Случайны выбор дневника Раскрыть/свернуть полный список возможностей


Найдено 75 сообщений
Cообщения с меткой

ivi.ru - Самое интересное в блогах

Следующие 30  »
rss_rss_hh_new

[Из песочницы] Iframe injection и XSS на более чем 20 000 сайтах alexarank

Среда, 11 Января 2017 г. 15:02 (ссылка)

Я независимый исследователь безопасности securityz.net, первое место в bug bounty ПриватБанка.



Решил пройтись по топу alexarank, начал искать уязвимости на gismeteo.ua (20 место). Произошел редирект на русскую версию (www.gismeteo.ru/soft/), обратил внимание на тех.поддержку.



Техподдержка находилась по адресу gismeteo.userecho.com и загружалась на gismeteo в iframe:



https://gismeteo.userecho.com/s/interframe.html?url=https://gismeteo.userecho.com/widget/forum/6-/?lang=ru&referer=https://www.gismeteo.ru/soft/&xdm_e=https://www.gismeteo.ru&xdm_c=default4178&xdm_p=1


Потом появлялась форма для создания тикета.



Попытался загрузить свой сайт в iframe https://gismeteo.userecho.com/s/interframe.html?url=https://securityz.net, но он не грузился. Потом понял, что кроме url загружаемого сайта нужны ещё и переменные lang, referer, xdm_e и другие.



http://support.gismeteo.ru/s/interframe.html?url=https://securityz.net/?lang=ru&referer=https://www.gismeteo.ru/soft/&xdm_e=https://www.gismeteo.ru&xdm_c=default4178&xdm_p=1


И мой сайт загрузился во фрейме.



Видео:







Оказалось, что владелец виджета userecho.com использует один и тот же API на всех сайтах клиентов для техподдержки, отсюда вывод, что все его клиенты уязвимы к iframe injection.



Находим список топ-клиентов — http://userecho.com/clients/?lang=ru — и понимаем, что много уязвимых клиентов — это наиболее посещаемые сайты:



— drugvokrug.ru (социальная сеть, более 5 000 000 пользователей),

— fl.ru (самая популярная фриланс биржа в России)

— easypay.ua (одна из наиболее посещаемых платежных систем в Украина)

— tankionline.com

— ivi.ru

— amiro.ru

— okko.tv

— insales.ru

— a-lab.ru

— scrapinghub.com

— iridiummobile.net и много других.



Почти все сайты размещают виджет userecho на своём поддомене, пример — ask.drugvokrug.ru, но некоторые размещают его как поддомен на userecho kontur.userecho.com. Также клиентов userecho можно искать по google/yandex доркам.



Векторы атаки:





Чтобы распространить вредоносную ссылку, нужно сначала укоротить ссылку goo.gl/GIYRUR, потом:




  1. Массово рассылать на форумы, по email адресам.

  2. Целенаправленно атаковать определенного юзера или админа с помощью этой уязвимости.



Можно было бы отправлять сообщения об уязвимости на каждый уязвимый сайт, но уязвимость была бы оперативно исправлена разработчиками userecho и я мог бы не получить ничего ни от уязвимых сайтов, ни от разработчиков виджета.



Поэтому решил сразу сообщить о находке разработчикам плагина.



09.01.2017 в 23:00: отправлен баг репорт в тех  поддержку userecho.com.



10.01.2017 в 00:10: уязвимость исправлена и уязвимый файл interframe.html удален (комментарий от разработчиков - файл interframe.html больше недоступен (удален) и все виджеты работают без него. Поэтому все работает с тем же API.).



10.01.2017 в 02:14: разработчики выплатили награду $100. Комментарий:

Вы должны понимать, что мы не такая крупная компания. К тому же, это вообще первый случай когда мы решили дать кому-то денежное вознаграждение.


Также я обнаружил SELF XSS уязвимость в поддержке userecho и ее не собираются исправлять, уязвимости подвержены более 20 тысяч сайтов, вот статья и PoC. Я еле уговорил разработчиков устранить iframe injection:

Мы видели по логам, что вы игрались с interframe.html и в принципе понимали для чего и как его использовали. Только не был понятен вариант как использовать это с пользой.



Так как теперь мы понимаем варианты использования и Вы подвигли нас на исправления мы готовы перевести Вам 100USD.


