PDA

Просмотр полной версии : HTML теги в описании доменa


Alex
08.09.2006, 11:02
Вижу такое впервые:

Проверьте домен NAHUI.RU в любом WHOIS сервисе

LeoSM
08.09.2006, 11:07
Забавная попытка выделиться:

<font color=red><h1>nahui!..))</h1></font>

Мало того что домен такой, так ещё и дескрипш забили тегами.
ps Во многих проверках действительно теги действуют.

web-manager
08.09.2006, 11:08
Офигительно :)
Может поломалось что-нибудь :)

добавлено через 1 минуту
Красиво, на вебнэмс, например :)

LeoSM
08.09.2006, 11:10
Офигительно :)
Может поломалось что-нибудь :)

Ничего не поломалось, просто владелец развлекается :)

LeoSM
08.09.2006, 11:10
Красиво, на вебнэмс, например :)

А на руцентре видно все теги как есть :)

web-manager
08.09.2006, 11:28
Ну, понятно, что ничего не поломалось.
Это скорее некий вызов.

Я тоже посмотрел и там, и там.
Сравнил :)

Alex
08.09.2006, 11:39
:)

http://whois.ruweb.net/?domain=namez&ext=ru&show_raw=1

LeoSM
08.09.2006, 11:41
:)

http://whois.ruweb.net/?domain=namez&ext=ru&show_raw=1


Красотищща :D

Alex
08.09.2006, 11:42
Сам гляжу не могу нарадоваться :)

LeoSM
08.09.2006, 11:42
Хм, а если туда вредоносный скрипт поместить ?

Alex
08.09.2006, 11:47
Минут через десят будет обновление ;)

Хм, а если туда вредоносный скрипт поместить ?

То можно поломать кого угодно!

LeoSM
08.09.2006, 12:00
Минут через десят будет обновление ;)



То можно поломать кого угодно!

Вот-вот...очередная дырка.

Alex
08.09.2006, 12:10
О, даже картинки получается вставлять :)

http://whois.ruweb.net/?domain=namez&ext=ru&show_raw=1

LeoSM
08.09.2006, 12:14
О, даже картинки получается вставлять :)

http://whois.ruweb.net/?domain=namez&ext=ru&show_raw=1


C ума сойти !
Можно попробывать редирект вставить :)

DomainMan
08.09.2006, 13:08
Это обычная XSS бага веб-хуизов.

Но идея забавна =))

Просто у кодеров руки кривые, например все ок у http://centralops.net/co/DomainDossier.aspx

Директи не позвонилал в xnic.org сделать теги, на ОнлайнНик прокатило =)

web-manager
08.09.2006, 14:06
Domain тюнинг :)

a-andrey
08.09.2006, 14:09
я как баран сижу - пробую вникнуть - нефига не получается - в фаерфоксе не идет а в эксп. всё ок

Pupsik
08.09.2006, 14:59
nahui.ru домен.. там уже нет цветного текста.. автар изменил.

"Last updated on 2006.09.08 14:46:23 MSK/MSD"

зы. а идея с картинками это тема.. :)

_https://www.nic.ru/whois/?domain=namez.ru

descr: <div align="center"><img src="http://domenforum.net/banners/namez.PNG" alt="" title=""></div>

tt))

seabreeze
08.09.2006, 17:52
https://www.nic.ru/whois/?domain=namez.RU
https://www.nic.ru/whois/?domain=NAHUI.RU

Ни фига.

DomainMan
12.09.2006, 19:35
http://www.web-hack.ru/archive/news.php?go=1256

OverClocker
12.09.2006, 19:55
Согласен с Терабайтом. Обыкновенная XSS.
http://agava.ru/cgi/utils/whois.cgi?what=check_domain&domain=xnic&zone=ru
Вот ещё добавь, кстати.

UFO
13.09.2006, 18:40
Супермега интересно :)
А как вообще, разрешены HTML-теги в описании? Регистраторы не против?

