Атака и оборона

[dolboed]

Несколько минут назад началась очередная атака с эксплойтом в комментариях в нескольких известных журналах.
Хотя атакует пока что не орда, а один говнюк-флудер-одиночка, ничто не мешает ему опубликовать найденную уязвимость там, где её подхватят.
Или самому засрать сотни записей, используя боты.
Посему напоминаю, как это лечится.
Если Вы зашли в некий пост, а там ничего не видно, кроме повторяющейся картинки, припишите к адресу ?nohtml=1
Например, вот так:
http://tema.livejournal.com/155475.html?nohtml=1
Из поста и комментариев при этом пропадут картинки и разметка текста, но сохранится возможность читать и комментировать.
А владельцам журналов будет проще находить и удалять художества.

Comments

[gulevich.livejournal.com]

а что мешает устранить этот эксплоит?

[senseless-guy.livejournal.com]

Ставишь аддоны, которые рекламу и скрипты по желанию вырезают и забываешь напрочь про все это.

[juliy.livejournal.com]

тут другим путем уже делается, например

[yoksel.livejournal.com]

о нём, кросавчеге.

[juliy.livejournal.com]

как бы да

[aleksandrov-lj.livejournal.com]

почините это у себя в супе.

[juliy.livejournal.com]

забыл каммент убить: http://dolboeb.livejournal.com/1319794.html?thread=56025202#t56025202

[ale-chudesnov.livejournal.com]

ой, такой "эксплоит", просто жуть какой эксплоит.

[romashov.livejournal.com]

пока в супе не поймут, что html - это язык разметки гипертекста, а не оформления комментов - такие ребята будут портить жизнь постоянно

[777-77.livejournal.com]

...сука извращенцы....

[thomassun.livejournal.com]

А еще можно сменить стиль страницы в браузере.

[o-a-l-e-x.livejournal.com]

div не запретить что ли никак? )))

[dolboeb.livejournal.com]

Не понимаю, на хера публиковать эксплойт.

[juliy.livejournal.com]

оставить <i>, <a href>, <b>, <blockquote> и <img>, остальные в камментах нафиг не нужны

[juliy.livejournal.com]

есть еще span

а запретить надо style

[dolboeb.livejournal.com]

Запретить-то дурацкое дело нехитрое.
Очевидно, хотят сохранить функциональность для нормальных людей.
Поэтому коцают по частям.
Например, в LJ AddOns, которым многие пользуются, реализовано несколько вариантов форматирования, использующих div, и если его запретить, то порушится разметка многих совершенно нормальных комментариев.

[romashov.livejournal.com]

причём без всяких атрибутов style

[juliy.livejournal.com]

style надо запретить в первую очередь, в style и заключается главная проблема жежешечки в России

[o-a-l-e-x.livejournal.com]

style, да. Протупил я )

[yoksel.livejournal.com]

да-да, и <br>!

[ekniga.livejournal.com]

Стандартные (безопасные) подмножества html известны. Есть (для систем с "откликами") специализированные коды разметки (ВВ-код, например), которые являются эквивалентом безопасных подмножеств.
Всё есть. нет ЖЕЛАНИЯ обезопасить систему.

[yoksel.livejournal.com]

в данном случае подключается класс имеющийся в стилях жж и задаются запредельные значения ширины-высоты.
С первым, наверное, можно что-то сделать, а со вторым непонятно. Блокирование этих параметров только для дива не поможет, и по-прежнему можно будет и без дива обойтись, если чо. Может как-то фильтровать значения высоты-ширины и при превышении каких-то значений их не обрабатывать?

[juliy.livejournal.com]

жежешечка автоматом ставит, если че

[juliy.livejournal.com]

с отключенным style нельзя

[juliy.livejournal.com]

+