Успехов!
Original source: habrahabr.ru.

https://habrahabr.ru/post/319304/?utm_source=habrahabr&utm_medium=rss&utm_campaign=best

Комментарии (0)КомментироватьВ цитатник или сообщество
Konstancia

Онлайн кинотеатр ivi.ru

Среда, 15 Апреля 2015 г. 17:08 (ссылка)


Не знаю как вы, а я все грожусь сходить в кинотеатр на очередную премьеру и никак до него не дойду. Таким образом все кричащие афиши вызывали у меня жгучее и казалось непреодолимое желание отправиться в кино, но все же мне постоянно что-то мешало и все желанные премьеры остались позади. Поэтому пришлось искать онлайн-кинотеатр, который также всегда в курсе новинок мирового кинематографа. Могу также рекомендовать его всем занятым или ленивым фанатам кино. Это бесплатный онлайн кинотеатр ivi.ru. http://jumpstylers.ru/vazhn...novitsja-zharko.html КИНОЗАЛ Записи в рубрике КИНОЗАЛ ДАРИТЕ ДРУГ ДРУГУ, ТЕПЛО И …



Он предлагает большой выбор кинокартин в хорошем качестве для просмотра в режиме онлайн. И главное то, что туда вы никогда не опоздаете и вообще время сеанса выбираете вы сами в зависимости от свободного времени и настроения. На данном ресурсе все картины собраны аккуратные разделы- Фильмы, Сериалы, Мультфильмы, Музыка, Программы. Вы сможете выбирать согласно жанров, рекомендациям сайта или выхода в прокат. Сайт постоянно обновляет свой ассортимент новыми интересными картинами и сериалами, которые смогут разнообразить ваш досуг. Главное, теперь вы сможете смотреть новинки и не бояться их пропустить. Удачи!


Метки:   Комментарии (0)КомментироватьВ цитатник или сообщество
Artconn

ivi.ru — фильмы и сериалы в HD 4.8.1Rus/Eng для Android - ТВ-программы, онлайн фильмы, ivi.ru

Суббота, 04 Апреля 2015 г. 12:59 (ссылка)
sweet.org.ua/mobila/1753-ivi.html

С помощью приложения ivi.ru вы можете смотреть фильмы, сериалы, ТВ-программы, мультфильмы в отличном качестве бесплатно и легально.
Метки:   Комментарии (0)КомментироватьВ цитатник или сообщество
Tanyusha100

"The Doors " на ivi.ru

Четверг, 20 Ноября 2014 г. 18:21 (ссылка)


4897960_9999 (700x394, 64Kb)     



     Фильм "The Doors " режиссера Оливера Стоуна о жизни и творчестве известного рок-певца и поэта Джима Моррисона и об истории создания рок-группы The Doors в реалиях 60-х - времени становления и противоречивого признания легендарной рок группы современниками, вышел на экраны в 1991 году. Фильм основан на реальных событиях и хорошо освещает культуру молодёжи США - поколения 60-х, когда из жизни уходили многие известные талантливые рок-музыканты, и не только они, став жертвой вседозволенности, иначе говоря, сомнительной свободы и роковой зависимости от наркотиков.



     Оливер Стоун отлично передал жизнь, быт и дух 60-х, придавая значение мелочам в сценах, не жалея на это средств, ради чего возвращали даже вид 60-х домам и улицам, которые должны были потом быть засняты в секундных сценах и эпизодах фильма. В результате, популярный фильм " The Doors " , который можно смотреть онлайн бесплатно здесь - http://www.ivi.ru/watch/70180, завоевал тоже награды, одна из которых - зрительские симпатии.



ДАЛЕЕ
Метки:   Комментарии (0)КомментироватьВ цитатник или сообщество
Tanyusha100

"The Doors " на ivi.ru

Четверг, 20 Ноября 2014 г. 18:21 (ссылка)


4897960_9999 (700x394, 64Kb)     



     Фильм "The Doors " режиссера Оливера Стоуна о жизни и творчестве известного рок-певца и поэта Джима Моррисона и об истории создания рок-группы The Doors в реалиях 60-х - времени становления и противоречивого признания легендарной рок группы современниками, вышел на экраны в 1991 году. Фильм основан на реальных событиях и хорошо освещает культуру молодёжи США - поколения 60-х, когда из жизни уходили многие известные талантливые рок-музыканты, и не только они, став жертвой вседозволенности, иначе говоря, сомнительной свободы и роковой зависимости от наркотиков.



     Оливер Стоун отлично передал жизнь, быт и дух 60-х, придавая значение мелочам в сценах, не жалея на это средств, ради чего возвращали даже вид 60-х домам и улицам, которые должны были потом быть засняты в секундных сценах и эпизодах фильма. В результате, популярный фильм " The Doors " , который можно смотреть онлайн бесплатно здесь - http://www.ivi.ru/watch/70180, завоевал тоже награды, одна из которых - зрительские симпатии.



