az új freemail.hu béta

Security-all

Nem tudom, hányan használtok freemailt.hu-t. A következőt vettem észre: küldtem magamnak egy levelet a következő tárggyal: 


test <script type="text/javascript">alert("Hello World!");</script> end

Miután megkapom a levelet, és megjelenik a webes felületen a rövid listában, lefut a script. Ez elég kritikus lehet, ha jól sejtem. (Eddig sajnos nem találtam még értelmes módját a hiba bejelentésének a freemail.hu-n.)

  • 43044 megtekintés

( hrgy84 | 2007. 09. 30., v – 21:57 )

A freemail több szempontból is problémás, nem éri meg használni. Ellenben GMail.

Nézd. vulnerable vagy sem, sokkal jobb mint az igen tisztelt FM. Nekem volt, hogy 24 óra alatt kézbesített from és to is. Na ennél én gyorsabban súgom a címzett fülébe az üzenetet. Azonfelül elég gyengécske a felület, spamok jönnek ezerrel, ennél még a vipmail is jobb, ott legalább van vmi minimális spam filtering default bekapcsolva. Van egy olyan érzésem, hogy le fogok íratkozni a freemailes fiókomról hamargyorsan, mert kezd irritálni a sok spam ami arrólfelől gyün.

Azt azert tegyuk hozza hogy a szarrago fm is spamel.
Probaljatok csak ki, csinaljatok egy kamu cimet, es lepjetek be mondjuk ket het mulva. Undorito szarragas megy. Keves hely, igenytelen felulet, silany szolgaltatas nemi spammel fuszerezve...
4in1, mi kell meg? :)
__________________________________________________________________
A tudatlanság: erő.

( Exalt | 2007. 10. 01., h – 08:16 )

Akkor ez most egy kritikus hiba vagy sem ?? :)

( uid_2516 | 2007. 10. 01., h – 08:35 )

Ez nem csak a freemail hozzaallasarol arulkodik,
hanem a te bongeszobeallitasaidrol is.
A script a te oldaladon futott.
No alkalmazas-proxy szintu tuzfal,
no js/java tiltas, no noscript...

Ok "csak" visszakuldtek, te futtattad ;)

( index | 2007. 10. 01., h – 08:47 )

Hello!

Igen, ez gáz!

Ezt hívják XSS (cross site scripting) sérülékenységnek.

Gondolj bele: Valaki küld egy levelet neked, aminek a tárgyában javascript van, és amikor megnyitod a levelet lefut a kód a gépeden.

Üdv: Marcell

( Exalt | 2007. 10. 01., h – 14:11 )

De a freemail rendszerében ezzel nem tudsz kárt okozni ?!
(Nem azért mert akarok, hanem mert az én webmail-em is ugyan ezt a hibát produkálja)

( index | 2007. 10. 01., h – 14:27 )

Hello!

Ezzel a freemail rendszerében nagyon kárt nem tudsz okozni, "csak" egy gonosz levélküldő tud egy olyan levelet küldeni neked, amit ha megnyitsz, egy script le tud futni a gépeden, egy olyan amilyet ő akar.

RKA-nak igaza van abból a szempontból, hogy valamennyire a saját felelősséged is, hogy milyen beállításokkal nézegeted az internetet, de az nem szép dolog, hogy ilyen sérülkényen hagyják a programozók a levelező rendszerüket.

Üdv: Marcell