informatique et high-tech (les meilleures news) %) - Page 308

Fonctionne très bien ici... ça doit être ta Livebox qui est dans les choux, pour changer

Youtube fonctionne très bien, seulement les vidéos les plus populaires continennent une faille dans les commentaires et certains s'en servent pour diffuser du porno, ou voler des cookies...

Ah oui, j'ai vu ça aussi tout à l'heure... enfin sur la page que j'ai vue il y avait en apparence juste un texte défilant, mais effectivement c'était dans un commentaire.

Plus de détails : 1, 2.

Et apparemment on peut "remercier" ce type pour ça.

C'est quand même fou qu'il y ait encore des gens qui ne sachent pas comment éviter les injections HTML, surtout sur des sites de cette envergure... C'est pas compliqué en plus.

Moi c'est tout mon internet qui est cassé (free )

4chan \o/

Zerosquare: pour un site aussi énorme c'est probablement assez dur de penser à tous les points d'injection, si on l'a pas spécifiquement dès le début

J'ai essayé un 'clr.l a7' dans une boite de dialogue du tios, ça fait rien, c'est bien protégé


->[]

clr n'est pas une opération valide sur un registre d'adresses.

Ah c'est pour ça, merci bien ! (putain la honte quand même )

squalyl (./9216) :
Zerosquare: pour un site aussi énorme c'est probablement assez dur de penser à tous les points d'injection, si on l'a pas spécifiquement dès le début

Oui enfin bon...

- les points d'injection, c'est toutes les saisies utilisateur (et les commentaires, c'est quand même légèrement un truc majeur sur un site "2.0" )

- à moins que je dise des conneries (les spécialistes du dév Web pourront rectifier si besoin), un simple remplacement de '<', '>', '&', et ';' par leurs équivalents textuels HTML suffit à protéger contre l'injection de toutes les balises

C'est ce qui arrive quand on prend un mec (stagiaire ?) qui n'y connait rien en dev. web ni en sécurité pour réaliser une fonctionnalité à 2 balles.
J'imagine que comme partout, il suffit que ça ait l'air de marcher pour que ce soit valide. ^^

Mwarf, d'après ce que j'ai vu sur un autre forum, leur première réaction a été de... supprimer la chaîne de caractère "script" du texte des commentaires.

Résultats :
- les mots comme "description" sont sabotés
- comme ils ne l'ont pas fait de manière récursive, c'était contournable en utilisant "scrscriptipt" par exemple

Fortiche les mecs

Ah oué, donc c'était pas le stagiaire le problème

Ben ça peut très bien être une connerie d'un stagiaire corrigée par un patch foireux d'un autre stagiaire... C'est jetable et remplaçable, les stagiaires

D'un autre côté, j'ose espérer qu'ils ont évité de coller un stagiaire sur une faille de sécurité majeur quand même

Bah, ça ne permet que de faire du XSS. Y'a aucun risque pour Youtube (à part perdre des $$), juste pour ses utilisateurs.

Zerosquare : ah ué quand même

(strop simple de virer les caractères <> et etc quand on s'appelle google, on fait un beau programme non testé, parce qu'ils sont tellement bons qu'ils en ont pas besoin)

(ça se confirme, c'est beaucoup plus #google# de virer (mal) le mot "script" que les symboles spéciaux )

Le pire, c'est que les balises HTML "safe" (genre <b>) dans les commentaires ne sont même pas permises, non ?
En tout cas je ne me souviens pas d'avoir vu des commentaires avec autre chose que du texte brut.

Donc ce n'est même pas une tentative foireuse de blacklisting des balises (ce qui est déjà une mauvaise idée en soi), c'est juste complètement stupide...

Bah entre une solution simple et une compliquée qui va être difficile à implémenter proprement (plus particulièrement pour le mec qui aura choisi cette solution compliquée par rapport à la simple), autant choisir la compliquée…

De pauvres lycéens auront peut-être leurs résultats de bac avec du retard à cause des méchants informaticiens de l'Éducation Nationale

(ça aurait davantage sa place dans les meilleures news, mais vu l'ambiance de champ de bataille qui règne là-bas en ce moment...)

Mais puisqu'on te dit que quand y'a une grève, plus personne ne s'en aperçoit

http://www.futura-sciences.com/fr/news/t/technologie-1/d/microsoft-invente-le-support-de-piles-sans-polarite_24354/#xtor=RSS-8

kevin, que penses tu de ce brevet?

#squalyl#

Normal

mais j'appelle spécialement Kewin là.

squalyl (./9233) :
kevin, que penses tu de ce brevet?

Alors déjà je suis contre les brevets de toute forme.

Quant à l'invention elle-même, bah, elle correspond parfaitement au niveau intellectuel des utilisateurs visés par l'entreprise qui engage les inventeurs.

mais personne n'a a payer pour l'implémenter. Et puis c'est une garantie de liberté: Si je veux, demain, je fais ces supports de pile, puisque je n'ai pas à payer de licence.

squalyl (./9237) :
mais personne n'a a payer pour l'implémenter.

La preuve que c'est une invention totalement inutile qu'ils n'arriveraient pas à vendre.

(Ils ne sont pas du genre à faire des cadeaux ni à soutenir le libre.)

Kevin, pourquoi tu es contre la protection intellectuelle, quand de l'autre côté, tu fais(ais ?) tout ton possible pour protéger tes propres créations sur TI-68K ?

escape velocity reached

launch successfull