ДАЛЕЕ
Метки:   Комментарии (0)КомментироватьВ цитатник или сообщество
милк_минк

Фильм "Тайный Санта-Клаус"

Среда, 19 Ноября 2014 г. 18:55 (ссылка)


172x264 (172x264, 12Kb)Уже вошло в привычку по вечерам отдыхать перед телевизором, смотря какой-нибудь хороший фильм. Какой? Ну это уже по настроению и в зависимости от того, кто рядом. А так как вечером обычно дома собирается вся семья, то и фильмы чаще всего выбираются такие, чтобы было интересно и взрослым, и детям. Иногда смотрим новые фильмы, а иногда хочется вспомнить и посмотреть уже виданные ленты. Ведь это мы их видели, а для наших детей они – открытие.



Недавно на http://www.ivi.ru/watch/81722 смотрели добрый, спокойный, чисто семейный фильм «Тайный Санта-Клаус». Его снял в 1998 в США режиссер Фред Олен Рэй и подарил зрителям к рождественским праздникам. Фильм на самом деле создает атмосферу предвкушения праздника, поэтому и сегодня смотрится интересом. События сказочные, но недалеки от реальности. У главного героя Гордона Ковингтона на первом месте работа и, хотя он любит свою семью, времени на нее практически не хватает. Не правда ли, знакомая ситуация? И только, когда эльф Рэнди превращает Гордона в Санта-Клауса и ему приходится пройти через многие приключения и испытания, герой понимает, что важнее семьи нет ничего, а оказаться в кругу близких – настоящее, несравнимое ни с чем счастье. И, хотя этот фильм мы уже видели и включили его для детей, но все равно смотрели с интересом, получили море удовольствия, да и детям понравился. В фильме забавные, увлекательные сюжетные повороты, мягкий юмор, отличные съемки.



Фильмы мы предпочитаем смотреть онлайн. Это очень удобно: можно выбрать любой фильм, не мешает надоедливая реклама, а качество не хуже, чем по телевизору, а чтобы было удобней – подключаем компьютер к телевизионному экрану. Онлайн кинотеатр ivi.ru – это большой выбор фильмов, мультфильмов, которые можно смотреть онлайн бесплатно в хорошем качестве.

Приятного просмотра!
Метки:   Комментарии (0)КомментироватьВ цитатник или сообщество
ворончиха_с

Фильмы-Онлайн.

Пятница, 14 Ноября 2014 г. 07:50 (ссылка)
bar-guzin.com/post343253416/


Хорошо отдохнуть, я так думаю, это значит получить заряд самых положительных эмоций, которые придадут вам бодрость, оптимизм, настроение.   У каждого методы подзарядки позитивом и хорошим настроением свои. Но с  такой непростой зад...

Метки:   Комментарии (0)КомментироватьВ цитатник или сообщество
Babajka

Кого хочу я больше

Суббота, 13 Сентября 2014 г. 12:42 (ссылка)


Жизнь, если она не наполнена романтикой, приключениями, запоминающимися веселыми или не очень веселыми историями, скучна и однообразна. Работа, дом, работа, дом - и так изо дня в день. Хорошо, если имеется возможность хотя бы один раз в году отдохнуть где-нибудь на море и таким образом сделать свою жизнь разнообразней. Наверное поэтому многие, как мужчины, так и женщины, теряют голову если у них возникает случайный флирт с особой противоположного пола. Вспоминается молодость, кровь закипает в жилах и остановить этот пожар уже становится никому не под силу.



Вот такие мысли у меня возникли после просмотра на http://www.ivi.ru/watch/52344 итальянской эротической драмы "Кого хочу я больше". Жизненный и правдивый фильм, в котором показана судьба обычной женщины, хорошего бухгалтера и прекрасной жены. Прекрасной - до поры до времени...



И хотя действия развиваются не в России, а в Италии, она почему-то имеет не итальянское, а истинно русское имя - Анна. У нее великолепный любящий муж, красивый дом, хорошая работа, подруги, с которыми она может многозначительно рассуждать о любви. Что еще нужно женщине средних лет? Но оказывается ей не хватает того, о чем я говорил в начале своего рассказа. Жизнь у нее пресная и скучная. Ей нужна какая-то встряска. И Анна при первой же возможности реализовала свои желания.






