У Вас есть один вопрос? - Тогда задайте его тут! new!

Вопрос по безопасности джона. Тут просто небольшой спор вышел.
Я например захожу на сайт на джоне. Прохожу авторизацию. Полазил по нем. Вышел на главную. Перешел в закладки в опере мини и зашел на главную другого сайта. А там стоит сниффер. Может ли он взять мою сессию с сайта на джоне? Чтобы тот кто его поставил перейдя по ссылке в строке запроса сниффера попал на мою учетную запись на сайте джона?

Мне кажется сможет если ты на тот сайт перейдёшь сразу с этого,т.е. не заходя в закладки.

Antares, Как? Угнать аккаунт/сессию возможно в следующих случаях:
ID сессии передаётся в URL и ты по неосторожности скинул линк вместе с идентификатором сессии. Такое сейчас очень редко можно встретить и уж тем более не здесь.
Второй вариант -- спалить ссылку на автологин, что тоже маловероятно. Здесь автологин уже сто лет как выпилили.
Ну и наверное последний -- найти xss и внедрить какой-либо код, будь то js, будь то просто html, с помощью которого будет отправляться запрос на сниффер с куками посетителя.
Но тут надо постараться, чтобы угнать еще и пароль. XSS на ждоне нет. Разве что только в дырявых модах.
Скорее всего возможны и ещё варианты.

reaper, Обычная ситуация. Например я со своего сайта на джоне перехожу по ссылке прямой на другой сайт. Там стоит сниффер. Возможно ли так угнать сессию? Я думаю что это невозможно.

~РайСкиЙ~, Нет же. Повторюсь. Чтобы угнать сессию, нужно заполучить куку. Чтобы заполучить куку, надо отправить запрос на сниффер с любой страницы этого сайта. Что бы отправить запрос, нужно найти XSS.

~РайСкиЙ~, https://ru.wikipedia.org/wiki/ ... D0%B3

reaper, Хорошо. Теперь еще один вариант. Есть страница на сайте. Там сто процентов есть XSS. Но код сниффера разумеется там не установлен. Переход с такой заведомо дырявой страницы на сайт с установленным сниффером уведет сессию?

~РайСкиЙ~, Зависит от того, что находится в ссылке. Если там реально твой токен/пароль, то лучше этого не делать.
Я не думаю, что кто-то стал бы церемонится и оставлять выбор жертве.
Гораздо надёжнее внедрить какую-либо пикчу размером 1x1px или ещё что-то, что позволит сделать запрос без ведома юзера.

reaper, я про джон. Такая дырявая страница на джоне. Переход идет с нее на сайт со сниффером.

Вот пример эксплойта и его использования http://habrahabr.ru/post/149134/