| Автор | Смена уникального ключа пользователя: sign. |
|---|
Как всем известно - уникальный ключ пользователя используется в особенно критичных местах и защищает в первую очередь пользователя от так называемого CSRF вектора аттак. Закрытие темы на форуме, вступление в групповые бои, дуэли, выкидывание артефактов и так далее (но не везде).
Пример: зная АйДи артефакта у пользователя и этот ключ "sign" (никогда не меняется) можно сделать ссылку на выкидывание артефакта (например рарокрафт). Если владелец перейдёт по этой ссылке (она может быть спрятанна например т.н. уменьшителях ссылок, такие как: goo.gl, tiny.url и т.д.), то он выкинет свой артефакт. Пользователь может перейти по ссылке и не зная что там внутри (ссылку можно засунуть например в iframe, и т.д.)
Некоторые пользователи не знают насколько ценные эти ключи могут быть для злоуымшлинников и иногда по оплошности выкладывают ссылку с этим приватным параметром на форуме (гугл в помощь).
Но не всегда может быть виноват пользователь. Ключ можно украсть например с помощью социальной инженерии либо взлома ПК либо например через XSS/XSF атаку.
Теперь вопрос: Были ли случаи смена этого ключа: sign? |
| Ремарочка: Рары не выкидываются:) |
Ремарочка: Рары не выкидываются:)
через sign всё жизнь выкидывались. на форуме почитай. некродем писал как. потом на дейли публиковали. |
| Без нужного куки я пробовал, не работает. |
для TheGreat:
а что с ними делать когда уже в 0 зареманы? |
| ну вобще были проблемы с выкидыванием раров с портала, кто знал как, делали ссылки для выброса |
| Больной вопрос на самом деле. Хотелось бы чтобы она создавалась заново при каждом формировании страницы, но она всегда одинаковая. |
для TheGreat:
Рары не выкидываются:)
всё выкидывается. Просто ссылки на это дело нету, но её легко сгенерировать. |
А, все, понял о чем речь, извиняюсь.
Да, sign получить достаточно легко, не знаю где как, но после вчерашнего апдейта в инвентаре он вообще в открытом виде на странице лежит.
А еще его можно украсть, если какой-нибудь автор скриптов на пару дней вставит себе его в код, ага.
Надо писать админам по такому вопросу, думаю. |
Я вам букмарклет специальный сделал для выбрасывания раров - ценой пары ценных предметов :)
https://www.heroeswm.ru/forum_messages.php?tid=2133726&page=220#43516712 |
Без нужного куки я пробовал, не работает.
да, пользователь должен быть залогинен. это же логично. забыл дописать |
для Professor Crow:
после вчерашнего апдейта в инвентаре он вообще в открытом виде на странице лежит
он и раньше так лежал |
он и раньше так лежал
его по-моему ввели когда стали баловаться ссылками. arena_in.php, закрытие тем на форуме, ссылка на передачу арта, подтверждение получения арта и так далее. много защиты от CSRF спрятали во флеше. в 2009/2010-ых вроде.
но вопрос по sign всё ещё актуален - меняли хоть раз или нет? |
| Это можно проверить поискав старые такие ссылки на форуме и поспрашивать владельцев, буде они еще играют, какой у них он теперь. |
для TheGreatWarrior:
но вопрос по sign всё ещё актуален - меняли хоть раз или нет?
Сейчас у меня sign не такой как был вчера ночью. Изменился. Либо после перезагрузки компьютера, либо после рестарта браузера, либо после перелогина. |
для ElMarado:
Сейчас специально проверял - на рестарте браузера не изменяется, на перелогине тоже. Наверное раз в час/сутки. |
для TheGreatWarrior:
но вопрос по sign всё ещё актуален - меняли хоть раз или нет?
Сейчас у меня sign не такой как был вчера ночью. Изменился. Либо после перезагрузки компьютера, либо после рестарта браузера, либо после перелогина.
у меня лет 9 он не менялся. |
для TheGreatWarrior:
но вопрос по sign всё ещё актуален - меняли хоть раз или нет?
Сейчас у меня sign не такой как был вчера ночью. Изменился. Либо после перезагрузки компьютера, либо после рестарта браузера, либо после перелогина.
я бы не стал доверять ответу человека, который не знает как можно загрузить свои локальные данные в кеш браузера (спойлер: через прокси). JS скриптер - человек который работает с браузером - должен знать о таких вещах. Хотя бы теоретически. |
| Еще теоретически от IP-адреса может зависеть... |
для СтепнойВарварка:
Сейчас перезагрузился (без логофа). Не изменилось. Надо будет ещё статистику понабирать.
Хотя есть подозрение, что я путаю вчерашний sign с UId арта,по которому вчера отладку скрипта проводил (в памяти отложилось, что последние 2 цифры были из 6 и 9, а сейчас 33). |
