровства? Регистрироваться на этом форуме, пока кто-то не зарегистрировал ваш ник и общаться здесь.
Матильда: зяблик пишет: Адрес: бла-бла-бла Тип: Скрипт (заблокирован) Домен страницы: forum.canada.ru (запрос с другого сайта) и шо бы это значило? Цитирую первый пост: Аббревиатура XSS расшифровывается как Cross Site Scripting, или «межсайтовый скриптинг». Наверно эта хрень и есть.
зяблик: Пользователь пишет: Регистрироваться на этом форуме, пока кто-то не зарегистрировал ваш ник и общаться здесь. сказал залетный нерегистрированный пользователь :))
Матильда: Теперь вопрос, удаляет ли firewall атаку, или просто констатирует факт незаконного вмешательства? Если второе, то всё печально. Если так, то через cookies злоумышленник может зайти на мои странички с уже набранным паролем?
зяблик: Матильда пишет: Аббревиатура XSS расшифровывается как Cross Site Scripting, или «межсайтовый скриптинг». Наверно эта хрень и есть. ну вот к примеру один из заблокированных адресов. о которых семафорит адблок на канадуре: http://topictorch.netseer.com/dsatserving2/servlet/BannerServer?rt=jsonp,bbbrain.relatedTerms.processData&impt=11&imps=23&tlid=17895&url=http%3A%2F%2Fforum.canada.ru%2Findex.php&ref=&ua=Mozilla/5.0%20%28Windows%20NT%206.1%3B%20WOW64%3B%20rv%3A20.0%29%20Gecko/20100101%20Firefox/20.0&ip=188.134.6.7&evid=seh669dd8e45b044e25a19622252ab¶ms=segment%3Did49893 еще один (их до фига) http://pagead2.googlesyndication.com/pagead/show_ads.js
Пользователь: зяблик пишет: сказал залетный нерегистрированный пользователь :)) Так мой пример другим наука.
Матильда: Пользователь пишет: Сударь, вы, как я понимаю, Мастер. Как избавиться от этой хрени?
зяблик: Пользователь пишет: Так мой пример другим наука. вот-вот, я как раз об этом
Димыч: Матильда пишет: Я ничего не понимаю в программировании, но у меня на канадуре постоянно выскакивает "вы забанены" и Антивирусник трещит. Ахахах!! Нужно же цензурно выражаться всё-таки!
Димыч: Матильда пишет: Сударь, я не знаю ни про какую печонку, но согласитесь, неприятно когда кто-то шарит в ваших карманах. Что вы посоветуете, как защититься от этого воровства? Честно говоря, у меня совсем отпала охота заходить на этот сайт. У тебя на компе секретная порнуха что ли?
Димыч: Да уж... Не думал, что всё так печально... Неужели народ всерьёз думает, что кто-то будет шарить в его файлах? Особенно в тех, где сам хозяин нифига не разберётся без бутылки.
Матильда: Димыч пишет: Что за хрен с горы? Василий, во-первых, портянки надо стирать хотя бы раз в неделю, во-вторых, у меня нет в компе порнухи, но мне будет неприятно, если кто-то залезет ко мне на почту или будет посылать спам с моего аккаунта. Эти атаки кто-то делает, значит это кому-нибудь нужно.
Пользователь: Матильда пишет: Сударь, вы, как я понимаю, Мастер. Как избавиться от этой хрени? Сударыня, выход только один - забыть дорогу на канада.ру - средоточие XSS-хакеров.
Димыч: Матильда пишет: во-первых, портянки надо стирать хотя бы раз в неделю, во-вторых, у меня нет в компе порнухи, но мне будет неприятно, если кто-то залезет ко мне на почту или будет посылать спам с моего аккаунта. Как это "не приятно"? В чём это проявляется? Матильда пишет: Эти атаки кто-то делает, значит это кому-нибудь нужно. А если это всего лишь плод твоего воображения?
Матильда: Димыч пишет: А если это всего лишь плод твоего воображения? Этот топик создала не я, дурак.
еврейский ответ: Димыч пишет: А если это всего лишь плод твоего воображения? А если нет?
Димыч: Матильда пишет: Этот топик создала не я, дурак. Вот этот ответ куда более еврейский!
еврейский ответ : Димыч пишет: Вот этот ответ куда более еврейский! Что вы в нас понимаете?
Димыч: еврейский ответ пишет: Что вы в нас понимаете? Фсё.
