Исходное сообщение
"Разработчики Mozilla представили систему для защиты от web-а..." Отправлено WarpwraP, 07-Июн-08 22:40
>Точно так же, как втыкают iframe, воткнут и вывод этих заголовков. В >чём смысл? Для втыкания заголовков надо как минимум поломать сервер и огрести там права для его конфигурежки(чуть ли не рут).Для того чтобы впарить клиенту не хидеры а просто кусок хтмлятины, картинку или жабаскрипт всего этого нафиг не надо - достаточно накопать хилую валидацию закидываемого юзерами на сайт контента и втулить туда ссылку.А дальше браузер любезно загрузит юзеру совсем не то что задумывал вебмастер сайта в оригинале.В итоге посещая легитимный сервак вы можете заодно посетить и еще много чего, попутно малость попрощавшись с приваси а то и с куками содержащими пароли а от вашего имени могут что-то сделать (скажем форму запостить).Не больно то приятно когда заходишь на вполне порядочный сайт сайт а дальше вместо этого хакеры тебя кидают туда сюда как мячик для пинг-понга для своих левых целей.Данное хозяйство несколько усложнит подобные приколы.Посему шансы случайно посетить левый хацкерский сервер попутно с легитимным заметно снизятся.По-моему, очень грамотный подход, реальный ответ на массу дыр класса XSS в веб-приложениях.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:
	Введите код, изображенный на картинке: