Всё началось с того, что у меня наконец появилась абсолютная необходимость зарегистрировать себе личный Skype для общения с очень капризным англоязычным заказчиком. Буржуй не хотел даже слышать аргументов о том, что Skype плохо подходит для текстовых сообщений. Объяснял и что сообщение в оффлайн нормально не отправить, и Prism с АНБ пытался пугать - ничего так и не помогло.

Ладно, пришлось смириться с обстоятельствами, полез регистрироваться. И вот что я увидел:



Итак, Microsoft убеждает нас, что логин нам просто необходим не короче 6 и не длиннее 32 символов, должен начинаться с буквы и не может содержать ничего кроме букв и цифр. Замечательно, опять эта уникальнейшая забота о пользователях с 5-буквенными никами. Стало немного грустно, но это же Microsoft, подумал я, неужели они вот так вот прямо взяли и сделали фильтрацию логина по белому списку? Да не может такого быть, индусы простой код писать не умеют

Посмотрев на AJAX-запрос для проверки логина, я написал скрипт, который добавлял к моему нику все возможные ASCII-символы по одному и отправлял логин на проверку. Скрипт выдал в лог следующие символы, которые не давали ошибок:
ну и символ перевода строки с шестнадцатеричным кодом 10.

То есть мы можем зарегистрировать себе Skype вида "tavel.", "tavel--", "tavel_._" и т.п., а не только "буквы и цифры", как пытается убедить нас Microsoft.
Странно только почему не фильтруются угловые скобки. Например, проходят валидацию логины "taveltavel<test>" или даже "taveltavel</^%^$&^(&)>", а логин "tavel<test>" скрипт считает слишком коротким, то есть ни длина, ни содержимое угловых скобок при проверке не учитываются. Я уже подумал, что сейчас какую-нибудь активную XSS раскопаю, но меня ждал облом - логины с угловыми скобками валидны только при AJAX-проверке, зарегистрировать их не получится, будет ошибка.

В общем, это конечно не победа, 5-символьный логин я так и не получил, но зарегал довольно сносный ник с точкой на конце:



Возможно, кому-то пригодится эта информация, а кого-то может и натолкнет на дальнейшие исследования. Спасибо за внимание.