зяблик: зяблик пишет: ну вот к примеру один из заблокированных адресов. о которых симафорит адблок на канадуре: поскольку тут не вырубишь топором то, что напечатал пять минут назад, покорнейше прошу вместо "симафорит" :)) читать семафорит шота сегодня просто ужас какой-то с моим правельнопесанием :)
еврейский ответ : Димыч пишет: Фсё. Помните табличку над писсуаром? "Не льстите себе ... "?
переводчик стрелок: зяблик пишет: читать семафорит Sema for it?
канадурские хакеры: зяблик пишет: поскольку тут не вырубишь топором то, что напечатал пять минут назад Ну и как мы вам хакаем?
Димыч: еврейский ответ пишет: Помните табличку над писсуаром? Нетъ. Таки где? Что за писуар там у вас с табличкой? :
табличка:
Димыч: Совсем запутали меня. У еврейского ответа вроде писуар с табличкой был.
зяблик: у них в швеции один вон подошел.. наверно перепутал с унитазом или может там тоже висела табличка. типа. подходи поближе http://www.mixnews.lv/ru/world/news/2013-05-17/124291
Димыч: зяблик пишет: у них в швеции один вон подошел.. наверно перепутал с унитазом или может там тоже висела табличка. типа. подходи поближе http://www.mixnews.lv/ru/world/news/2013-05-17/124291 Ай маладца!! Однозначно удумал премию дарвина урвать!
БИРГ: зяблик пишет: поскольку тут не вырубишь топором то, что напечатал пять минут назад, покорнейше прошу вместо "симафорит" :)) читать семафорит Уже вырубил и исправил на семафорит.
еврейский ответ : Димыч пишет: Совсем запутали меня. А говорили что Фсё. в нас понимаете?
Матильда: Пишите всякую чушь, дураки.
дураки: Матильда пишет: Пишите всякую чушь напишем
Димыч: еврейский ответ пишет: Димыч пишет: цитата: Совсем запутали меня. А говорили что цитата: Фсё. в нас понимаете? Я говорил не про писуары с унитазами над которыми таблички вешают, если что. Впрочем, если это одно и то же, то готов проиграть спор.
зяблик: еще один, весьма перспективный на мой взгляд (и целеустремленный какой!), кандидат на премию дарвина [ut]http://www.youtube.com/watch?feature=player_embedded&v=Wqg-zugZdI0[/ut]
БИРГ: зяблик пишет: еще один, весьма перспективный на мой взгляд (и целеустремленный какой!), кандидат на премию дарвина [ut]http://www.youtube.com/watch?feature=player_embedded&v=Wqg-zugZdI0[/ut] Абалдеть! я плакалЪ! Это наверное подстава, все было срежиссировано, ну неужели есть такие дятлы в жизни. Зяблик, я же уже писал, как выставлять клипы с ютуба, чтобы их было видно. Ты читала об этом?
GlamurKa: БИРГ пишет: Зяблик, я же уже писал, как выставлять клипы с ютуба, чтобы их было видно. Ты читала об этом? и я писала и показывала и рассказывала, что ссылка с <...feature=player_embedded&v=...> в середине не будет работать
Димыч: зяблик пишет: еще один, весьма перспективный на мой взгляд (и целеустремленный какой!), кандидат на премию дарвина [ut]http://www.youtube.com/watch?feature=player_embedded&v=Wqg-zugZdI0[/ut] Блин, это невероятно. Явная инсценировка.
Димыч: БИРГ пишет: Абалдеть! я плакалЪ! Это наверное подстава, все было срежиссировано, ну неужели есть такие дятлы в жизни. Запросто! Думаю, что для этого нужно быть бухим и иметь мопед с неисправным сцеплением, который всё время вперёд едет.
зяблик: БИРГ пишет: Зяблик, я же уже писал, как выставлять клипы с ютуба, чтобы их было видно. Ты читала об этом? нэд, про то, то, что писала гламурка о том, что длинные ссылки с этой серединой не фурычат, читала, а вот как их делать видимыми несмотря ни на что, не читала :(
зяблик: а вот для вставки таких (или других не ютубовских) ссылок на форуме механизма нету? [ut]http://smotri.com/video/view/?id=v2466873da71#[/ut]
механизатор: зяблик пишет: а вот для вставки таких на форуме механизма нету? есть такая партия механизма
БИРГ: зяблик пишет: а вот для вставки таких (или других не ютубовских) ссылок на форуме механизма нету? [ut]http://smotri.com/video/view/?id=v2466873da71#[/ut] Нет, не получается у меня вставить видео ссылку , чтобы было видно на форме.
