Опитах да възпроизведа теста на http://secunia.com/multiple_browsers_window_injection_vulnerability_test/. Прегледах и http://it.slashdot.org/comments.pl?sid=132132&cid=11038875. Опита с konqueror бе успешен - завършва с три отворени прозореца, единия от които е целта на опита. С firefox докато не махнах генерално опцията "Web Features->Block Popup Windows" теста завършваше без необходимия трети прозорец (даже с разрешение на двата сайта да отварят pop-up прозорци). Някой друг?
Редактиран на: 9-12-2004@12:38

[Отговори на този коментар]

Към: Възпроизвеждане на теста за уязвимост
От: Mr.700 <mr_700__at__yahoo[ точка ]com>
На: 11-12-2004@1:34 GMT+2
Оценка: 1/Неутрален

   Има я уязвимостта във всички browser-и, на https://bugzilla.mozilla.org/show_bug.cgi?id=273699 е обяснено като хората как става...

[Отговори на този коментар]

---

Към: Възпроизвеждане на теста за уязвимост
От: freebie <proba21 __@__ abv[ точка ]bg>
На: 11-12-2004@15:03 GMT+2
Оценка: 1/Неутрален

Safari 1.2.4 + Mac OS X 10.3.6 - Защитен
   IE 5.2.3 + Mac OS X 10.3.6 - Уязвим

[Отговори на този коментар]

---

С включен Block Popup и с качен Tabbed Browsing, използвайки първият линк от сайта на secunia (този на който пише ако имате popup blocker) успях да възпроизведа успешно тази уязвимост. Firefox 1.0 под Linux.

Като гледам обясненията, това намирисва повече да е feature отколкото bug. Оттук и широкото разпространение по всички browser-и.


[Отговори на този коментар]

Mozilla 1.7.3 Linux

[Отговори на този коментар]

Към: кьорфишек
От: s01o <s __@__ s< dot >com>
На: 9-12-2004@14:41 GMT+2
Оценка: 1/Неутрален

XP SP2 - FireFox 1.0 + AdBlock plugin - ni6to neredno nestava!
Nikvi pop-ups nikvi bozi?!.... neznam za vas kvo ste gledali

[Отговори на този коментар]

---

За всеки случай це напиша процедурата:
Разбира се трябва да имате JavaScript.

Отваряте
http://secunia.com/multiple_browsers_window_injection_vulnerability_test/

Щракате с левия бутон на мишката върху "
Test Now - With Pop-up Blocker - Left Click On This Link"

Отваря се сайтът на CitiBank.

Сега на сайтът на CitiBank, щракате с левия бутон на мишката върху картинката
"CONSUMER ALERT
beware of fraudulent e-mail"

Тогава вече трябва да се отвори прозорец с предупрежденията, но вместо това се отваря прозорец на secunia.



[Отговори на този коментар]

Към: Работи и с Mozilla 1.7.3 Linux
От: petko
На: 9-12-2004@16:29 GMT+2
Оценка: 1/Неутрален

работи и с firefox 1.0, демек е vulnerable.

[Отговори на този коментар]

---

Грешката е във вашия телевизор
От: gamehack <gamehack __@__ 1nsp1r3d__dot__co__dot__uk>
На: 9-12-2004@17:54 GMT+2
Оценка: 1/Неутрален

Работи на всички броаузери, които имам у нас(Opera Lin/Win, Firefox Lin/Win, IE, Mozilla Lin/Win Latest Versions всичките) така че грешката е във вашия телевизор. Интересното е да видим кой ще оправи първи дупката.

Поздрави,
gamehack

[Отговори на този коментар]

---

Изпълненито става ведъж
От: _hacker~#
На: 9-12-2004@18:42 GMT+2
Оценка: 1/Неутрален

Интресното е, че кода се изпълнява само веднъж.
При "Test Now - With Pop-up Blocker - Left Click On This Link" отваря прозореца на Сити Банк."CONSUMER ALERT
beware of fraudulent e-mail" при натискане, работи уяисвимоста.Но при повторно натиска не работи, защото Firefox 1.0 блокира pop-up_ите на Secunia.

