Foro de elhacker.net

Hoy entre a una de las miles cosas qe hay en facebook para que entren pensando q podran ver el boton de No me gusta, ver quienes han entrado a tu perfil , etc, y este me decia que copie un codigo y lo pegue en la barra del navegador y le de Enter.

Yo obvio q no le di enter, pero mire el codigo y lo q pude ver es q lo q hace es llamar a un codigo en Java Script q esta colgado en web.com/botonfacebook.js
Lei ese codigo y aunque no sepa Java Script algo entendi, y no hacia nada malo solo mandaria un mensaje a todos mis amigos al azar, pero mi pregunta es esta:
Porque pedia que copie el codigo en el navegador? no se puede hacer un link con el contenido del codigo de la llamada al codigo java script?
O estos codigos solo funcionan si los introducis manualmente?

Sería lo más lógico, pero no se la adaptabilidad que tiene FB para crear las aplicaciones, es decir, si se diera al aire libre, cuantos XSS no tendría.

Ademas lo del Face es mas que todo un Spamm que esta echo, el funcionamiento de JAVA script es el siguiente EN SI  lo que hace es permitir la creacion de acciones, las cuales no necesitan una compilacion e de compilación ya que funciona del lado del cliente, en si el navegador es el encargado de interpretar.

Como dicen entonces? Solamente se ejecutan esos codigos si los ingreso en el navegador entonces? No existe la posibilidad que un link me lleve a una direccion que sea: "window.alert ( 'Hola mundo!');" ?

no solo se puede activar la funcion si tu das click (propiedad onclik) sobre el enlace o bien pegas el enlace en la barra de direcciones.
Lei ese codigo y aunque no sepa Java Script algo entendi, y no hacia nada malo solo mandaria un mensaje a todos mis amigos al azar
tu mismo lo has dicho al momento que introduces la liga en el navegador se ejecuta la funcion y se propaga el msj

Claro, en este caso tal y como dijo RedZer necesitaría de un "onclick" (onload,onalgo xD) para iniciar el script. Si el usuario simplemente pincha en un enlace exterior (o un enlace que lo lleve al script) no seria capaz de realizarlo ya que esta alojado en otro dominio. Sin embargo al ponerlo en la barra de direcciones esto no cambia nada en la pagina actual (nada internamente) pero si, le dice a tu navegador que haga tal cosa y tal cosa automáticamente en la pagina en la que estas.




Saludos

lo hacen porque es mas facil usar ing social que encontrar un xss... lo que hace el script es aprovechar la variable "feed_info" de la aplicacion de facebook "opiniones" para crear un hypervinculo a alguno de los dominios que usan y lo publica en el muro de tus "friends" en facebook para propagarse como un "xss worm"...

claro, pero como dije, es mas facil usar ing social que encontrar un xss...

saludos  ;-)

Gracias! se me fueron las dudas, este spam que hablo es el del boton no me gusta, y por lo que lei en el codigo que esta en otra web, q es a la que llama no hace nada malo, solo hace spam, una boludez xD