Exploit na mail u centrum.cz a atlas.cz (diskuse)

[NbS]

klasika (a dodavam ze nejen u nich a uz delsi dobu - sice ne tenhle priklad, trosku jednodussi) ale bohuzel jak se neco podobneho rozsiri, tak to zas zakazou a kdo to ma furt hledat ...

[Eregon]

Asi by se slušelo místo "libovolného uživatele" mluvit o "nachytaném uživateli".

[Filip Hesse]

Pojem nachytaný uživatel se spíše hodí na někoho, kdo neprokoukne léčku. Jako třeba když se podepíšu jako mailadmin a požádám ho o heslo. V právě uveřejněné chybě ale do pasti spadne naprosto každý, kdo z nějakého důvodu (student ve škole, člověk na cestách) musí použít webové rozhraní.

[Eregon]

Nemyslel jsem to až tak doslova. "Nachytaný uživatel" není až tak přesný, ale ani "libovolný uživatel" nevystihuje podstatu problému (imho je to mnohem míň trefné) - takhle to na první pohled působí, jako že se lze podívat do kterékoli schránky na těch serverech bez jakékoli akce oprávněného uživatele, tedy i bez přihlášení do webmailu.

[Kyosuke]

Když se tak koukám na popis toho exploitu... Že by pětadvacet let po vynálezu HTML stále ještě neexistoval kvalitní parser? Nebo byl jen někdo línej?

[Filip Jirsák]

Což o to, kvalitní parsery existují, ale nekvalitních producentů HTML kódu je daleko víc. A vzhledem k tomu, že se po kvalitním parseru požaduje, aby zchroustal skoro cokoliv, je to jako s četníky a zloději – tvůrci parserů se snaží a dotahují, ale vynálezci zmršených HTML konstrukcí jsou stále o krok napřed A vysvětlujte někomu, že si ten e-mail nepřečte, protože odesílatel používá báječného klienta, který posílá cosi vzdáleně připomínajícího HTML a plain text neposílá vůbec.

[xvasek]

Přesně tak, chyba má původ v soupeření Netscape a Microsoftu, čí prohlížeč dokáže přečíst HTML s více chybami.

[mivrap]

To je tak, když se webové programování pokládá za trapné skriptování pro lamy.

Debílkové, kteří pak lepí PHP, píší takovéhle zhovadilosti a myslí si, že úspěšně budou parsovat HTML sadou regulárních výrazů.

Jak myslíte, že tento bug vyřeší?

a) zahodí stávající kód a použijí plnohodnotný HTML parser
b) doplní další regulární výraz :)

[mrzout]

Tak minimalne atlas tipuju jede na MS.ASP nebo .NET :)

[Kyosuke]

V souladu s teorií o žábě v pomalu ohřívané vodě si sami o něco ohřejou vodu dalším regulárním výrazem?