войти зарегистрироваться

Я безумный whois

индекс
0,00

Курс доллара на Украине

UPD: Кто-то решил воспользоваться ситуацией и поставил туда баннер вместо смешного счетчика, изменил ссылку на Упячку.

image

Картинка кликабельна, а разработчики официального сайта национального банка Украины — халтурщики.

Для начинающих веб-разработчиков: данные, вводящиеся в строку поиска, вставляются в выходной HTML как есть, что позволяет вставить в этот HTML любой свой код.
+81
31 октября 2008, 22:27
DileSoft

комментарии (125)

  • раскрыть комментарий
    • Это эффект лемминга:) Покупать $$$, когда все покупают.
  • НЛО прилетело и опубликовало эту надпись здесь.
    • Вот это гон! ))) наверное яйцо) но в нынешний обстановке очень удачное ))
  • Может дефейс?
  • www.bank.gov.ua/cgi-bin/mssCgi.exe?q=%22%3E%3CP%3E%3Cimg%20src=%22http://img.dirty.ru/lepro/president.gif%22%3E%3C/P%3E%3Ch1%3E%C5%C1%C8%D7%C5%D1%CA%C8%C9%20%CF%D0%CE%C2%C0%CB%3C/h1%3E%3Ca%20a=%22&site=ukr
    • Тьфу, то есть так:

      Тыц
      • действительно.
      • А у меня noscript отфильтровал как xss
  • Хех забавно
  • К великому сожалению это не редкость :(
  • ебический провал
  • Что только на хабре не увидишь наночь глядя :)
    А разрабы сайта банка украины, не обидятся?
    • Их и без нас теперь обидят, чувствуется :)
  • Банк России не сильно отстает (кликните по полю ввода текста):

    Вот
    • А это уже серьезно :)
      • Не, это менее серьезно, потому что в ЦБР все-таки фильтруют угловые скобки, но пропускают кавычки (так что максимум что я могу — изменить свойства или события самого поля ввода). А вот на украине пропускают вообще всё.
        • Выполнение Javascript на машине клиента — это имхо тоже не сахар :) А скобки можно и кодами набрать.
          • Кодами — какими? html entities будут показаны как текст.
            • Ну что нибудь типа String.fromCharCode(79,80)
            • А, хотя понял. Можно сделать document.write
              • Но, опять же, только по событию.
    • а можно и не кликать

      кстати там похоже еще sql injection:

      Ошибка запроса < ! -- Error-2147215760
Expecting end of string.

 -->
< ! -- SQL: ...
      • Ой, а как это работает? Не понимаю.
        • там SearchString подставляется не только в тэг input но и в javascript
      • А вот это — Пздц.
    • Ошибка запроса — пишет)
  • кульно)
  • смейтесь смейтесь… а это ведь чистая правда :(
  • пассивный XSS, — ничего особенного!
  • Привет от упячки :)
  • В Банке Москвы дыра была два дня назад. Сейчас сунулся — закрыли уже.
  • а у меня NoScript XSS-ик молча отсек, и я даже подумал «надо же, как оперативно залатались», но потом заметил что NoScript шалит, отключил его и понял — никто пока ничего не залатал…
  • Скрипт забавно называется — mssCgi.exe.
    Вспоминаются .dll на icq.com -).
    • mssCgi вызывает ассоциации с META Site Search. Собственно, вроде бы он и есть ;)
  • кстати затормозил сегодня он…
  • а можете объяснить в чем прикол для людей, далеких от Веб-программирования?
    • Под хабракатом.
    • Прикол в следующем. Есть запрос. Например, такой:

      google.com/?q=текст

      У гугла и у любого друго нормального сайта из «текст» фильтруется все неблагонадежное. Например, HTML-теги и скрипты.

      У плохих разработчиков, которые делают говно за большие откаты, это не фильтруется.

