Можно ли использовать скрипт до загрузки DOM

Ну к разработчикам движка уже обращались и они что сказали?

А так не помочь тут JS

Любой адекватный движок пропустит ссылку не "на изображение". Главное что-бы это была ссылка. А ссылки на изображения разные бывают. В чем тут xss? Или, если будет окончание .jpg от этого что-нибудь изменится?

Мда... В печальную ситуацию я попал.

XSS в том, что пропустило ссылку на "не изображение". Я понимаю, что картинки могут разные ссылки иметь, но в моих наивных мечтах браузеры хотя бы проверяют хедер того, что потом откроется по ссылке, на нужный файлтайп (уж коли они все равно его грузят полностью). Хотя, наверное, и это можно подменить.

Боюсь, они ответят на мое письмо не раньше, чем дедушка Мороз, которому я писал еще в дошкольном возрасте.

[OFFTOP]В большинстве компаний (начиная моим интернет-провайдером или моим банком, и заканчивая разработчиками этого самого движка) та часть саппорта, которая должна была бы отвечать на действительно сложные вопросы, обычно бухает вместе с лепреконами и единорогами где-то в Неверленде. Им всегда было не до моих писем.

Уж коли довелось жить в такой стране, то покупай кожаную куртку без одного рукава, заводи верную собаку, и разруливай все проблемы либо самостоятельно... либо с другими выжившими... [говорит голосом "переводчика из 90-х"] В этой стране, парень, я не могу рассчитывать ни на правительство, ни на военных, ни, тем более, на помощь этих говнюков из корпораций.[/OFFTOP]

У вас только 1 путь, это загружать картинки себе на сервак. В других случаях, даже этот форум пропускает всё :)

index.php

<?php

ob_start();

include 'index_old.php';

$content = ob_get_contents() ;

//ищем все img src без расширений (jpg, jpeg etc)

echo $content;

ps Как быть с такого вида ссылками /index.php?action=dlattach;attach=7109;image?

http://rutracker.org/forum/viewtopic.php?t=469753

http://rutracker.org/forum/viewtopic.php?t=4220699

http://rutracker.org/forum/viewtopic.php?t=4228361

Вот можно почитать для ознакомления.

Единственный вариант - лить картинки себе, как делают это большинство крупных сайтов..

<?php
ob_start();
include 'index_old.php';
$content = ob_get_contents() ;
//ищем все img src без расширений (jpg, jpeg etc)
echo $content;

Помимо whitelist'a неплохо было бы сделать проверку наличия перед расширением точки и отсутствие внутри get-параметров. А то ведь "http://evil_site/evil_shit.js?var=.jpg" прекрасно исполняет содержимое http://evil_site/evil_shit.

Да и вообще, можно похабрить и найти ссылки на отличные классы защиты, хотя и там, судя по комментам, ничего совершенного нет, и действительно в конечном счете можно только лить картинки на себя. А в моем случае — действовать по примеру рутракера, т.е. банить всех, кто будет замечен за распространением заразы, а в паблике стараться своевременно чистить заразу руками.

NerZool, а что значит исполняет содержимое? Кто исполняет и что исполняет?

Нормальная защита - загружать картинки к себе на сервер или разрешить только с доверенных хостов.