1. Куча / Говнокод #28646

    0

    1. 01
    2. 02
    3. 03
    4. 04
    5. 05
    6. 06
    7. 07
    8. 08
    9. 09
    10. 10
    11. 11
    12. 12
    13. 13
    14. 14
    15. 15
    16. 16
    17. 17
    18. 18
    19. 19
    20. 20
    21. 21
    22. 22
    23. 23
    24. 24
    25. 25
    <script type="text/javascript">
	var reformalOptions = {
		project_id: 9409,
		show_tab: false,
		project_host: "govnokod.reformal.ru"
	};

	(function() {
		var script = document.createElement('script');
		script.type = 'text/javascript'; script.async = true;
		script.src = ('https:' == document.location.protocol ? 'https://' : 'http://') + 'media.reformal.ru/widgets/v3/reformal.js';
		document.getElementsByTagName('head')[0].appendChild(script);
	})();
</script>
--------------------------------------------------------------------------------
Request:

GET http://media.reformal.ru/widgets/v3/reformal.js
Referer: http://govnokod.ru/
--------------------------------------------------------------------------------
Response:

307 Temporary Redirect
Location: http://r.rrzb.ru/?reg=11&orig=http%3A%2F%2Fmedia.reformal.ru%2Fwidgets%2Fv3%2Freformal.js
--------------------------------------------------------------------------------

    С каких-то там пор, у недобросовестных провайдеров повелось добавлять на страницу без https свои шуры-муры и рекламные финтифлюшки, но сейчас, некоторые более хитрые провайдеры, пошли ещё дальше.

    Смотрят, значит, они на http страничку, или просто ловят запросы js по http, видят подключаемый javascript и вуаля - подменяют заголовок ответа на 307 Location с новым скриптом со своим содержимым.

    Можете сами посмотреть, если у кого такой вот провайдер, например.
    На этом сайте, по http://govnokod.ru, так и происходит.

    Как с этим бороться?

    Например добавлением атрибута "integrity":
    <script src="http://media.reformal.ru/widgets/v3/reformal.js" integrity="sha384-q8i/X+965DzO0rT7abK41JStQIAqVgRVzpbzo5smXKp4 YfRvH+8abtTE1Pi6jizo"></script>

    Но у этого способа, сами понимаете, существуют определённые сложности.

    Второй способ - это добавить к адресу любой get параметр:
    <script src="http://media.reformal.ru/widgets/v3/reformal.js?rand=random"></script>

    Конечно, это вообще не спасёт от подмены через 307 Location, но провайдер по своей методике такие URL пока не трогает.

    Запостил: istem, 24 Марта 2023

    Комментарии (5) RSS

    • ava Desktop 06.09.2023 22:11 # 0

      это что, инканус первородный?
      Ответить

      • ava 3anag 06.09.2023 22:13 # 0

        istem вроде взломан уёбком
        Ответить

        • ava Desktop 06.09.2023 22:15 # 0

          то есть это рубрика вредные советы? сделай как в посте, получи осетинский приз?
          Ответить

    • ava guest6 06.09.2023 22:17 # 0

      Не спрашивайте зачем, но мне очень нужно написать симулятор ослика на Delphi с осетинской локализацией
      Ответить

    • ava guest6 06.09.2023 22:24 # 0

      В чем разница между волонтёром и баландёром?
      Ответить

    Добавить комментарий