Появилась информация о том, что сайт Apple просто кишит уязвимостями XSS. Эта уязвимость не так опасна, как SQL Injection, но может позволить утянуть аккаунты, особенно, если данные в куки не привязаны к определенному IP адресу и перемещаемы между компьютерами. При должном воображении, XSS может принести беду клиентам Apple. А ведь если уведут мой аккант, то могут воспользоваться и кредитной карточкой, которая может быть привязана к нему. Может быть, но у меня нет. Я удаляю свои данные о кредитках везде после использования. Благо Apple позволяет это делать.
Недавно обновлял сайт своего клиента и подарил ему XSS. Просто разработка шла на скорости 6 часов в неделю по 10 часов в день и на автоматие сунул в HTML содержимое стркои запроса без экранирования. Но у нас все тестируется по 10 раз, в том числе и безопасность, поэтому на следующий день пришел клейм, что у нас на сайте 4 XSS уязвимости, одна из которых, была моя. Тут же исправили и забыли.
Проблема в том, что действительно забыли. Сам за собой замечаю, что при написании кода уделяю много внимание безопасности в логике приложений и совершенно не уделяю внимания SQL Injection и XSS. Почему не уделяю внимание на SQL Injection? А я всегда использую параметризированные запросы, поэтому и не думаю об этой проблеме. А вот XSS упускаю иногда напрасно. Видимо так же работают и в Apple. Только им не повезло, их не тестируют.
Удивительно, что такая компания как Apple, не имеет или имеет такой фуфлыжный штат тестеров, которые пропустили армию уязвимостей в коде.
Понравилось? Кликни Лайк, чтобы я знал, какой контент более интересен читателям. Заметку пока еще никто не лайкал и ты можешь быть первым
Михаил, появилась информация что вы темноволосая белокожая женщина 45 лет, родились в России а вместо канады уехали в казахстан) Написаному верить больше надо)
Ну я верю глазам своим. Добавил скриншот уязвимости.
Хотите найти еще что-то интересное почитать? Можно попробовать отфильтровать заметки на блоге по категориям.
Программист, автор нескольких книг серии глазами хакера и просто блогер. Интересуюсь безопасностью, хотя хакером себя не считаю
Copyright © 2024 Михаил Флёнов. Тираж 1 штука. Отпечатано на ноутбуке. А за права отвечаю, или постараюсь.
А здесь еще и копирайт поставлю: Professional Web Development.
