Google pwn3d like a bitch!!! 3 дупки в сигурността!

Зловеща седмица за Google (които, както разбирате, започвам да мразя все повече и повече). След като самият аз открих 2 bug-а при тях, които хич не са от безобидните, днес прочетох как да ви чета мейлите, да ви взема снимките от компютъра и да наспамя вас и всичките ви познати :) Звучи гадно, нали? И най-гадното е, че вие няма какво друго да правите, освен да чакате Google да си оправят грешките.

Добре де, не само. За да не хакнат вашият Gmail, Picasa или Blogger, трябва да не кликате на нито един линк в Мрежата, докато сте логнат с вашият Google акаунт. Звучи зловещо, но това е единственото сигурно решение на проблема.

Подобно на случая с ArenaBG, който кликне на грешен линк - изгаря. Ако кликне някой админ - перфектно :) Със самото кликане хакерът ще вземе вашите данни и автоматично ще източи всичката информация, до която се докопа, а после ще прави каквото намери за добре с нея.
Ако искате да прочетете по-подробно за самите бъгове кликнете тук (страх ви е, нали :П)
По-конкретно за дупката в Picasa - тук (хайде де :)
Как да източим Gmail - тук (логни се първо).
Как да пробием през Google Search Appliance - ето тук (благодаря :)

Очевидно, дупка в сигурността в система от такъв мащаб има силно социално явление. Около 200 000 уебсайта са застрашени заедно с данните на всичките им потребители, както и огромните системи като Gmail и Blogger (Blogspot), където се намира и моят блог в момента. Най-лошото е, че тези експлойти са вече публични и сега се очаква вълна от 15-годишни хлапета да копират кода и да хакнат колкото се може повече потребители, тъй както батко хакер им е показал. Да му мислят тия, дето са нагоре в търсачките, в това число и аз :)

Намерих bug и в Tyxo :)

Като си гледах посещенията днес, намерих бъгче и в Tyxo:

Интересно как може да имам 40 уникални, пък само 39 посещения. Според мен едната сесия е останала от снощи, а пък уникалните се броят като уникално IP на импресиите. Ако някой от developerите на Tyxo чете този блог, нека се разрови и да го оправи, ако обича.

Намерих bug в Google AdSense при логина

Най-накрая ги хванах натясно :) От много време не се кефя на хендлинга на сесии от Google. Всеки с повече от един Google Account го е имал този проблем - логваш се с един юзър в Gmail, с друг в Blogger, с трети в AdWords и т.н. Винаги съм се чудел къде ще изгърми тая работа и най-накрая се случи:

Както си се бях логнал с акаунта ми за блогър исках да си регистрирам едно ново потребителче за AdSense. Минах първата страничка от формуляра гладко и стана време да си избирам Google Account. Казах му, че нямам и не искам да имам Google Mail и той ми изкара формулярче да си дам външен имейл адрес. Оказа се, че какъвто и E-mail адрес да въведеш в това поленце, той винаги ще взима този от сесията (и в моят случай - да пищи, че вече има регистриран AdSense Account с този адрес). ХВАНАХ ЛИ ВИ КОПЕЛЕНЦАААА?!!!

Но това не е първият път, когато хващам бъгав код от Google. В новата версия на APIlity (OpenSource библиотека ПИСАНА ОТ ГУГЪЛ за управление на AdWords кампании) са объркали имената на няколко полета в KeywordCriterion обектите и всяка една заявка към сървъра дава грешка. Вместо "negative" и "paused" са написали "isNegative" и "isPaused". Нях нях нях! 2:0 слабаци!!!!

Излезе Prototype 1.5

Излезе новата версия на JavaScript framework-а Prototype. В 1.5 са фикснати редица бъгове. Нямам идея колко са на брой, но WinMerge показа около 30% разлика между старата и новата версия. Не става ясно, обаче, дали разработчиците на Prototype са поели крачката да оправят грешката с Object.extend, на която неименуемо се натъкваме във FireFox 2.0 при отваряне на pop-up. (Ако някой е имал подобен проблем, да пише коментар, за да му дам workaround) Все пак новината е радостна, най-пълният и удобен AJAX framework продължава да се развива!