Most Things Web

SEO and Web Security since 2006

Hacking Extrem – „Heise Security“ demonstriert Cross-Site-Scripting [Update]

von · Veröffentlicht · Aktualisiert

Ich bin mal hier ganz sprachlos. Und irgendwie auch belustigt. meingottundmeinewelt.de hat sich mal die Anmeldeseite von „Hacking Extrem – Web-Applikationen“ der iX etwas genauer angeschaut. Immerhin kann man sich hier für ein Tutorial zur Websicherheit anmelden, für läppische 3000 Euro. Muss gut sein!

Was er dort fand, war ein Paradebeispiel von Site-Defacement mit Hilfe eines einfachen Cross-Site-Scripting-Angriffs. Durch die einfache Änderung eines öffentlichen GET-Parameters, kann die Überschrift des Anmeldeformulars beliebig geändert werden!

Auch bei mir der Beweis, solange das geht ;)

Weitere Details gibt es auf meingottundmeinewelt.de.

[UPDATE]

Heise hatte zumindest schon einmal ein XSS-Problem. Laut dem Entdecker morph3us.org blieb damals die Lücke über ein halbes Jahr lang bestehen.

Themenverwandt:

  1. Cross Site Scripting trotz htmlentities() [UPDATE] (14.8) Die PHP-Funktion htmlentities() soll vor Cross Site Scripting Angriffen schützen,...
  2. CSS / XSS – Angriff (Cross Site Scripting) – eine Analyse (10.3) Den vollständigen 1. Teil des Dokumentes unter Creative Common-Lizenz als...
  3. Fortify PHP Webapps against Cross-Site-Scripting (9.6) I’ve been working since 2007 to distill a simple method...
  4. Ausgaben gegen Cross-Site-Scripting sichern (8.8) Diese Anleitung setzt die einfache Installation von SSEQ-LIB auf dem...
  5. [PATCH] PHP Image Gallery „action“ Cross-Site Scripting Vulnerability (7.5) On Secunia: PHP Image Gallery „action“ Cross-Site Scripting Vulnerability A...

Schlagwörter:

Das könnte dich auch interessieren …

Eine Antwort

  1. Michael Schwarz sagt:
    22. Oktober 2008 um 14:42 Uhr   (Bearbeiten)

    Ich fand es lustig das gerade von Heise, die anderen gerne Fehler unter die Nase reiben, solch ein Fehler gemacht wird und dann auch noch bei dem Thema. Da es bei cirosec um „(Advanced)Cross Site Scripting“ geht, können die Jungs und Mädels von Heise evtl. auch noch etwas lernen, die bekommen bestimmt einen Rabatt. ;O)