Окно авторизации при вставке IMG

[Hint]

У пользователей есть возможность вставлять в свои сообщения определенные теги (актуально для форумов, комментариев и т.д.).

Злоумышленники вставляют картинки, которые находятся в закрытой зоне (сервер возвращает 401 Unauthorized); браузер запрашивает у пользователя пароль; неопытный пользователь вводит свои данные; злоумышленники получают логины и пароли. Можно ли как-то от этого защититься? Да, попадаются единицы, но все равно очень критично (не говоря уже о том, что всех остальных всплывающие окна авторизации сильно раздражают). Реально что-нибудь сделать? Или единственное решение - отключение тега img?

Edited March 17, 2010 by Hint

[rus]

У пользователей есть возможность вставлять в свои сообщения определенные теги (актуально для форумов, комментариев и т.д.).

Злоумышленники вставляют картинки, которые находятся в закрытой зоне (сервер возвращает 401 Unauthorized); браузер запрашивает у пользователя пароль; неопытный пользователь вводит свои данные; злоумышленники получают логины и пароли. Можно ли как-то от этого защититься? Да, попадаются единицы, но все равно очень критично (не говоря уже о том, что всех остальных всплывающие окна авторизации сильно раздражают). Реально что-нибудь сделать? Или единственное решение - отключение тега img?

ниче не понял про закрытую зону с имагом, но реально сделать проверку на саму картинку, то есть картинка ли это вообще, на ее расширение и на ее существование.

[s0rr0w]

У пользователей есть возможность вставлять в свои сообщения определенные теги (актуально для форумов, комментариев и т.д.).

Злоумышленники вставляют картинки, которые находятся в закрытой зоне (сервер возвращает 401 Unauthorized); браузер запрашивает у пользователя пароль; неопытный пользователь вводит свои данные; злоумышленники получают логины и пароли. Можно ли как-то от этого защититься? Да, попадаются единицы, но все равно очень критично (не говоря уже о том, что всех остальных всплывающие окна авторизации сильно раздражают). Реально что-нибудь сделать? Или единственное решение - отключение тега img?

При вставке картинки, пробовать стянуть контент. Если ответ http отличный от 200, то удалять код картинки.

[Dimitry Wolotko]

Прикольный, кстати, метод развода.

[s0rr0w]

Пользователи открывают вложения в почте без задней мысли, а это еще не самое плохое.

[Hint]

Вот пример:

удалено

Согласитесь, как минимум раздражает. Странно, что защита от подобных махинаций не предусмотрена стандартами. Неужели не существует решения? Какие-нибудь специальные http заголовки, meta и др.

P. S. Введенные данные не сохраняются на сервере (только в COOKIES). Каждый видит "свою" картинку.

Edited March 22, 2010 by s0rr0w

[hf3]

Как вариант - запретить вставлять картинки со стороны. - Либо собственный маленький хостинг на сайте, либо белый список 10 - 15 самых известных хостингов.