(no subject)

[metaclass]

Кросс-сайт скриптинг уязвимость в ЖЖ. Веселуха, блин. Эпидемия вскрытия журналофф.

Интересно, а завалить оный хост, участвующий в атаке(talakin.host.sk), закидав его запросами, часом нельзя? Они нам XSS а мы им DDoS.

Comments

[psilogic.livejournal.com]

какая уязвимость? о чем ты?

[metaclass.livejournal.com]

Суть примерно такая, что при открытии чужой зараженной записи из-за не совсем корректного поведения IE выполняется скрипт, отсылающий параметры аутентификации(хэшированный пароль внутри кукисов?) на специальный хост. На хосту стоит скрипт использующий эти параметры для доступа к журналу, помещения в него новой зараженной записи уже в вашем журнале и изменения еще каких-то настроек. И так далее.

тут еще написано про это

[psilogic.livejournal.com]

ааа... очередная дыра в IE
*с довольным видом чешет за ушком своего Огнелиса*