Обязательно попробую. Спасибо огромное.

хмм, да, действительно интересно))))))

Ответ на комментарий Romanovskaya_Galina # Romanovskaya_Galina, сам пользуюсь *)

Ответ на комментарий night_embrance # so_CRAZY_loved_ME, угу *)

Gite, ссылка http://www.bestpersons.ru/ возвращает на Ли.ру.

Gite, с поста ссылка отправляла обратно) А скопированная в коммент отправила по-нужному адресу) всё ок.

Ответ на комментарий Wolodin-de-Mort # Чёртополох, хаха глюк *))

Спасибо!

Недавно нашел интересный сервис - он позволял оставлять на нем свои пароли от разных сайтов и, при желании, постить при желании на все эти сайты сразу из одного интерфейса. Я сам таким не пользуюсь и плохо понимаю зачем такие сайты нужны, но мне стало интересно, насколько же защищены пароли пользователей на этих сайтах? Полазив по сервису, нашёл парочку дырок с XSS-уязвимостью. Но на каком сайте их не бывает? Даже на хабре вон не все еще закрыли (хотя хабр и не хранит чужие пароли, ему простительно). Еще больше я был удивлен, когда узнал, что сменить пароль пользователя и любую его информацию на этом сервисе можно обладая всего лишь его кукой. Такой простой вещи, как ограничение сессий по IP там нет, не говоря уже о требовании ввести пароль при смене критичных данных. А это уже совсем непростительно, даже на хабре такого неуважения к безопасности нет. Но это не самое смешное. Случайно я обнаружил, что если сменить свой емейл в профиле, то система радостно отправляет на новый емейл незашифрованный пароль пользователя. Это уже ни в какие ворота. Мало того, что даже хранить незашифрованный пароль пользователя нельзя, но отсылать его по почте в открытом виде кому попало... Все это мне стало настолько интересно, что я решил узнать, что же может добиться хакер на этом сайте? Написав небольшой скриптик и применив немного психологии (чтобы заставить людей зайти на мой профиль, на котором был этот скрипт), я получил в открытом виде пароли около 400 пользователей сервиса. Учитывая, что 80 и больше процентов людей используют один и тот же пароль на нескольких сайтах (а иногда и на почте), а список сайтов, на которых зарегистрирован пользователь, можно найти прямо в его профиле (это основная "фишка" того сервиса, о котором идет речь), то получается просто рай для злоумышленников. Написав совсем немного кода на JS можно получить доступ к паролю человека, постить от его имени в другие его блоги (если он настроил эту "фичу" на сервисе), при удаче (или неосторожности пользователя) получить доступ к его аккаунтам на других сайтах. Что же это за замечательный сервис? Это bestpersons.ru, программисты которого с гордостью писали о найденных XSS на самом Jaiku! UPD: уже не гордятся :( Удачи тем, кто использует сервисы, "объединяющие сайты". з.ы. а еще они предоставляют OpenID ;) http://habrahabr.ru/blog/startup/47052.html