С другой стороны улицы в маленькой квартирке живет не совсем успешный официант Доминик, имеющий двоих детей и у которого со своей женой давно уже возникли разногласия полностью заглушившие у него страсть к собственной жене. Доминик и Анна встретились случайно и их обоих захлестнула неимоверная страсть, предаваться которой они могли по расписанию только два часа в неделю...



По моему мнению, этот фильм очень поучителен для девушек пытающихся завести отношения с женатыми мужчинами, в основе которых будут страсть и секс. Посмотрите к какому финалу это может привести. Фильм мне очень понравился. Рекомендую. К стати, на сайте, где вы будете смотреть этот фильм можно найти еще огромное количество других не менее интересных кинолент, которые можно смотреть бесплатно, в хорошем качестве и даже без регистрации.



Плеер (700x412, 40Kb)


Метки:   Комментарии (14)КомментироватьВ цитатник или сообщество
Таня_Кононенко

Мымра

Пятница, 05 Сентября 2014 г. 17:29 (ссылка)

Наверное в мире нет такой женщины, которая не любила бы хороший, качественный и позитивный фильм. Лично я обожаю, поэтому когда у меня выдается свободный вечер, стараюсь подобрать что то интересненькое и таким образом хорош провести время . Благо, что в наше время существует скоростной интернет, позволяющий смотреть фильмы в онлайн режиме. Но для того что бы смотреть фильмы, необходим добротный оналйн кинотеатр и у меня кстати говоря есть такой на примете! Не так давно одна из моих коллег, порекомендовала мне посмотреть фильмы "Мымра" в онлайн кинотеатре http://www.ivi.ru/watch/2489, мотивируя выбор данного кинотеатра, удобным оформлением, качественной картинкой и отсутствием лишней, вечно мешающей рекламы.
Коллега была истинным ценителем хороших, позитивных фильмов, поэтому я решила, что просто обязана прислушаться к ее рекомендации. Зайдя на сайт уже упомянутого мной онлайн кинотеатра, я без проблем нашла интересующий меня фильм "Мымра" и приступила к его просмотру.
Посмотрев фильм, могу сказать, что очень довольна увиденным и искренне рада, что послушала коллегу! Фильм действительно интересный, с массой интересных, смешных моментов. Главным действующим лицом картины, является Елена Чистякова, которая став успешной женщиной, имеющей стальной характер, решает завести ребенка, так как биологические часы, никого не щадят. И тут то и начинается самое интересное! Героиня начинает, со свойственной ей скрупулезностью и холодным расчетом, искать отца для своего будущего ребенка.
В завершение скажу, что фильм реально стоит внимания и мне хотелось бы, что бы такие позитивные кино картины появлялись как можно чаще и радовали нас, простых кинолюбителей!

61c69a92-9ca1-4846-8c7a-ca2de927a4f4 (350x609, 427Kb)

Метки:   Комментарии (5)КомментироватьВ цитатник или сообщество
heregirl

Сериал Читающий мысли

Вторник, 06 Мая 2014 г. 19:22 (ссылка)

Современная индустрия кино предлагает нам очень различных жанров фильмов. Но, к сожалению, последнее время выходят фильмы, которые смотреть тошно. Одно и тоже. Фильмы клепают по одним и тем же стандартам... Ничего интересного. Особенно разочаровал фильмы под названием "Керакл" и "47 Ронинов", которые так рекламировали... А на самом деле не достойны и одного просмотра. Но эту сугубо мое мнение.

Читать далее...
Метки:   Комментарии (0)КомментироватьВ цитатник или сообщество
Donnarossa

С днём рождения мультфильма! International Animation Day

Понедельник, 28 Октября 2013 г. 17:26 (ссылка)


Всем авторам, а также и зрителям мультяшек, а таких, несомненно, поголовное большинство, - мой мультяшный привет. Дата праздника выбрана не случайно: именно 28 октября в 1892 году художник и изобретатель из Франции Эмиль Рено продемонстрировал почтенной парижской публике доселе никем не виданное зрелище — «оптический театр» (проще говоря - мультфильмы).


Какой чудесный день


Далее>>>
Метки:   Комментарии (1)КомментироватьВ цитатник или сообщество

Следующие 30  »

<ivi.ru - Самое интересное в блогах

Страницы: [1] 2 3 ..
.. 10

LiveInternet.Ru Ссылки: на главную|почта|знакомства|одноклассники|фото|открытки|тесты|чат
О проекте: помощь|контакты|разместить рекламу|версия для pda