В очередной раз раскручивая тему HiJacking нашел веселый способ получать худо-бедную информацию о целевом ресурсе, когда пользователь находится на странице злоумышленника. Уже заезженный тэг <img> открывает новые возможности с помощью метода fileSize, описанного тут: http://msdn.microsoft.com/en-us/library/ms533752(v=VS.85).aspx Рассмотрим простейший пример – веб-приложение после авторизации предоставляет какую-то картинку для пользователя, например: http://example.com/getImage.php?image=myAvatar Злоумышленник, зная это, может создать страницу [...]