      Соответственно, вместо «текст» можно подставить тег «img src=«http://poshel.na.hooey.ru/pnh.jpg», или скрипт, или что угодно, и это будет выведено на страницу. В частности, так можно украсть пароли разными способами, пользуясь благонадежным именем сайта.
      • А можно поподробнее, можно ли залить свой php скрипт на сервер или узнать пароль от ftp?
        • врядли ) разве что Кевин Митник или ещё кто )

          Но скорее всего нет ) а вообще, за это могут посадить!
        • В зависимости от типа уязвимости. При некоторых можно и на фтп. А в теории можно пройдя по цепочке уязвимостей — украсть домашнее порно с домашнего компьютера генерального директора. :)
  • хехе…

    _http://www.bank.gov.ua/cgi-bin/mssCgi.exe?q=
    Поиск по сайту — siteMETA
    • GMM
    • GMM
    • 1 ноября 2008, 01:11
    • #
      • +11
    Та же ссылка
    по мотивам счетчика ВКонтакте
  • Браво!
    " Относись к важным вещам легко, а к мелочам серьезно" ©
  • Так может это шутки под хэллоуин :)
  • закрыли чтоле?
  • красиво. нада сабрать коллекцию говнодырок рунета
    • Stu
    • Stu
    • 1 ноября 2008, 02:58
    • #
      • 0
    мда.высокоинтеллектуально
  • Раз пошла такая пьянка:
  • Ну что, порадовали! Лжесуббота проходит не зря!
  • раскрыть комментарий
    • www.gramota.ru/spravka/buro/hot10/
      • раскрыть комментарий
        • Для русского языка — да.
          • Ну ладно, раз Розенталь говно, то будем учит детей по этому сайту.
            Кстати первое впечатление от этого сайта — Срамота.ру.
            Букву «Г» нормально нарисовать почему-то не смогли.
            • Сочетание на Украину/Украйне возникло под влиянием украинского языка (ср.: на Полтавщину/Полтавщине, на Черниговщину/ Черниговщине) и поддерживается выражением на окраине.

              www.evartist.narod.ru/text1/66.htm
            • И я уж не говорю о том, что норма русского языка — вещь, меняющаяся со временем.

              Во времена Розенталя, возможно, люди говорили «в Украине».

              А теперь — «на Украине».

              А значит, теперь — это норма.
              • Это безграмотность и неуважение к собеседнику.
                Давайте тогда нормой признаем и мат. Слово «хуй» произносят гораздо больше людей чем говорят «на Украине».
                • Во-первых, для мата тоже есть норма. Можно говорить «блядь», а вот «блюдь» — неграмотно.

                  Во-вторых, матом в публичных выступлениях, например, не говорят. Поэтому нормы материться везде и всюду — нет.

                  В-третьих, раньше слово «черт» было неприличным. Теперь — прилично.
                  • раскрыть комментарий
                    • Короче.

                      Современная норма русского языка — «на Украине».

                      Это реальность.
                      • раскрыть комментарий
                        • Полагаю Тарас Шевченко уважал свою страну. Однако это не мешало ему писать:

                          Як умру, то поховайте
                          Мене на могилі
                          Серед степу широкого
                          На Вкраїні милій.

                          Не мешайте в одну кучу бредни правительства и уважение к стране!
                          • Епта, а причем здесь правительство???
                            • > В 1993 году по требованию Правительства
                              > Украины нормативным следовало признать
                              > варианты в Украину (в Украине) и
                              > соответственно из Украины. Тем самым, по
                              > мнению украинского Правительства,
                              > разрывалась не устраивающая его
                              > этимологическая связь конструкций
                              > на Украину и на окраину.
                              • Это было 15 (пятнадцать) лет назад.
                                А вы действительно считаете это бреднями?

                                Бредни это ваши нормы. Детей в школах этому не учат, но все считают что русский язык именно такой.
                                Зачем тогда школы, зачем на России учителя языка если язык формируется динамически?
                                • Ну знаешь.

                                  То что такая норма есть — бредни.

                                  То что живые люди так говорят — бредни.

                                  И вообще, реальность — это иллюзия!

