answers.microsoft.com beveiliging gat?

[DJMaze]

Hoi Allen,

zat ik daarstraks te reply-en op een topic over de nieuwe outlook.com miste ik in de editor een optie om afbeeldingen te plaatsen.

Dus ik vrolijk in de browser:
1. inspect element
2. edit html
3. <img src="....">
4. save

En voila! (kijk onderaan, ff scrollen dus)
http://answers.microsoft.com/en-us/windowslive/forum/hotmail-wlsettings/i-want-my-original-hotmail-back-the-new-update-to/b298a7ea-80e0-4873-a4f1-92fde803a6f3?page=2

De vraag is nu: Heeft iemand al uitgeprobeerd of je echt alle html tags incl. <script> kan plaatsen?

Was zelf namelijk te lui om via een anon-proxy een nieuw account aan te maken en te testen zodat ik niet gebanned/getraced wordt.

[Alex)]

De forumsoftware die o.a. Microsoft Answers en de MSDN- en Technet-fora aanstuurt laat inderdaad HTML toe, maar "unsafe" tags worden verwijderd.

[DJMaze]

De <img> tag is ook unsafe, waarom wordt die dan wel toegestaan?

[Alex)]

<img> is niet unsafe omdat die alleen een plaatje laat zien, geen scripts, iframes, Java of Flash-achtige dingen.

[DJMaze]

Onzin! Ooit gehoord van een cross site request forgery attack?
<img src="http://example.com/paypal/withdraw_money.php">

En ja, het kan nog veel erger.
<img src="http://example.com/paypal/withdraw_money.png">
.htaccess:
if remote_addr = microsoft toon afbeelding
else redirect to witdraw money

Alles wat niet van jouw server komt dat gewone gebruikers kunnen posten is een potentieel gevaar.

[ Voor 14% gewijzigd door DJMaze op 06-04-2013 01:06 ]

[Alex)]

CSRF is inderdaad een risico, maar dat moet vermeden worden op de oorspronkelijke website (in jouw geval zou dat een programmeerfout op example.com zijn). Het tonen van een plaatje is geen direct risico voor de computer van de eindgebruiker, en om die reden dus 'safe'.

Ik kan hier op Tweakers ook gewoon een plaatje van een andere site laden:

[ Voor 4% gewijzigd door Alex) op 06-04-2013 01:08 ]

[CyBeR]

DJMaze schreef op zaterdag 06 april 2013 @ 01:05:
Onzin! Ooit gehoord van een cross site request forgery attack?
<img src="http://example.com/paypal/withdraw_money.php">

Dat is een beveiligingslek aan de kant van example.com. Een IMG request komt als GET en voor dat soort shit is niet voor jan lul POST uitgevonden.


Also, 'beveiligingsgat'. Wat er nu staat is iets héél anders.