uppdatera Du kan ocks� vilja till blick for: MySpace Hacka: Hur Till Syn N�gon F�rbrukaren Privat Video.

I den senaste tidSamy [samy p� namb punkt la] befriaren en mask ["Samy mask" eller "JS.Spacehero mask"] i MySpace, popul�r social n�tverken plattform lik V�nnerna, vilken orsakat honom till vara adderat s� hj�lte till miljon av MySpace f�rbrukaren (" utom h�gst om alla, samy er p� min �lder hj�lte") likaledes s� till�gga honom s� deras v�n, all utan deras tydlig till�telse.

Efter h�gvatten n�tverken, MySpace stiget i och f�stad h�len. Samy �r stilla " hj�lte" till miljon av MySpace f�rbrukaren i deras profil.

Avsikten av den h�r artikeln �r till h�g punkten garantien utsl�ppen utsatt h�rmed mask. Den er absolut inte inlemmat till MySpace ensam och masken f�r�ka inte p� grund av MySpace's fel utom fel av beter lik Internet Utforskare. Och felen v�ntar till vara exploatera i flera annan spindelv�v ans�kan av lik natur lik Ryze eller L�nkat etc.. Inne om resten av den h�r artikeln Jag vill sammanfattning den modulera- opera av hans skriften och f�resl� p� v�g till skydda din spindelv�v applicering emot s�dan anfalla.

Samy anv�nd AJAX till till�gga sig sj�lv som v�n och hj�lte n�r f�rbrukaren bes�ka hans sida. Den h�r beh�ver Javascript till vara utf�rat inne om beter vilken g�r den smutsig verk.

MySpace pliktskyldigt eliminerar javascript fr�n f�rbrukaren html ( vilken blir deras profil). Hur ... �n Sammy f�rkl�det ordenjavascript med en b�ddat in nyligen "java\nscript".

MySpace icke till�ta skriften m�rken. S� han b�ddat in hans javascript i CSS stylebackgroundurl'javascriptevaldocument.all.mycode.expr'=":(:())"

AJAX kanna h�mta dokumentera fr�n samma dom�n ( eller sub- dom�n) bara. S� om f�rbrukaren var p� profile.myspace.com, han flyttat dem till www.myspace.com vilken skaffar den samma informationen utom till�t honom till vara adderat som v�n.
om (location.hostname == 'profile.myspace.com') document.location = 'http:/www.myspace.com' + location.pathname + location.search;

Efter besegra en trvial hash l�mna ut han till�gga hans koden och " utom h�gst om alla, samy er p� min �lder hj�lte" text till f�rbrukaren profil. Den h�r anledningarna masken till f�r�ka inte enda bortsett fr�n n�r f�rbrukaren bes�ka hans tomt utom ocks� n�r de bes�ka n�gon av den infektera f�rbrukaren. Ja, enkel exponenten bredande.

Samy skaffarspecificerat anteckningen och koden f�r hans exploatera efter den exploatera var filter stoppat vid MySpace.

Hur kanna du skydda din spindelv�v applicering fr�n s�dan anfalla?
I f�rste r�cke JAG anta du har filter p� plats lik MySpace auktoriserat inte filter manuskripten och javascript m�rken etc. Hur ... �n tydlig den d�r er inte nog; inte j�mn n�ra.
Din filter m�rken skulle bli intelligent till recognize orden separerat vid newlines s� vist �ver.

Annan f�rbrukaren profil ( eller n�gon html bel�tenhet) skulle bli viewable bara fr�n en skild fr�n sub- dom�n.

N�gon aktionerna lik till�gger en l�nk, v�n, f�rbindelsen etc. m�ste blir gjort fr�n siden vilken kanna aldrig inneh�ll n�gon annan f�rbrukaren koden. Om du skaffa en l�nk f�rdriva tiden betraktande sj�lvaste profil till till�gga hans som v�n d� p� klickande du ta honom till en skild fr�n sida var den f�rbrukaren f� till redigera upplysning p� hans v�n och till�gga honom efter bekr�ftelse. Den h�r sida borde inte inneh�lla n�gon html bel�tenhet fr�n f�rbrukaren varelse adderat.

I v�sen vi n�d till captalize p� AJAX trygghet modell vilken f�rhindrar koden utf�randen fr�n olik tomt.