                                  АААААААААААААААААААААААААА!!!!!!!!!!!!!!!!!!11111111111
                                  • А еще говорят Linux лучше Windows.
                                    > То что живые люди так говорят — бредни.
                                    Вот если бы мертвые так заговорили…
                                  • Я в принципе задал вопрос — зачем в школе предмет «Русский язык» если говорить и так все к этому времени умеют, а на его правила принципиально забивают с отговоркой мол «так все говорят, это норма».
                                    • Еще раз, норма, официальная, научная — «на Украину».

                                      Это — закон русского языка.

                                      Официально принятый на данный момент.
                                      • Пруфлинк?
                                        Закон? Дайте номер статьи. Или укажите в каком учебнике такое написано.
                                        Иначе — разговоры в пользу бедных.
                                        • Я вам давал ссылку на Грамоту.

                                          Повторяю:

                                          • Ваша «Грамота» это аж ни разу не «официальная, научная».
                                            • Справочно-информационный портал «Русский язык» создан в июне 2000 г. по рекомендации Комиссии «Русский язык в СМИ» Совета по русскому языку при Правительстве Российской Федерации и функционирует при финансовой поддержке Федерального агентства по печати и массовым коммуникациям.

                                              www.gramota.ru/gramota/about/

                                              Читайте.
                                              • Do not feed :)
                                                • Вы хотите сказать что я тролль?
                                                  Нет, меня как гражданина Украины и живущего В Украине просто это задело.
                                                  • Если вас задевает, с каким предлогом пишется название страны, то с этим, извините, к психотерапевту надо.

                                                    Это как в Америке, где негра негром нельзя называть.

                                                    Не скатывайтесь до ихнего маразма.
                                                  • Коммент к комменту kurokikaze выше.
                                                  • раскрыть комментарий
                                                    • Скажи это украинцу в лицо, смельчак. А лучше, настоящей украинской женщине ;)
                                                      • женщины на окраине сильные — это факт :)
                                                    • Вроде как ИТ специалисты тут тусуются. А оказывается тут есть такой вот шлак. Если комьюнити допускает подобного рода заявления, то комьюнити с админстрацией — это тоже шлак. Давно я тут небыл… раньше такого словоблудия здесь небыло.
                                        • Литературная норма современного русского языка: на Украине, с Украины.

                                          В 1993 году по требованию Правительства Украины нормативным следовало признать варианты в Украину (в Украине) и соответственно из Украины. Тем самым, по мнению украинского Правительства, разрывалась не устраивающая его этимологическая связь конструкций на Украину и на окраину. Украина с предлогом в получала, по мнению Правительства Украины, лингвистическое подтверждение своего статуса суверенного государства, поскольку названия государств оформляются в русской традиции с помощью предлогов в (во) и из.

                                          Однако литературная норма русского языка, согласно которой следует говорить и писать на Украине, – результат исторического развития языка на протяжении нескольких столетий. Сочетаемость предлогов в и на с определенными словами объясняется исключительно традицией. Ср.: в школе, в институте, в аптеке, в отделе, но: на заводе, на почте, на курорте, на складе и т. д. Литературная норма не может измениться в одночасье из-за каких-либо политических процессов.
                                        • Кстатит, мы еще говорим «на Кубу».

                                          Так что вы не одни. :)
                                        • www.gramma.ru/RUS/?id=13.8

                                          С завода, но из дома. Почему мы говорим с завода, с вокзала, но из дома, из клуба; с Кавказа, с Украины, но из Крыма, из Сибири; из армии, но с флота

                                          Из советского учебника.
                      • Последние выпуски Розенталя говорят об обратном.
                        • Розенталь умер в 1994-м году.

                          Какие «Последние выпуски»?

                          Приведите ссылку.
                          • Имени Розенталя, будем придираться. :-)

                            «С административно-географическими наименованиями употребляется предлог в, например: в городе, в районе, в области, в республике, в Сибири, в Белоруссии, в Закавказье, в Украине.»

                            (Д. Э. Розенталь, «Справочник по правописанию и литературной правке» / под ред. И.Б. Голуб. — 8-е изд., испр. и доп. — М.: Айрис-пресс, 2003. — С. 291. — (глава «Управление»)).