TSM
13.09.2006, 22:59
Супермега интересно :)
А как вообще, разрешены HTML-теги в описании? Регистраторы не против?
Правильные ПРОТИВ
https://www.nic.ru/manager/settings.cgi
Описание домена может содержать только латинские буквы, цифры, знаки препинания и пробелы

СТРАХ
13.09.2006, 23:39
Хе-хе. Кое-кто уже пытается поиметь траффа на халяву через эту дырочку:
https://www.nic.ru/whois/?domain=wwwauto.ru
Project wwwauto <script>open('http://yes.ru');</script>
nserver: ns2.poishi.com.
state: REGISTERED, DELEGATED
person: Philipp A Gross

(встроен код попапа)

Alex
14.09.2006, 00:26
Хе-хе. Кое-кто уже пытается поиметь траффа на халяву через эту дырочку...

Этот человек будет использовать любую дырочку чтобы поиметь выгоду

UFO
14.09.2006, 10:31
Хе-хе. Кое-кто уже пытается поиметь траффа на халяву через эту дырочку:
https://www.nic.ru/whois/?domain=wwwauto.ru
Project wwwauto <script>open('http://yes.ru');</script>
nserver: ns2.poishi.com.
state: REGISTERED, DELEGATED
person: Philipp A Gross

(встроен код попапа)

А Mozilla заблокировала дырочку, которая открывается через неправильные whois'ы =) Типа "FireFox заблокировал всплывающее окно для этого сайта."

добавлено через 1 минуту
Правильные ПРОТИВ
https://www.nic.ru/manager/settings.cgi
Описание домена может содержать только латинские буквы, цифры, знаки препинания и пробелы

А RIPN как относится к этому?
Тем более, что фактические эти HTML-тэги и есть "латинские буквы, цифры, знаки препинания и пробелы", только "=", "<" и ">" - не являются знаками препинания, зато остальное все в законе.

DomainMan
14.09.2006, 13:06
Все легально, веб-хуизы это не простые хуизы, которые в консоли просматриваются:

#whois xss.ru

В консоли XSS не может быть, значит все ок =)

Andris
14.09.2006, 15:13
Относительно легальности есть сомнения:

http://www.cctld.ru/ru/doc/acting/?id21=13&i21=1

5. ПОДДЕРЖКА СВЕДЕНИЙ О ДОМЕННОМ ИМЕНИ
5.1. В течение всего срока действия регистрации должна осуществляться поддержка сведений о доменном имени (поддержка домена) — внесение в Реестр сообщаемых Администратором сведений, относящихся к доменному имени и подлежащих отражению в Реестре (выделено мной - Andris), включая сведения, необходимые для идентификации Администратора (п. 5.2 Правил) и делегирования домена (п. 5.3 Правил).
5.2. К сведениям, необходимым для идентификации Администратора, относятся: для физического лица — имя, место жительства и сведения о документе, удостоверяющем личность; для юридического лица — полное наименование, место нахождения и сведения о его государственной регистрации.
5.3. К сведениям, необходимым для делегирования домена относятся имена серверов DNS домена, а также IP-адреса указанных серверов в случае, если имя DNS-сервера содержит название делегируемого домена.

Приложение
ИНФОРМАЦИЯ В РЕЕСТРЕ И ЕЕ ИСПОЛЬЗОВАНИЕ
1. Общие положения
1.1. Информация, сохраняемая в Реестре, используется:
(1) для фиксации прав администрирования зарегистрированных доменных имен;
(2) для обеспечения возможности адресации в сети Интернет;
(3) для предоставления по запросам третьих лиц информации о доменных именах в объеме и на условиях, установленных Правилами.
[...]
1.3. Регистратор и те лица, с которыми он взаимодействует при ведении Реестра, обязаны принимать необходимые меры по предотвращению несанкционированного использования информации. (выделено мной - Andris)

UFO
14.09.2006, 17:17
Но тут ничего не говориться явно о том, что программный код не может быть где-либо указан, а уж действия программного кода и подавно :)

Andris
14.09.2006, 17:43
Не говорится. Там вообще многое про что не говорится. Однако в п. 1.3 говорится про несанкционированное использование информации, взятой из БД. Открытие на компьютере пользователя некоего окна, содержащего в себе информацию, непосредственно не относящуюся к введённому пользователем запросу, может расцениваться именно как несанкционированное использование БД - ведь пользователя никто не предупредил (disclaimer), что кроме данных о домене, он получит ещё и рекламу какого-нибудь порнопортала.

