Есть ли способ как нибуть менее палевно использовать Xss в аватаре?
Т.к. если просто в урл аватары вставить Xss, то аватаркой будет являтся сломаная картинка, можно ли как нибудь картинку всё же вернуть, или замаскировать сломаную?
можно ли как нибудь картинку всё же вернуть, или замаскировать
Нельзя. Можно добавить
<script>location.replace('http://ya.ru');</script>
чтобы после захода чела перекинуло на другой урл, например на страницу ошибки 404.
Но опять же не сработает это на нормальных браузерах, только на ИЕ.
Ну почти да.Тока не обязательно брать картинку для этого.Можно сразу сохранить в нужном формате.Скрипт пишешь в блокноте и всё. Почитай тут http://forum.antichat.ru/thread9910.html.
censored! классно всё расписал про применение аватары.
Qwazar gif, к примеру имеет пометки в своем коде о том, что это гиф...
Первые байты - 47 49 46 38 37 - подчеркивание Гифа. возможно где-то еще по коду есть инфа
с 6 по 9 пары: 4A 46 49 46 - подчеркивание JPG. возможно тоже где-то есть...
Соотв нужнл код подставить так, чтобы на этих местах было написано JFIF у JPG или GIF87 у gifa
Правильно мелишь. Только там этих строк мало. Короче надо первые10-20 строчек из кода картинки выдрать,а потом сразу за ней впихнуть ява скрипт.
Если не разбирёшся-скину готовую картинку со скриптом.