ChromIE

[udpn]

Авторы Google Chrome потрясли меня сегодня своим интеллектом, последовав пути IE, и воткнув в обход W3C крайне раздражающую фичу в виде XSS Auditor. Я использую сервак с закрытыми исходниками, который ажаксом подтягивает код со скриптом, и где я не могу воткнуть нестандартный заголовок. Теперь у меня не работают скрипты. Спасибо, Google

Comments

[ex_juan_gan]

Да эта борьба против борцов с XSS невыигрышна. Всё равно какие-нибудь хакеры что-нибудь придумают, а браузники против этого поставят забор, и всё наши скрипты. Я уже устал бороться.

[udpn]

Ну я вот воспользовался админскими правами, чтобы сделать таки XSS, а чтобы его протянуло, засунул CSS строкой в JS, всё собрал вместе и засунул картинкой на тот же сервер, чтобы same origin. Теперь ждём, когда таки догадаются не грузить JS, если сервер отдаёт неправильный mime-type (или нестандартный хидер X-This-Is-Really-Javascript, как обычно делают пидарасы).