XSS

Новости

Баг в jQuery Mobile может обернуться XSS-уязвимостью для множества сайтов

Специалист Google обнаружил проблему в jQuery Mobile, которая не опасна сама по себе, но может спровоцировать XSS.

Новости

Уязвимость в Steam позволяла разместить вредоносный javascript-код на странице профиля

В Steam в очередной раз обнаружили XSS-уязвимость, и баг едва не спровоцировал массовый угон аккаунтов.

Новости

Подростки обнаружили XSS-уязвимость в плагине HTML Comment Box, опасную для 2 млн сайтов

Два 14-летних подростка из Ливана нашли уязвимость в популярном плагине HTML Comment Box.

Новости

Adobe навязала пользователям расширение Acrobat для Chrome, эксперт нашел в нем XSS баг

Тевис Орманди обнаружил уязвимость в Chrome-расширении, которое компания Adobe в этом месяце навязала пользователям.

Xakep #214

Взлом

Как бэкап становится бэкдором. Ищем уязвимости в веб-приложении крупной компании

Я работаю в большой организации, и, как положено большой организации, у нас есть внутренние веб-приложения, которые реализуют довольно ответственную бизнес-логику. Именно о таком приложении мы сегодня и поговорим: проведем его анализ защищенности, найдем парочку уязвимостей и навсегда уясним, как не стоит хранить бэкапы.

Новости

XSS-уязвимость в почте Yahoo позволяла читать чужие письма

Исследователь заработал 10 000 долларов, обнаружив XSS-баг в почтовом сервисе Yahoo.

Новости

Google представила два инструмента для борьбы с XSS-уязвимостями

Компания Google выпустила инструменты CSP Evaluator и CSP Mitigator, которые должны помочь специалистам выявлять XSS-уязвимо…

Новости

Почта для чиновников оказалась уязвимой

Специалист по информационной безопасности Mail.Ru Group Карим Валиев рассказал у себя в Facebook, что ему удалось обнаружить…

Новости

Уязвимость в плагине для WordPress поставила под угрозу миллион сайтов

Специалисты компании Sucuri обнаружили опасную уязвимость в популярном плагине Jetpack для Wordpress. Используя её, злоумышл…

Xakep #206

Взлом

Зомби-скриптинг. Используем BeEF для продвинутых XSS-атак

XSS-атаки (сross-site scripting) уже давно вышли за рамки угона сессии через document.cookie на сниффер злоумышленника. Различные онлайн-сервисы, которые позволяли с легкостью вставлять нужный пейлоад и ждать, пока на e-mail придет уведомление с данными жертвы, остались где-то в 2007. Сегодня речь в статье пойдет о популярном инструменте, который помогает выжать максимум из простого внедрения JS-кода. Итак, знакомься — BeEF.

Трюки

WWW: SSL Server Test и SecurityHeaders.io — средства выявления небезопасных настроек сайта

«Вроде, работает» — это та реплика, которой не должна заканчиваться процедура настройки сервера. Чтобы удостовериться, что на твоем сайте верно сконфигурированы сертификаты и заголовки HTTP, можешь воспользоваться этими утилитами. Никто, впрочем, не запрещает проверить ими и чужой сайт.

Новости

Рекламные сети уязвимы перед простейшими XSS-атаками

Независимый специалист Рэнди Вестергрен (Randy Westergren) обнаружил, что многие рекламные сети подвержены одной и той же пр…

Новости

В Magento устранено 20 уязвимостей, включая критические

Разработчики популярнейшей платформы для интернет-магазинов Magento представили набор патчей, суммарно устраняющий 20 уязвим…

Xakep #203

Взлом

Easy Hack: Как добыть данные через Cross Site Scripting Inclusion

Если ты читаешь Easy Hack систематически, то, наверное, уже хорошо знаком с Same Origin Policy (SOP), мы к нему часто возвращаемся. Из-за SOP возможность взаимодействия между двумя «сайтами» очень ограничена. Но так как задача получения и оправки информации на одном сайте с другого возникает часто, то были внедрены различные методы для «смягчения». Один из самых старых методов — подгрузка JavaScript с другого домена через тег <script>. SOP нас здесь ничем не ограничивает: можно указать практически произвольное месторасположение.

Новости

Бумажный спецвыпуск

Еженедельный дайджест

Партнерам

«Хакер» в соцсетях

Материалы для подписчиков