Недавно рылся по секьюрити блогам, и нашёл вот такой вот интересный пост с двумя XSS-конструкциями для браузера IE (http://www.thespanner.co.uk/2008/08/26/new-xss-vector/): Code: [b]1)[/b] <isindex type=image src=1 onerror=alert(1)> [b]2) <isindex action=javascript:alert(1) type=image>[/b] Первая конструкция работает под все версии IE, но на mail.ru тщательно фильтруется активное содержимое любых тегов, поэтому вариант с onload/onerror я отбросил исходя из прошлого горького опыта. А вот вторая XSS выглядела немного более многообещающей. Заюзав её в неизменном виде на почте mail.ru я получил вот что: Code: <isindex action=xjavascript:alert(1) type=image> Через 5 минут этот фильтр обошёлся добавлением загнанной в hex табуляции (	). Фильтр сделал с этим вариантом следующее: Code: <isindex action=	javascript:alert(1) type=image> А это дело корректно обрабатывается в ослике, поэтому на данный момент мы имеем активную XSS в теле письма для IE 6.0: Code: <isindex action=	javascript:alert(1) type=image> Пасиба за внимание, надеюсь, кому-нибудь пригодится
1. Имеем пассивную, как было уже всеми отмечено, потому как в action она никогда и нигде не будет активной. Активная в isindex возможна только в атрибуте src (и родственных), но на mail.ru она не сработает, поскольку против таких вариантов там двойная защита: параметр src должен отвечать строгим требованиям. Если не отвечает, он автоматически замещается на мейловскую картинку-пиксель. Конечно, это не просто пассивная, а пассивная в теле сообщения. Иx преимущества в том, что они не блокируются как потенциальные xss-атаки NoScript`ом для FF, и к ним можно прикрутить javascript-граббер почты. 2. Фильтр перевел табуляцию из десятичной в шестнадцатеричную из-за ошибки в определении начала параметра при использовании dec без явного разделителя (;). Начало параметра ему нужно, чтобы вставить "x". А "x" он вставляет всегда там, где находит сочетание "script", даже если это "blablascript". Ты эту ошибку обнаружил, тебе респекты. 3. Далее. Эти так называемые "новые" xss здесь ни при чем. Они только все портят, делая пассивную рабочей только в IE. Обычный тег form расширяет область работоспособности и на FF, и на Opera. Code: <form action="	javascript:alert(document.cookie)" target="_self"><input type=image src=http://sittttteeee.ru></form>