КТО ХОДИТ В ГОСТИ К ЛАМЕРАМ, тот поступает мудро: гадим в гостевухах
Андрей "Дронич" Михайлюк
Спецвыпуск Xakep, номер #025, стр. 025-032-1
(dronich@real.xakep.ru)
Флеймить и флудить в гостевых книгах не нравящихся тебе людей - это очень нехорошо. Но иногда нужно устроить кому-то дестрой и раздрай в качестве профилактики или просто из чувства собственного превосходства. А в концепции легкого хака "нашел, нагадил, пошел искать дальше" есть много методов устройства гадостей окружающим. Один из них, мой любимый, - игрушки с HTML'ем.
ПРЕЛЮДИЯ
Многие недоадмины очень любят использовать чужие скрипты. Особенно если они лежат на чужом серваке и охраняются чужой администрацией. Ход их рассуждений примерно таков: "ЭТИМ пользуюсь не только я, о защите ТАМ думают профессионалы, скрипт у НИХ проверен временем" и все такое. Короче, зарегистрировав себе гостевуху или форум на сайте, предоставляющем такие услуги, админ считает, что избавился ото всех проблем. А зря.
Как всегда, буду рассказывать на примере. Один из моих товарищей (будем называть его скромно - Админ :)) вел сайт своей дражайшей институтской группы на хостинге NewMail, не поддерживающем ни перла, ни РНР, ни чего-то другого. Ежику понятно, что свою гостевуху ака форум он зарегил на бесплатном хостинге, которым оказался guestbook.net.ru. К слову, нетрусовцы предлагают очень неплохой набор услуг на приемлемых условиях (что-то вроде одного баннера). Так вот, наш Админ решил, что для указания всем на свою крутость он будет использовать HTML: вставлять в гестбуку фотки с попоек, линки на модные сайты, а главное: красиво выделять админские комментарии :). Так их сайт и жил - от попойки до попойки. Пока мне не захотелось повеселиться :).
КАК ЭТО БЫЛО
Для начала была проведена разведка боем: я зарегил себе гестбуку на том же серваке и потестил его на дырочки - не пропускает ли скрипты, не отсылает ли пароль на мыло и т.п. Оказалось, что на дефолтных настройках гостевушка неприступна. Но когда я поставил галку "разрешить HTML в сообщениях", челюсть моя чуть не пробила крышку стола. В чем было дело? Люди, создавшие guestbook.net.ru, решили не заморачиваться с проверками на <script> и прочие радости, а просто сделали два режима, переключающихся этой самой галкой - либо теги не разрешены вообще, либо... разрешены все :). А раз Админ использовал HTML для себя, почему бы не помочь ему и поюзать всю мощь ЖамаСкрипта? В конфу было запостено сообщение от некого чела, выражающего признательность Админу лично за отличный дизайн. А в конце сообщения скромно притаился вызов функции следующего содержания:
function kill()
{
t=setTimeout(killer, 10)
}
function killer()
{
document.write(" ")
}
Этот скрипт замечателен тем, что наглухо вырубает ИЕ уже три года подряд :), но не трогает Оперу, фэном которой был наш Админ. В итоге поднялась страшная буча - все посетители сайта вопили на ни в чем не повинного Админа, что, дескать, гостевуха не работает; он честно заходил на нее и не видел ничего подозрительного :). В итоге через недельку-другую он не нашел ничего лучшего, как обнулить ее, удалив все сообщения. Гы :).
Так я баловался довольно долго, выполняя всякие alert ("Ошибка скрипта, гостевая книга работает в отладочном режиме") и им подобные, мороча голову несчастному Админу. Но надо отдать ему должное - через месяц он все-таки догадался прочитать ВСЕ сообщения до конца (а со странички администрирования делать это очень неудобно - на каждое сообщение отведено окошко всего в 5-6 строк) и запостил грозное сообщение на тему "Кто меня похакает, тому глаз вон и 120 ударов в тыкву". Что ж, пришлось уйти, на прощанье хлопнув дверью при помощи генерирующего попапы скрипта (смотри в Креативе Спеца по дефейсу), где в каждый попап был вставлен счетчик сайта Админа. В итоге его выгнали из рейтинга на накрутку, и сайт он решил закрыть.