Иногда любовь бывает и такой… [ >>> ] Бывает-бывает, точно вам говорю!

Просто параллельный мир [ >>> ] Не пойму его никогда и понимать не хочу.

Больше всего из вот этого [ >>> ] мне нравится, что по второму запросы первая ссылка выглядит как «Ональный секс НОВОЕ!». Т.е. «ональный секс» — это не ошибка в написании, это НОВОЕ!

Цитата из украинского сайта: «Уеб сайт: www.skуnetmarketing.net е-мейл: office@skynetmarketing.net»

С досады придумал способ использования XSS-уязвимости в случае, если на сайте кавычки и апострофы экранируются слешами. Рассмотрим, например, сайт Tatcenter.

Запрос вида: httр://info.tatcenter.ru/search/?search="><script>location.href="httр://sample.com"</script>
Поможет нам закрыть теги INPUT и A, в которых выводится запрос, потому что строка приводится к виду: …search=\"><script>….

но не выполнить JavaScript не удасться, так как из-за экранирования кавычек нарушается JavaScript-код. Выход нашёлся очень быстро — я вспомнил, что в JavaScript уже давным-давно введён новый тип данные — регулярное выражение. Его ограничители — обычные слеши. Более того, регулярное выражение отлично приводится к строке самим JavaScript, единственное неудобство — слеши-ограничители остаются в строке.

Но! Никто нам не мешает, преобразовав это выражение к строке просто отрезать слеши методом substr или slice. Например , выражение

String(/string/).slice(1,-1)

даст нам строку «string». Прекрасно, но тут перед нами встаёт новая трудность. Обычно XSS-уязвимость используется для того, чтобы передать какую-либо информацию на другой сайт. Для того, чтобы её передать, нам надо получить строку вида «httр://sample.com», но мы не можем её заключить между слешами — она сама содержит слеши.

Тут нам на выручку приходит JavaScript-метод unescape. Слеш в escaped-представлении выглядит как «%2F», таким образом

unescape(String (/httр:%2F%2F/).slice(1,-1))

даст нам строку «httр://». Осталось только скомпоновать всё в одну строку и не забыть, что «%» — значимый символ в URL и его надо преобразовать в комбинацию «%25»:

httр://info.tatcenter.ru/search/?search="><script>alert(unescape(String(/a%252Faa/).slice(1,-1)))</script>

Скрытая реклама на Tatcenter.ru [ >>> ] Фу! Что значит «предпочтения абонентов сотовой связи в Казани (по данным TatCenter.ru)», которые к тому же (весьма значительно) отличаются от официальных данных?

Аськи семизначки никому не нужны? Номер абсолютно обычные и абсолютно бесплатные. Просто у одного человека скопились, желает отдать в добрые руки. Выбирайте:

8192468
8214078
8216252
9780776
9786206
9818217

Впечатлённый обсуждением на форуме [ >>> ] , перечитал рассказ Димы Смирнова «Я сегодня трахну Лену» [ >>> ] Несколько мешает, что я знаю чем всё кончится, но как и в тот раз, когда я его читал в первый раз, отлично! Просто отлично! Если сегодня вы страдаете от потребительского голода — перечитайте.

Если вы сами такие, то писать всякие пакости нужно сюда: [ >>> ]

Аквариум «Человек из Кемерова»

У меня были проблемы;
Я зашел чересчур далеко;
Нижнее днище нижнего ада
Мне казалось не так глубоко,
Я позвонил своей маме,
И мама была права -
Она сказала: «Немедля звони
Человеку из Кемерова».

Читать дальше

Он скуп на слова, как де Ниро;
С ним спорит только больной.
Его не проведешь на мякине,
Он знает ходы под землей.
Небо рухнет на землю,
Перестанет расти трава -
Он придет и молча поправит все,
Человек из Кемерова.

Адам стал беженцем,
Авель попал на мобильную связь,
Ной не достроил того, что он строил,
Нажрался и упал лицом в грязь;
История человечества
Была бы не так крива,
Если б они догадались связаться
С человеком из Кемерово.

Мне звонили из Киева,
Звонили из Катманду;
Звонили с открытия пленума —
Я сказал им, что я не приду.
Нужно будет выпить на ночь два литра воды,
Чтоб с утра была цела голова -
Ведь сегодня я собираюсь пить
С человеком из Кемерова.

Есть ещё люди, которые верят, что всё будет хорошо, если всё делать по инструкции. Читают соответствующие журналы, ходят на всякие «цигуны» и боятся экспериментировать, думать самостоятельно, искать зависимости и решения и всё просят инструкций.

Дима Смирнов сделал автоматический каталог регистров [ >>> ] . Принципы работы подробно изложены на той же странице в виде FAQ. Мой каталог так же будет существовать — там более осмысленные названия, да и всяческие соблазны отсутствуют, поскольку собирается он вручную. Надо будет, кстати, вычистить ему комментарии.

Мне не хватает на телефоне кнопки «положить трубку». Не «разорвать связь», а именно «положить трубку». Чтобы, если я нажал на неё, на другом конце абоненту сказали «ваш собеседник положил трубку». Нужна она мне для того, чтобы собеседник мог отличить две ситуации — когда связь разорвалась (или я её, хитрый, разорвал другой кнопкой) и когда я трубку положил. Или бросил. В зависимости от эмоционального фона.

У меня в жизни было несколько неприятных ситуаций, когда по каким-либо причинам связь разывалась на «самом интересном» месте и мой собеседник думал, что я таким образом даю выход своим эмоциям.

Отлично! [ >>> ]

Украинский провайдер webmasterpro предлагает всем желающих получить во владение собственный бесплатный блог [ >>> ] . Достаточно просто отправить письмо на указанный на сайте адрес. Блоги строятся на движке Register [ >>> ]

Для тех, кто не понял или не знает скажу: «it was good» — фраза из «Аниматрицы». Она проходит через два эпизода про войну людей с машинами.

Посмотрел «Animatrix». It was good.

Вот почему [ >>> ] надо платить нормальные деньги нормальным веб-студиям, а не доверять разработку сайта другу дочери тёзки директора фирмы, который вчера уже почти освоил PHP и MySQL.

Если Миранда и не подвержена уязвимостям, то проблем с безопасностью ей добавят плагины — плата за стремительное увеличение функциональности, поскольку плагины пишутся самыми разными авторами. Вот, в частности, плагин HTTP Host написан на основе кода TinyWEB, который имеет следующую уязвимость [ >>> ] :

GET-запрос к странице вида
/cgi-bin/.%00./dddd.html
заставляет использовать веб-сервер 100% ресурсов процессора.