Компания WhiteHat Security опубликовала (http://www.darkreading.com/security/app-security/showArticle...) результаты исследования безопасности web-сайтов в сети. В соответствии с представленным отчетом, программное обеспечение 63% исследованных сайтов крупных компаний содержат по меньшей мере одну критическую или опасную уязвимость. При этом в среднем на один сайт приходится 7 неисправленных проблем безопасности, среди которых лидируют уязвимости  позволяющие осуществить межсайтовый скриптинг (подвержено 65% сайтов) и ошибки приводящие к утечке информации (47% сайтов).

Около 30% сайтов содержат ошибки, позволяющие формировать подставной контент (spoofing), 18% имеют проблемы с авторизацией пользователей, 17% позволяют осуществлять подстановку SQL кода, 14% размещают скрытые ресурсы в предсказуемых местах, 11% допускают перехват сессий, 11%  подвержены CSRF (cross-site request forger) атакам.

URL: http://www.darkreading.com/security/app-security/showArticle...
Новость: http://www.opennet.me/opennews/art.shtml?num=21864

• 63% web-сайтов содержит опасные уязвимости,Аноним, 22:29 , 23-Май-09
  • 63% web-сайтов содержит опасные уязвимости,Michael, 23:15 , 23-Май-09
    • 63% web-сайтов содержит опасные уязвимости,аноним, 11:43 , 24-Май-09
      • 63% web-сайтов содержит опасные уязвимости,Ivan, 02:49 , 25-Май-09
• 63% web-сайтов содержат опасные уязвимости,user, 00:28 , 24-Май-09
  • 63% web-сайтов содержат опасные уязвимости,70, 09:45 , 24-Май-09

интересно как они проводили исследование, какой инструмент использовали?

>интересно как они проводили исследование, какой инструмент использовали?

я думаю, они зарабатывают аудитом сайтов и просто обобщили свою практику

я думаю что они могли использовать базу с любого сайта безопасности по уязвимостям и просто просканить у кого какой варез стоит. Не секрет же что многие используют готовые CMS, опятьже могу стоять старые версии php и д.т. А чтобы найти дырку в самописном софте, это надо исследовать сайт вдоль и поперек, не думаю что они затрачивали на это силы.

Был бы смешно, если бы не было страшно, но многие хостинг-провайдеры держат давно устаревший софт (в частности PHP) (в новых minor-версиях которого уже исправлены сотни ошибок и уязвимостей) под предлогом того, что он испытан и стабилен.

Чтобы узнать о результатах XSS атаки, нужен реальный взлом, => массовый хакинг. Но не это волнует... лучше бы сообщили как и при каких обстоятельствах достигли такого результата, иначе нахер статистика, если не знаешь где именно проблема.

Зато теперь ты будешь внимательнее ;)