JS et les liens HTTP - Page 1

Bon alors c'est pas très clair.

En gros, j'voudrais me faire un petit raccourci qui envoie directement sur tinyurl.com, qui remplisse le champ, et qui valide le formulaire.

J'ai commencé à bidouiller ça :

javascript:i=prompt('Lien','');
this.location="http://tinyurl.com";
document.getElementByName("url").value=i;

Le this.location fonctionne nickel, par contre, l'insertion du lien est foireuse, ça ne rentre pas dans le champ.
Est-ce que document.getElementByName("url").value fonctionne ? Comment vraiment accéder au champ ?

De plus, comment simuler le clique sur l'input [submit] ?

Voilà voilà, merci et bonne journée :')

OMG je suis trop con, ils donnent ce genre de script.
Mais ma question reste : peut-on accéder à un élément de la page web quand le script JS est exécuté dans la barre d'adresse ?

Ben tu n'as qu'à tester : mets un truc du genre javascript:[un petit code qui extrait la valeur de ton champ et te l'affiche] dans la barre d'adresse. Du moment qu'on arrive à reprendre les cookies de cette manière, moi je pense que c'est possible.

ça reste à vérifier (je ne suis pas sûr de moi), mais à mon avis la réponse est oui à condition que tu sois déjà sur le domaine tinyurl.com au moment où tu exécutes le JS. présenté autrement, ça veut dire que tu dois obligatoirement procéder en deux temps : te rendre sur tinyurl.com, puis exécuter ton script.

Pour des raisons de sécurité je ne pense pas que firefox te laisse accéder à des éléments d'une page depuis un JS "extérieur". Il y a peut-être une exception si le JS est un scriptlet, c'est ça qui me fait douter.

Zephyr (./4) :
ça reste à vérifier (je ne suis pas sûr de moi), mais à mon avis la réponse est oui à condition que tu sois déjà sur le domaine tinyurl.com au moment où tu exécutes le JS. présenté autrement, ça veut dire que tu dois obligatoirement procéder en deux temps : te rendre sur tinyurl.com, puis exécuter ton script.

Mais je me demande, est-ce que tu es obligé d'accéder à la page tinyurl.com pour créer le lien ?
Tu ne pourrais pas juste faire une requête POST avec url=<truc>&alias=<truc> ? Ou dit autrement, est-ce que tinyurl.com vérifie le referrer avant d'accepter une requête ?
Si ce n'est pas le cas, alors il doit y avoir moyen de faire un petit truc avec un XMLHttpRequest synchrone (ou même asynchrone)

en fait tinyurl accepte directement des appels avec le paramètre url en GET, donc c'est encore plus simple que ça ^^ (et c'est ce qu'ils proposent comme script et dont FireHunter parle dans la première phrase du post ./2)

Script donné :
javascript:void(location.href='http://tinyurl.com/create.php?url='+encodeURIComponent(location.href))
Simple et efficace, il fallait y penser ^^

Zephyr (./4) :
Pour des raisons de sécurité je ne pense pas que firefox te laisse accéder à des éléments d'une page depuis un JS "extérieur". Il y a peut-être une exception si le JS est un scriptlet, c'est ça qui me fait douter.

Pourrais-t-on créer un bout de Javascript qui fasse poster "Je me suis fait avoir" dans un topic de yN avec le compte actuellement logué ? Éventuellement en le planquant derrière une URL de TinyURL ? Toute la question est là

C'est du cross-site scripting, normalement il y a des protections contre ça.

Zerosquare (./8) :
Éventuellement en le planquant derrière une URL de TinyURL ? Toute la question est là

Nop, puisque pour pouvoir poster sur yN il faut envoyer des informations en POST (jusque-là c'est logique ^^). Et tu ne peux pas forcer le navigateur à envoyer une requête POST d'un domaine vers un autre (avec Firefox ça ne fait simplement rien, avec d'autres navigateurs ça affiche peut-être une grosse alerte en rouge, mais en tout cas c'est bloqué d'une façon ou d'une autre), donc TinyURL ne suffira pas.

La seule façon de faire, à ma connaissance, c'est une page contenant un faux formulaire de post et un javascript qui soumet le formulaire, mais c'est un peu grillé (et il existe des protections pour éviter ça, google nonce pour plus d'infos et cf. mirari pour un exemple).

Les formulaires où le bouton POST fait du XSS, ça marche très bien en général, la page webchat de TIGCC fait exactement ça par exemple (le formulaire est sur tigcc.ticalc.org, mais il est envoyé au CGI::IRC de FreeQuest et je mets notamment une entrée qui force le charset à UTF-8). Il n'y a pas besoin de JS pour ça, d'ailleurs.

Oui sauf que s'il faut valider à la main le formulaire en cliquant sur un bouton, c'est plus vraiment une redirection "discrète"

("pourriez-vous s'il vous plait appuyer sur ce bouton pour déclencher l'envoi d'un post bidon avec votre compte yN ?")

C'est pour ça que les navigateurs permettent ça.

Cela dit, on pourrait faire un faux formulaire pour n'importe quoi et l'"envoi" poste sur yN.

Y'a le (ou les) fameux site qui fait remplir un QCM très indiscret pour soi-disant calculer un score à un test, mais qui en fait envoie les réponses à une personne choisie à l'avance.

On pourrait faire pareil : on crée un concept de site ("partagez anonymement votre plus grand secret"), et en fait ça poste sur yN

et faire un formulaire pas discret, puis un js qui exécute zeform.submit() ?

./10 #write-only#

désolé.

Zephyr (./10) :
La seule façon de faire, à ma connaissance, c'est une page contenant un faux formulaire de post et un javascript qui soumet le formulaire, mais c'est un peu grillé (et il existe des protections pour éviter ça, google nonce pour plus d'infos et cf. mirari pour un exemple).

Si j'ai bien compris, c'est aussi ce qu'utilises yAronet, non ?
Dans ce cas, il ne suffit pas que la page MonSuperSecret.com télécharge la page de yAronet pour récupérer le nonce et changer son formulaire d'envoi en conséquence ? (un peu comme ce que je fais pour poster ce que j'écoute en ce moment )

Je ne sais pas si yAronet utilise cette méthode, mais comment veux-tu que "monsupersecret.com" obtienne ton nonce (il est propre à chaque compte) sans avoir ton mot de passe ou ton cookie ?

Ah oui, en effet

Zerosquare (./8) :

Zephyr (./4) :
Pour des raisons de sécurité je ne pense pas que firefox te laisse accéder à des éléments d'une page depuis un JS "extérieur". Il y a peut-être une exception si le JS est un scriptlet, c'est ça qui me fait douter.

Pourrais-t-on créer un bout de Javascript qui fasse poster "Je me suis fait avoir" dans un topic de yN avec le compte actuellement logué ? Éventuellement en le planquant derrière une URL de TinyURL ? Toute la question est là

il y a quelques annees (pas mal maintenant) j'avais fait exactement ca, et le titre etait sensiblement le meme :P ca exploitait une faille d'IE.
Ca postait dans le forum flood alors les traces ont probablement disparu maintenant.