August 26th, 2005

(no subject)

Сегодня в 1:40 по москве мной было отправлено письмо в саппорт ljplus.ru такого содержания:

Ваш сайт ljplus.ru имеет несколько уязвимостей...

1. CSS ( XSS ) - возможно украсть чужие куки (cookies) в которых
содержится md5хеш пароля...
2. псевдо php-inc ))) что радует. но все равно мжно посмотреть полный
путь к домашней директории...

Вот несколько ссылок демонстрирующие уязвимость:
http://ljplus.ru/memories/wholovesme/?user=%3C%2Fa%3E%3C%2Fa%3E%3Ch1%3E%C2%EE%F2+%F2%F3%F2+%E5%F9%E5+XSS%3C%2Fh1%3E
http://ljplus.ru/misc/zodiac/?user=..%2F..%2F
http://ljplus.ru/friends/common/?user1=..%2F..%2F&user2=..%2F..%2F
http://ljplus.ru/friends/rating/?search=%3C%2Fa%3E%3C%2Fa%3E%3Ch1%3E%D2%F3%F2+%F2%EE%E6%E5+XSS%3C%2Fh1%3E%3Ca
http://ljplus.ru/friends/mine/?user=..%2F..%2F&mode=ggg
http://ljplus.ru/misc/lastupdate/?user=..%2F..%2F

Прошу вас ответить...


Хотя эти уязвимости ничего не дают... т.к. куки пиздяца только от хотлога... а в php-inc нулл байт не работает )))) ну вощем никуя неполучаеца... а перед сапортом попонтаваться хочица ))))

Будем ждать ответа... ))))
  • Current Music
    Русский Размер - Далеко