Там же в п. 1.2 сказано:
1.2. Регистратор не вправе использовать информацию, сообщаемую Пользователем, в целях, не предусмотренных Правилами или Договором.

В общем, далее начинается казуистика. Итог: в RIPN NCC и в юридическую группу RIPN ушёл соответствующий запрос.

UFO
14.09.2006, 20:48
Так может это новое окошко с рекламой - это баг whois, ведь так оно и есть.

DomainMan
14.09.2006, 21:42
Это баг веб-хуиза, а не хуиза. Криворукость программистов.

TSM
14.09.2006, 22:23
1.3. Регистратор и те лица, с которыми он взаимодействует при ведении Реестра, обязаны принимать необходимые меры по предотвращению несанкционированного использования информации. (выделено мной - Andris)

Получается что Регистратор в ответе за это безобразие?

registrar: REGTIME-REG-RIPN
www: _http://www.webnames.ru

Andris
14.09.2006, 22:34
UFO, Terabyte, TSM
Да, конечно - это баг конкретной реализации WebWhois, однако базой для этого бага стало в т.ч. и формальное попустительство держателя Реестра .RU (RIPN) и конкретного Регистратора (RegTime). Любой мало-мальски квалифицированный Web- да и "обычный" программист скажет Вам, что данным, вводимым пользователями, доверять нельзя.

TSM
14.09.2006, 23:17
Программисты "кривые ручки" вообще ни за что не отвечают. Не нравиться, не доверяете - не пользуйтесь данным ресурсом


базой для этого бага стало в т.ч. и формальное попустительство держателя Реестра .RU (RIPN)
Как я понимаю, RIPN вот этим документом
http://www.cctld.ru/ru/doc/acting/?id21=13&i21=1 снял с себя ответственность за
несанкционированное использование информации

На мой взгляд, крайним в данном случае остается РЕГИСТРАТОР

Andris
14.09.2006, 23:25
Если Вы про п. 1.3 данного документа, то "лица, с которыми он (имеется в виду Регистратор - Andris) взаимодействует при ведении Реестра" - это и РосНИИРОС тоже.

DomainMan
15.09.2006, 00:24
1) Надо испраить хуиз
2) Точно так же надо исправить форму изменения вносимой инфы в дескрипшен домена.

UFO
15.09.2006, 19:11
Это баг веб-хуиза, а не хуиза. Криворукость программистов.

Это я и имел ввиду :)

добавлено через 1 минуту
1) Надо испраить хуиз
2) Точно так же надо исправить форму изменения вносимой инфы в дескрипшен домена.

+1, но лучше действовать согласно пункту 2, и надобность в пункте 1 отпадет :)

MITROFAN
18.09.2006, 20:20
Whois где работает <? phpinfo(); ?> надо искать! Я не нашел пока =)

DomainMan
18.09.2006, 21:43
Whois где работает <? phpinfo(); ?> надо искать! Я не нашел пока =)

И не найдешь, потому что ты бред сказал. Почитай про XSS баги.

MITROFAN
19.09.2006, 03:38
И не найдешь, потому что ты бред сказал. Почитай про XSS баги.
Можно так напрограммировать что у тебя и <% %> работать будет =) А так конечно врядли встречается.

добавлено через 34 секунды
сорри за оффтоп

Andris
19.09.2006, 03:46
Ответ RIPN NCC

From: "RIPN NCC" <ru-ncc@ripn.net>
To: andris@aernet.ru
Subject: [ru-center #938590] .RU whois: XSS in descr: field
Date: Fri, 15 Sep 2006 16:51:36 +0400 (MSD)
Message-ID: <rt-3.4.2-938590-7314483-6.14.1573203959915@nic.ru>

[...]

Здравствуйте, Андрей!

Мы благодарим Вас за разъяснение ситуации.
Данная проблема донесена до ТЦ, который в свою очередь планирует
привести работу ТЦ в соответствие с правилами регистрации.
Как только нам будут известны сроки реализации, мы Вас обязательно
уведомим.
Еще раз спасибо!

[...]

--
Best Regards,

Svetlana Esina
Regional Network Information Center (RU-CENTER)
phone: +7 495 737-0601
fax: +7 495 737-0602
http://www.nic.ru