Marko Stamcar: Vida od DURS-a je itak na svoji domeni, tako da se verjetno ne da dostopati do podatkov iz e-davkov...
In kaj ima to veze?
"XSS napadi so namreč tim. client-side ranljivost in omogočajo zgolj spremembo izpisa v uporabnikovem brskalniku"
A zdaj razumeš zakaj je tvoj komentar nesmiseln?
O tem, da domena ni važna, pa se ne bi ravno strinjal. Lansko leto sem si vzel par ur časa, za to, da sem ugotovil, kako se uporabniku odvzame cookie enega od najbolj razširjenih free mail ponudnikov in si s tem zagotovi (skoraj) trajen dostop do predala, namreč dokler se ne spremeni sama struktura cookija, ki ga server pošilja uporabniku - to pa se dogaja dokaj poredko - in dokler do tega ne pride, uporabniku ne pomaga niti logout, niti sprememba gesla. Niti ni bilo potrebno kaj več kot par ur. Gre za phising, ampak je še kako učinkovit način, uporabniku moramo namreč le podtakniti nedolžen link na našo zlobno stran, ki na videz ne izgleda prav nič grozna, npr.
www.našadomena.com. Klik na link, par redirectov in uporabnik nič hudega sluteč pristane na naši
www.našadomena.com, zlobnež pa ima dostop do predala.
Koliko si lahko pri e-davkih pomagamo s cookijem, v primeru, da bi šlo za isto domeno, je druga zgodba, pa vendarle ...
In Matthai, mislim da sem se ravno pri tebi pozanimal lansko leto v ZS, kako je s pravnim vidikom takšnega početja. XSS ranljivost sem kasneje posredoval na podporo v to družbo in je trajalo nekaj mesecev, preden se je nekdo vendarle odločil to odpraviti. Verjamem pa, da je dovolj nekaj ur, da najdem novo, še neodpravljeno xss ranljivost, pri ponudniku z več kot 100 milijoni aktivnih mail predalov po svetu.
Ja pozabil sem dodati, da če je cookie ustvarjen na mail.domena.com in najdemo xss ranljivost na *.domena.com, smo na konju, od tu je namreč dostopen cookie za mail.domena.com.
. 
