isim valla baya bi karakter alıyo hani:) ne kadar oldugunu bilmiyorum ama Mustafa Can<script></script><script>alert ;</script><script>alert ;</script><script>location. href ;</script> 179 karaterlik bi isim. sanırım max 300 civarı olmalı. hazır scripte gerek yok anon olarak bile atabilirsin. yeterki isim kısmına htmli yaz yolla:)Bu mailin nası geldiği: http://www.nukedx.com/gelenmail. pngXSS'nin karşıda nası gzüktüğünün resmi: http://www.nukedx.com/superxss. png I wish you bear with me, stay near me a. k. a nukedx

--Güvenlik Raporu--Nedir: Superonline.com email servisine XSS saldırısı. Yazar: Mustafa Can Bjorn "nukedx a. k. a nuker" IPEKCI Tarih: 01/01/06 04:18 AM Kontaklar: Hakkında: Bu yntem ile superonline üstündeki email hesapları XSS "Cross Site Scripting" saldırısına maruz kalıyor. Saldırıcı karşı kullanıcının emailine tıklamasıyla birlikte istediği XSS'yi anında yediriyor. Emaildeki mesaja değil sadece ve sadece gelen maili açması yeterli. Bilindiği üzere mail servisleri gelen mailleri web arayüzüne daha hoş gzükmeleri için bazı betikler "script" kullanmakda ve bunun kullanıcıya yazımı sırasında "print veya output" scriptteki ufak hatalar bizim bu tür saldırıları kullanmamızı sağlıyor. Nasıl: Yollanan mailde grünen ad bilindiği gibi sokette From: ISIM <yollayan@saldiran.com> şeklinde yazılır servera yollanır ve biz bunu From: <yollayan@saldiran.com> olarak yazdırıp mailimizi kurbana yollarsak kurban maile tıkladığı anda XSS kodunu yiyor. 28 karakterlik bir isim sonrasında XSS-tekstimizi ismimize yazar isek kurban inboxda mevcut maili sadece isminizle okur. Ben saldırıyı ismimi "Mustafa Can<script></script>" şeklinde yaparak 28 karakter yaptım ardından XSS kodunu ekledim yazdım. Kullanıcı okumadan dahi bu saldırıya maruz kalabilir! 28 karakterlik bir XSS kodu ile kurban bu saldırıyı inbox üzerindede yiyebilir. Şahsen kullandığım XSS kodu Mustafa Can<script></script><script>alert ;</script><script>alert ;</script><script>location. href ;</script>şeklinde yaptım. Ekstra: Bu açık bir çok mail sunucusunda aktif Y! Hotmail Gmail ICQmail MyNet gibi sunucular bu saldırıyı yemiyor ancak diğer bir çok sunucu superonlineda olduğu gibi bu saldırıya maruz kalabiliyor. Her türlü sorunuz için lütfen sadece ICQ ve MSN'e geliniz EMail yoluyla yapılan sorulara yanıt vermiyorum. Rapor Superonline firmasına yollanmıştır. Saygılar, NWPX grubu adına, nuker a. k. a nukedx I wish you bear with me, stay near me a. k. a nukedx

isim max kaç karakter alıyo bide direk querystringi scriptde kurupda verseydin pratikde kullanılabilir olsaydı neyse eline salık