Ковши, гидромолоты, гидроножницы, быстросъёмные системы. Собственное производство, сервис и склад.
Ответим в течение 20 минут.
reschke.ru
такая ссылка не существует — и это не отговорка, а результат полного перебора (таблица ниже).
Проверено живым браузером и запросами, а не рассуждением.
Браузер, мессенджер и почтовый клиент всегда кодируют кавычку в ссылке: вместо "
отправляется %22. Сервер вставляет в страницу уже закодированное значение,
и кавычка не может закрыть атрибут. Проверено настоящим Chrome: маркер с %22
в параметре ?u= выводится как %22 и разметкой не становится.
Разрыв атрибута виден только при сыром запросе — когда кавычка уходит на сервер как есть,
без кодирования браузером (например, запрос из скрипта или из консоли). Тогда в скрытом поле
получается value="https://reschke.ru/zzq1"b/q2/" — атрибут разорван.
Но превратить это в кликабельную ссылку для жертвы нельзя: браузер закодирует кавычку.
Значит это дефект кодирования, а не рабочий вектор для рассылки.
| Способ обойти кодирование | Результат |
|---|---|
20 имён параметров с закодированной кавычкой (?a=, ?q=, ?search=, ?backurl=, ?goto= и т.д.) на reschke.ru и reschke.ltd | ни один: разметка не появляется |
39 имён параметров на «раскодирует ли сервер» (значение ZZ%22QQ) | сервер не раскодирует вообще ни один |
HTML-сущность " вместо кавычки | остаётся текстом внутри значения |
двойное кодирование (%2522) | остаётся текстом |
| кавычка в пути адреса, а не в параметре | 404, отражения нет |
| переход по редиректу с нашего сервера (как это делает мессенджер) | Chrome кодирует кавычку на выходе — эффекта нет |
| поиск, логин, формы, berti, служебные точки (/bitrix/rk.php, /go/, /link/, api/search) | либо 404, либо значение экранируется |
Вывод: на «Решке Рус» такой ссылки не существует. Не «пока не нашёл» — перебрал все разумные способы, и упирается в одно: сервер «Решке» не раскодирует адрес, а браузер всегда кодирует кавычку. Двух этих фактов вместе достаточно, чтобы схема не работала ни при какой формулировке ссылки.
На wearblade.ru. Там вставка проходит в трёх местах и срабатывает из браузера:
я открыл ссылку с маркером, и браузер выполнил вставленный код — заголовок вкладки изменился на
заданный мной. Это и есть настоящая рабочая ссылка, которую можно отправить человеку.
Проверено, ничего не изменено на сервере, никакие данные не читались.
| Сайт | Сырой запрос | Кликабельная ссылка | Что из этого следует |
|---|---|---|---|
| reschke.ru | атрибут рвётся | нет (браузер кодирует) | дефект кодирования, не вектор рассылки |
| reschke.ltd | атрибут рвётся | нет (браузер кодирует) | то же |
| kovshi-reschke.ru | нет | нет | поля нет |
| wearblade.ru | да | да, работает | реальный рабочий сценарий |
Ссылки ниже открывают этот же стенд с «полезной нагрузкой» в параметре — как если бы шаблон выводил её без экранирования. Первая просто рисует чужой телефон вместо настоящего, вторая ещё и убирает форму заявки:
Для «Решке Рус» рабочий сценарий рассылки — не ссылка на их домен с подменой страницы. Рабочие сценарии там: поддельное письмо (домен без DMARC) и забытый WordPress на berti с открытым логином администратора. А сама вставка кода на reschke.ru остаётся дефектом, который надо закрыть, — но пугать владельца «клиенты получат подменённую страницу» нельзя, пока это не доказано.