[Отговори на този коментар]

---

mozilla 1.7.1 windows 2003 - не работи.
IE6 windows 2003 - проработи.
След малко влизам в линукса да пробвам там :)

[Отговори на този коментар]

Към: Към: Към: Работи и с Mozilla 1.7.3 Li
От: shweppes
На: 10-12-2004@18:49 GMT+2
Оценка: 1/Неутрален

a zashto vyobshte si izlizal ot linuxa ;)

[Отговори на този коментар]

---

Ами мисля, че всичко това е поредната глупост която Secunia могат да измислят. Най малкото Mozilla си има перфектен popup blocker. Преди време пак бяха излязли с гръмкото си изказване, че имало пак бъг във ВСИЧКИ браузъри с изпълнението на HTML code който почти всеки 3-ти сайт използва от години и се изложиха по абсолютно просташки начин. Така е и сега. Не вярвайте много много на Secunia.

[Отговори на този коментар]

Сложих:
user_pref("capability.policy.default.Window.open","noAccess");
user_pref("capability.policy.default.Window.name","noAccess");
В user.js и това е.
(Става дума за firefox, за mozilla също би трябвало да става.)
(user.js се намира в ~/.mozilla/firefox/<профил>/)

[Отговори на този коментар]

Сложих:
user_pref("capability.policy.default.Window.open","noAccess");
user_pref("capability.policy.default.Window.name","noAccess");
В user.js. (user.js се намира в ~/.mozilla/firefix/<профил>/)
Би трябвало да работи и с mozilla.
И не е глупост, според мен наистина има проблем.

[Отговори на този коментар]

Кой от вас ползва online банкиране? А колко от тези, които ползват online банкиране биха отворили страницата на банката си от друга, някаква-си-там страница. Подобни експерименти с javascript са интересни, но не мисля, че това е реално приложим сценарий. Да - работи, но когато и само когато отворя citybank.com от линка който са дали. IE6 на Win2000 с всички critical update-и. Не мисля че е повод да почна да се притеснявам каква голяма дупка в сигурността имам - който иска да се пробва да ме мами...

[Отговори на този коментар]

Към: Абе то всичко хубаво, НО...
От: weq
На: 10-12-2004@11:20 GMT+2
Оценка: 1/Неутрален

:) За теб и за мен това може и да не е проблем, но за хора с повече пари и по-малко мозък е. В моя spambox всеки ден идват писма от "банки", така че според мен ако проблема не се оправи набързо, ще има пострадали.

Да не говорим че не става дума само за онлайн банкиране. Влиза например на моя страница човек, там аз имам линк към форум, той отива там и за да прочете нещо трябва да се регистрира, въвежда username и парола и аз ги имам, след това вероятноста че ползва същата парола някъде другаде е добра. Това никак не е малко. Или мога да дам линк към нещо друго, където регистрацията е лесна и бърза, но пак трябва username и парола.
Много може да се измисли.

[Отговори на този коментар]

---

Към: Към: Абе то всичко хубаво, НО...
От: weq
На: 10-12-2004@11:44 GMT+2
Оценка: 1/Неутрален

Само забравих че за това трябва да дам линк към страница където има линк който се отваря в нов прозорец и след това мога да сменя содержанието му с моята форма от която даните се пращат на мене. Дори така е по-опасно защото аз давам формата.

[Отговори на този коментар]

---

Мога да ви кажа, че с FireFox 1.0 тази дукпа НЕ работи. При мен си отвори сайта на банката !!!

[Отговори на този коментар]

Към: Към: Работи и с Mozilla 1.7.3 Linux
От: weq
На: 10-12-2004@20:04 GMT+2
Оценка: 1/Неутрален

Сигурно не си разбрал правилно. След като натиснеш на линка се отваря сайта на банка и в това е идеята, че ти знаеш че това е сайт на банката и му имаш доверие. Но след това натисни бутончето което казва "Consumer Alert", ще изкочи прозорец. Ако в него виждаш help на банката, значи не работи, иначе ще ти излезе текст от secunia.

[Отговори на този коментар]

---

Към: Към: Работи и с Mozilla 1.7.3 Linux
От: Stoyan Terziyski <roma_pc< at >bitex __точка__ bg>
На: 12-12-2004@23:37 GMT+2
Оценка: 1/Неутрален

И при мен не се получи с firefox 1.0 под win32. С opera и IE стана...

[Отговори на този коментар]

---