БИРГ: зяблик пишет: нэд, про то, то, что писала гламурка о том, что длинные ссылки с этой серединой не фурычат, читала, а вот как их делать видимыми несмотря ни на что, не читала :( Всё очень просто: Если у тебя не получается сделать ссылку из ютуба видимой, то ты просто копируешь её название, для примера берём твою ссылку : http://www.youtube.com/watch?feature=player_embedded&v=Wqg-zugZdI0 Она называется "Darwin Awards Winner - 2013 Dumbest Funny Motorcycle Scooter Accident" Вот именно это название ты и вставляешь в поисковик Ютуба, кликаешь кнопку поиска и у тебя откроется ряд ссылок. Выбираешь ту, что теб интересует и кликаешь на неё. Когда клин откроется, ты копируешь его и уже в таком виде вставляешь на форум:
Мат Ильды: Матильда пишет: Пишите всякую чушь, дураки.
зяблик: БИРГ пишет: Всё очень просто: Если у тебя не получается сделать ссылку из ютуба видимой, то ты просто копируешь её название спасибо, принцип понятен.. я думала, что есть еще какие-то особенные секретные модераторские примочки :)
зяблик: а вот тут даже не знаю. смеяться или плакать jeb w łeb :))
БИРГ: Хороший голос у девушки, только не сильно понял слов, ведь она текст знаменитой песни переиначила. Когда-то я на канадуре выставлял ссылку на песню Анюты в исполнении этой красивой блондинки из Киева. Посмотрим и послушаем вместе
зайти: Совсем зафлудили тему. просьба удалить флуд.
Регулярный регулятор: Поддерживаю.
п: Сегодня зашла на канада.ру, сработал антивирусник. результат - Троян. делайте выводы.
Троян: п пишет: Троян. делайте выводы. Ну был я там сегодня. Тамошние пользователи сами кого угодно заразят, еле ускакал.
БИРГ: зайти пишет: Совсем зафлудили тему. просьба удалить флуд. Это для разрядки,музыкальные паузы, чтобы страсти не нагнетали и народ не пугали страшилками всякими.
ад: п пишет: Сегодня зашла на канада.ру, сработал антивирусник. результат - Троян. делайте выводы. Аааа, ну если ты зашлАааааа.
едрос: ад пишет: Аааа, ну если ты зашлАааааа. И чито?
Idealist: У канадурских жидов не хватило ума нормальный троян подцепить. Trojan Win 0/90 легко лечиться любым антивирусником.
Бритый крот: Idealist пишет: У канадурских жидов не хватило ума нормальный троян подцепить. В следущий рас мы такого трояна пставим. Малый смайл
БИРГ: Бритый крот пишет: Бритый крот Idealist пишет: Idealist Нажав на кнопочку "ALERT" Модератор видит следующее: "Данный участник не зарегистрирован. Можно банить без предупреждений" Может всё-таки зарегистрируетесь, а потом будете здесь выеживаться? Ведь Модератор имеет полное право перенести ваши посты в Немодерируемый раздел.
Дока: Зарегистрируйтесь, а потом Бирх будет выёживаться.
БИРГ: Дока пишет: Зарегистрируйтесь, а потом Бирх будет выёживаться. Можете не регистрироваться, дело ваше. Но если будете хулиганить, то вас забанят тогда по IP-адресу, а зарегистрированный пользователь , если и будет забанен, то его бан снимается после истечения определенного срока и он снова сможет писать на форуме.
айпи: Сменить айпи как 2 пальца об асфальт. Так что иди на.
БИРГ: айпи пишет: Сменить айпи как 2 пальца об асфальт. Нажат на кнопочку бана- дело одной секунды.
айпи: Ну и сиди со своей кнопочкой.
БИРГ: айпи пишет: Ну и сиди со своей кнопочкой. Я просидел два года один в бане на россияке без всяких кнопочек и мне не было там скучно. Вроде бы никого не баню за высказывания, ну если не считать откровенных оскорблений в чей-либо адрес или провокационных постов, разжигающих межнациональную рознь. Вы здесь сами можете любые темы открывать и общаться между собой , к тому же на форуме доступно много функций, которых нет на канадуре.
полная версия страницы