                            Кстати, если даже в русских источниках, похоже, есть разногласия, это говорит лишь о том, что оба варианта равноправны. Вариант, что оба неверны не рассматривается, ввиду отсутствия третьей альтернативы :-)
                            • Окей.

                              А когда Розенталь данную книгу написал?

                              Что «есть разные источники», не спорю.
                      • капитан толерантность: пожалуй, лучше говорить «В стране с названием 'Украина'»
    • Полностью поддерживаю, пора учиться уважать и другие государства, в дополнение статья о правилах употребления предлогов «в» и «на» в отношении слова Украина gn.org.ua/in_ua
    • «в Украине», «на Украине» имхо так не важно. А вот «с Украины», «с Москвы» итд действительно слух режет. На первое так вообще хочется сказать — Сам такой! =)
  • классика
  • Оставайтесь на месте. За вами уже выехали.
  • Все, пофиксили багу, www.bank.gov.ua/cgi-bin/mssCgi.exe?q=%22%2F%3E%3Cscript%3Ewindow.onload+%3D+function%28%29%7Balert%28%22%D3%E2%E0%E3%E0%2C+%C7%E0+%E2%E0%EC%E8+%E2%E6%E5+%EF%EE%BF%F5%E0%EB%E8%22%29%3B%7D%3C%2Fscript%3E%3Ch1%3E%CA%F3%F0%F1+USD+%ED%E0+%E7%E0%E2%F2%F0%E0+%2801.11.2008%29%3C%2Fh1%3E%3Cimg+src%3D%27http%3A%2F%2Fwww.fin.org.ua%2Fuploads%2F1225456740rate_usd.gif%27%3E%3Cinput+%22&site=ukr
    • Я аж перепугался, чесно :)
      Хорошо что alert только что увидел.

    • Палитесь алертом в ссылке :)
  • Никогда еще не видел чтобы календарь оформляли таким образом www.bank.gov.ua/Fin_ryn/of_kurs.htm
  • А сайт то лежит :)
    • Все еще интереснее: сайт работает, а конкретно этот скрипт — лежит.
    • нет, вру, просто долго открывается — наверно не выдержал посещаемости.
    • Впрочем нет, работает.

      Видимо, про уязвимость узнали какие-то реально плохие люди и решили заодно проверить сайт на DDOS.
  • Это еще что, когда-то такая же шняга была на сайте интерпола в разделе «wanted», можно было подставлять произвольные фотки и текст. Всем было весело.
    • она до сих пор работает, только немного сложнее. ;)
      лень раскапывать, но смысл такой — раньше в query string передавались тупо текст и урл картинки. теперь, во-первых, все шифруется статической таблицей, которую несложно рассчитать, во-вторых, то, что передается как адрес картинки, после дешифровки подставляется к «interpol.int», так что нужен хостинг, где мы можем в днсах прописать * CNAME mydomain.tld., и юзать адрес вида interpol.int.mydomain.tld/image.jpg =)
      • парсер лох — слэша после interpol.int как раз нет, в этом и фишка =)
  • XSS еще не самое страшное. Как вам www.gorod312.ru/include/config.inc например?
    Три раза посылал им письма, но видимо никому нет дела…

    PS: Если у кого то зачешутся руки этой информацией воспользоваться — крайне не рекомендую, ибо УК РФ да и просто хорошая группа )
    • mysql открыт для соединений ;)
      • … осталось обнаружить, что в базе данных хранятся куски PHP.
    • Жесть! :-)
  • раскрыть комментарий
  • Чёрт, в аддурелку на Яндексе не сабмитится по таймауту :(( А так бы +1000 в ТИЦ неплохо было бы)))
  • Кто-то решил воспользоваться ситуацией и поставил туда баннер вместо смешного счетчика.
  • А вы в курсе, что написание «на Украине» является оскорбительным для многих украинцев?
  • www.blogus.ru/searchResults.aspx?kw=
Только авторизованные пользователи могут оставлять комментарии. Авторизуйтесь, пожалуйста.