Passwortklau durch preventDefault()
Passwortklau durch preventDefault() (Bild: Neophasis)

Browser preventDefault() ermöglicht Passwortklau

Mit einem einfachen Trick ist es möglich, Nutzern Passwörter zu entlocken, zeigt der Blogger h43z. Er nutzt dazu ein von Neophasis zuvor entdecktes Problem, das durch die Standard-DOM-Methode preventDefault() in allen Browsern besteht.

Anzeige

Bereits Mitte November hat das auf mobile Sicherheit spezialisierte Unternehmen Neophasis darauf hingewiesen, dass sich die DOM-Methode preventDefault() missbrauchen lässt. Die in allen Browsern implementierte Methode sorgt dafür, dass der Browser die eigentlich für ein Ereignis vorgesehenen Funktionen nicht ausführt. Entwickler können das Standardverhalten von Browsern ändern, beispielsweise, um auf einen Rechtsklick zu reagieren, ohne dass das Kontextmenü des Browsers angezeigt wird.

Mit preventDefault() kann allerdings auch das Standardverhalten von Tastenkombinationen geändert werden, beispielsweise "Strg + F" oder "Kommando + F", womit in aller Regel eine lokale Suche innerhalb einer Webseite angestoßen wird. Neophasis warnt nun, dieses Verhalten könnten Angreifer ausnutzen, um einen gefälschten Suchdialog einzublenden und so Nutzern ihre Sucheingaben zu stehlen.

Der Blogger h43z hat die Idee nun beispielhaft umgesetzt. Er zeigt auf einer Webseite eine Liste von Passwörtern, so dass Nutzer die Suchfunktion nutzen können, um herauszufinden, ob auch ihr Passwort darin enthalten ist. Sobald Nutzer ihr Passwort in die vermeintlich lokale Suchfunktion des Browsers eingeben, hat der Angreifer Zugriff darauf.

Der Blogger weist aber darauf hin, dass sich der Suchdialog der Browser unterscheidet, was seine Demo noch nicht tut.

Neophasis rät Browserherstellern, ihre Suchdialoge aus dem Content-Bereich herauszunehmen, so dass Angreifer diese nicht mehr täuschend echt nachahmen können. Alternativ könnten Browser auch darauf hinweisen, wenn eine Website die Methode preventDefault() im Zusammenhang mit einer vom Browser belegten Tastenkombination aufruft.


derVerzweifler 05. Dez 2012

Willst du mir ernsthaft unterstellen, dass ich das Vorgehen nicht verstehe? Hast du...

Ovaron 05. Dez 2012

True Story: Schulkamerad hat in einer Firma gearbeitet die Geldautomaten repariert. Er...

lear 05. Dez 2012

Beim vorgestellten Ansatz soll der Nutzer davon ausgehen, das er das PW lokal eingibt...

FibreFoX 04. Dez 2012

Ich kann ja verstehen, dass dies eine Art Risiko darstellt, wenn Tastenkürzel abgegriffen...

azeu 04. Dez 2012

Wenn es auf der Seite um vermeintlich geknackte FB-Passwörter geht, dann weiß der Hacker...

Kommentieren



Anzeige

  1. Traineeprogramm mit dem Schwerpunkt IT
    EWE Aktiengesellschaft, Oldenburg
  2. AMG User Interface Design (m/w)
    Daimler AG, Affalterbach
  3. IT-Administrator/-in
    Gehring Technologies GmbH, Ostfildern
  4. SW-Requirements-Manager (m/w)
    Daimler AG, Kirchheim

 

Detailsuche


Top-Angebote
  1. VORBESTELLBAR: Terminator 2 - Limited Steel Edition [Blu-ray]
    21,58€ (Vorbesteller-Preisgarantie) - Release 02.07.
  2. NEU: Gravity - Diamond Luxe Edition [Blu-ray] [Limited Edition]
    10,50€
  3. TIPP: Inno3D GeForce GTX 960 iChill X3 Air Boss Ultra
    mit Gutscheincode boss960ultra nur 191,91€ statt 224,90€ (Preis wird erst im letzten...

 

Weitere Angebote


Folgen Sie uns
       


  1. Die Woche im Video

    Ein Zombie, Insekten und Lollipop

  2. Star Wars Battlefront

    Planetenkampf vor dem Erwachen der Macht

  3. Geodaten

    200 Beschäftigte verpixelten Google-Street-View-Häuser

  4. Windkraftwerke

    Kletterroboter überprüft Windräder

  5. Inside Abbey Road

    Mit Google durch das berühmteste Musikstudio der Welt

  6. ÖBB

    WLAN im Spaceshuttle einfacher zu machen als im Zug

  7. Google

    Chrome unterstützt Windows XP bis Ende 2015

  8. Kernel

    GNU Hurd 0.6 erschienen

  9. Highway Star

    Wikos Alu-Smartphone kostet 370 Euro

  10. MM1

    VR-Stuhl mit Fünf-Punkte-Gurt



Haben wir etwas übersehen?

E-Mail an news@golem.de



Raspberry Pi im Garteneinsatz: Wasser marsch!
Raspberry Pi im Garteneinsatz
Wasser marsch!
  1. Onion Omega Preiswertes Bastelboard für OpenWrt
  2. GCHQ Bastelnde Spione bauen Raspberry-Pi-Cluster
  3. MIPS Creator CI20 angetestet Die Platine zum Pausemachen

Axiom Verge im Test: 16 Bit für Genießer
Axiom Verge im Test
16 Bit für Genießer
  1. Alienation angespielt Zerstörungsorgie von den Resogun-Machern
  2. Test Mushroom Men Der Knobelpilz und die dicke Prinzessin
  3. The Witness Ex-Indie-Millionär nimmt Kredit für nächstes Projekt auf

Fuzzing: Wie man Heartbleed hätte finden können
Fuzzing
Wie man Heartbleed hätte finden können
  1. Fehlersuche LLVM integriert eigenes Fuzzing-Werkzeug
  2. Mozilla Firefox 37 bringt Zertifikatsperren und Nutzerfeedback
  3. IT-Sicherheit Regierung fördert Forschung mit 180 Millionen Euro

  1. Re: Eigentlich kann man mit diesem Quatsch mal...

    Der Held vom... | 10:41

  2. Wo liegt das Problem?

    HaMa1 | 10:36

  3. Re: Einfach selber Fotos machen!

    Mingfu | 10:34

  4. Re: Selbst wenn man 100mbit hätte

    plutoniumsulfat | 10:33

  5. Re: Smartgrid&Smartmeter unabdingbar für die...

    robinx999 | 10:32


  1. 09:01

  2. 20:53

  3. 19:22

  4. 18:52

  5. 16:49

  6. 16:35

  7. 15:14

  8. 14:53


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel