| |
| 2.2, upyx (ok), 13:14, 05/10/2009 [^] [^^] [^^^] [ответить]
| –2 +/– |
Ага. Есть.
Сегодня один человек жаловался, что mail.ru криво открывается. Глянул код, а там г-на не то, что огород удобрить, на колхоз хватит. И все чудесно выполнялось и пыталось грузится. И загрузилось бы, кабы на шлюзе зарезано не было. В ФФ та же барада. Впрочем, майл.ру может и не использовать дополнительные заголовки, я не смотрел.
| | |
| |
| |
| 4.30, upyx (ok), 05:59, 07/10/2009 [^] [^^] [^^^] [ответить]
| +/– |
>а при чем тут в том что вы написали IE8 и FF
>
При том, что все едино веб разработчики это не применяют, а зря.
| | |
|
|
| 2.3, Аноним (-), 13:48, 05/10/2009 [^] [^^] [^^^] [ответить]
| +1 +/– | |
>в IE8 давно есть
Что там есть ? Как без определения web-мастером что можно блокировать, а что нет, разделить JavaScript вставку баннерной крутилки от JavaScript вставки злобного хакера ? Технически легальная от нелегальной вставки отличаются только именем домена.
| | |
| 2.17, Аноним (-), 18:37, 05/10/2009 [^] [^^] [^^^] [ответить]
| –1 +/– | |
> в IE8 давно есть
Вы б не завирались настолько? Или вам заплатили достаточно для того чтобы совесть отключилась совсем?
| | |
|
| 1.4, gegMOPO4 (ok), 14:01, 05/10/2009 [ответить] [﹢﹢﹢] [ · · · ]
| –2 +/– |
И что помешает злобному хакеру, изменившему код страницы, подменить и заголовки HTTP?
| | |
| |
| 2.6, Chris Archer (?), 14:28, 05/10/2009 [^] [^^] [^^^] [ответить]
| +/– |
 для этого уже надо знать структуру движка веб-сайта
ну и для статики это в принципе невозможно
| | |
| |
| 3.26, gegMOPO4 (ok), 21:43, 05/10/2009 [^] [^^] [^^^] [ответить]
| +/– |
Ну, структуру хакер всё равно должен представлять. А .htaccess — такая же статика.
| | |
|
| 2.18, Аноним (-), 18:39, 05/10/2009 [^] [^^] [^^^] [ответить]
| +/– | |
>И что помешает злобному хакеру, изменившему код страницы, подменить и заголовки HTTP?
Воткнуть свой код можно обойдя фильтры форума, блога, ... - любого сайта с user-generated контентом. А вот чтобы сменить заголовки сервера - надо тотально ломануть машину со всеми потрохами и поиметь права на правку конфига сервера. А это у нормальных людей - root.
Есть некоторая разница в сложности между инжектом барахла (допустим в коментах на форуме или там еще где) и поимением на машине полонценного рута, вы не находите?
| | |
| |
| 3.27, gegMOPO4 (ok), 21:51, 05/10/2009 [^] [^^] [^^^] [ответить]
| +/– | |
Достаточно пользователя — владельца сайта. Конфиги и скрипты бывают и локальными.
Но согласен — это прикроет вопиюще дырявые сайты, владельцы которых проявляют преступную доверчивость. Надеюсь, что браузер не будет это глотать молча, а отсветит огромным страшным предупреждением на треть экрана. Неотключаемым.
| | |
|
|
| 1.5, Аноним (-), 14:05, 05/10/2009 [ответить] [﹢﹢﹢] [ · · · ]
| +1 +/– | |
>средств для защиты от атак, осуществляемых через организацию межсайтового скриптинга (XSS), подстановку в страницы "IFRAME/JavaScript src" блоков или инициирование скрытого выполнения аутентифицированным пользователей действий на внешнем ресурсе (CSRF, XSS проблемы вызваны тем, что клиент доверяет серверу, а для CSRF наоборот, тем, что сервер доверяет клиенту).
Я ошибаюсь, или это + немножко ещё реализовано в noscript?
| | |
| |
| 2.8, mityok (??), 14:42, 05/10/2009 [^] [^^] [^^^] [ответить]
| –1 +/– |
 >>средств для защиты от атак, осуществляемых через организацию межсайтового скриптинга (XSS), подстановку в страницы "IFRAME/JavaScript src" блоков или инициирование скрытого выполнения аутентифицированным пользователей действий на внешнем ресурсе (CSRF, XSS проблемы вызваны тем, что клиент доверяет серверу, а для CSRF наоборот, тем, что сервер доверяет клиенту).
>
>Я ошибаюсь, или это + немножко ещё реализовано в noscript?
вы глубоко ошибаетесь
http://www.w3.org/TR/html401/interact/scripts.html#h-18.3.1
| | |
| 2.10, Aleksey (??), 15:24, 05/10/2009 [^] [^^] [^^^] [ответить]
| +2 +/– |
Топор безусловно помогает от насморка и множества других болезней.
| | |
| 2.14, zazik (ok), 16:38, 05/10/2009 [^] [^^] [^^^] [ответить]
| +/– |
>>средств для защиты от атак, осуществляемых через организацию межсайтового скриптинга (XSS), подстановку в страницы "IFRAME/JavaScript src" блоков или инициирование скрытого выполнения аутентифицированным пользователей действий на внешнем ресурсе (CSRF, XSS проблемы вызваны тем, что клиент доверяет серверу, а для CSRF наоборот, тем, что сервер доверяет клиенту).
>
>Я ошибаюсь, или это + немножко ещё реализовано в noscript?
Noscript всё-таки немного другое, хотя и близкое.
| | |
| 2.19, Аноним (-), 18:40, 05/10/2009 [^] [^^] [^^^] [ответить]
| +/– | |
>Я ошибаюсь, или это + немножко ещё реализовано в noscript?
Идея похожая, реализация другая..
| | |
| |
| |
| 4.25, Crazy Alex (??), 21:41, 05/10/2009 [^] [^^] [^^^] [ответить]
| +1 +/– |
Разница в том, что хозяин сайта точно знает, что он на этом сайте ставил, а остальное - левое. А noscript этого не знает - в результате приходится выключать все подряд и держать здоровенный список исключений. Если же этот стандарт распространится, для noscript останутся только ситуации, когда пользователь хочет получить сайт не таким, каким задумывали разработчики.
| | |
| |
| 5.28, dry (ok), 12:10, 06/10/2009 [^] [^^] [^^^] [ответить]
| +/– |
не такой уж и здоровенный. думаю в пределах 50 хостов у меня.
набирается он очень непринужденно, даже с переносом не заморачиваюсь. проще заного сформировать по ходу дела.
| | |
|
|
|
|
| 1.15, Tav (?), 17:35, 05/10/2009 [ответить] [﹢﹢﹢] [ · · · ]
| +/– |
Теперь можно будет делать корявые-дырявые сайты без последствий.
| | |
| |
| 2.31, Gambler (ok), 20:30, 07/10/2009 [^] [^^] [^^^] [ответить]
| +/– |
Боюсь, что имеено этого разработчики и добиваются. Вместо налаживания настоящей безопасности веб девелоперы будут извращать сайты, чтобы обо всем позаботилась Мозилла.
| | |
|
|
