Abo
  • Services:
Anzeige
Passwortklau durch preventDefault()
Passwortklau durch preventDefault() (Bild: Neophasis)

Browser: preventDefault() ermöglicht Passwortklau

Passwortklau durch preventDefault()
Passwortklau durch preventDefault() (Bild: Neophasis)

Mit einem einfachen Trick ist es möglich, Nutzern Passwörter zu entlocken, zeigt der Blogger h43z. Er nutzt dazu ein von Neophasis zuvor entdecktes Problem, das durch die Standard-DOM-Methode preventDefault() in allen Browsern besteht.

Bereits Mitte November hat das auf mobile Sicherheit spezialisierte Unternehmen Neophasis darauf hingewiesen, dass sich die DOM-Methode preventDefault() missbrauchen lässt. Die in allen Browsern implementierte Methode sorgt dafür, dass der Browser die eigentlich für ein Ereignis vorgesehenen Funktionen nicht ausführt. Entwickler können das Standardverhalten von Browsern ändern, beispielsweise, um auf einen Rechtsklick zu reagieren, ohne dass das Kontextmenü des Browsers angezeigt wird.

Anzeige

Mit preventDefault() kann allerdings auch das Standardverhalten von Tastenkombinationen geändert werden, beispielsweise "Strg + F" oder "Kommando + F", womit in aller Regel eine lokale Suche innerhalb einer Webseite angestoßen wird. Neophasis warnt nun, dieses Verhalten könnten Angreifer ausnutzen, um einen gefälschten Suchdialog einzublenden und so Nutzern ihre Sucheingaben zu stehlen.

Der Blogger h43z hat die Idee nun beispielhaft umgesetzt. Er zeigt auf einer Webseite eine Liste von Passwörtern, so dass Nutzer die Suchfunktion nutzen können, um herauszufinden, ob auch ihr Passwort darin enthalten ist. Sobald Nutzer ihr Passwort in die vermeintlich lokale Suchfunktion des Browsers eingeben, hat der Angreifer Zugriff darauf.

Der Blogger weist aber darauf hin, dass sich der Suchdialog der Browser unterscheidet, was seine Demo noch nicht tut.

Neophasis rät Browserherstellern, ihre Suchdialoge aus dem Content-Bereich herauszunehmen, so dass Angreifer diese nicht mehr täuschend echt nachahmen können. Alternativ könnten Browser auch darauf hinweisen, wenn eine Website die Methode preventDefault() im Zusammenhang mit einer vom Browser belegten Tastenkombination aufruft.


eye home zur Startseite
derVerzweifler 05. Dez 2012

Willst du mir ernsthaft unterstellen, dass ich das Vorgehen nicht verstehe? Hast du...

Ovaron 05. Dez 2012

True Story: Schulkamerad hat in einer Firma gearbeitet die Geldautomaten repariert. Er...

lear 05. Dez 2012

Beim vorgestellten Ansatz soll der Nutzer davon ausgehen, das er das PW lokal eingibt...

FibreFoX 04. Dez 2012

Ich kann ja verstehen, dass dies eine Art Risiko darstellt, wenn Tastenkürzel abgegriffen...

azeu 04. Dez 2012

Wenn es auf der Seite um vermeintlich geknackte FB-Passwörter geht, dann weiß der Hacker...



Anzeige

Stellenmarkt
  1. T-Systems International GmbH, Bonn
  2. Plansee Group Service GmbH, Reutte (Österreich)
  3. KNV Logistik GmbH, Erfurt
  4. T-Systems International GmbH, Leinfelden-Echterdingen


Anzeige
Spiele-Angebote
  1. 59,99€ (Vorbesteller-Preisgarantie) - Release 02.08.
  2. 59,99€/69,99€ (Vorbesteller-Preisgarantie)
  3. 49,99€ (Vorbesteller-Preisgarantie)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Mehr dazu im aktuellen Whitepaper von Freudenberg IT
  2. Mehr dazu im aktuellen Whitepaper von IBM
  3. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. China

    Dropbox-Alternative Seafile im Streit mit Mutterkonzern

  2. Verizon Communications

    Yahoo hat einen Käufer gefunden

  3. Deutschland

    Preiserhöhung bei Netflix jetzt auch für Bestandskunden

  4. Künstliche Intelligenz

    Softbank und Honda wollen sprechendes Auto bauen

  5. Alternatives Android

    Cyanogen soll zahlreiche Mitarbeiter entlassen

  6. Update

    Onedrive erstellt automatisierte Alben und erkennt Pokémon

  7. Die Woche im Video

    Ausgesperrt, ausprobiert, ausgetüftelt

  8. 100 MBit/s

    Zusagen der Bundesnetzagentur drücken Preis für Vectoring

  9. Insolvenz

    Unister Holding mit 39 Millionen Euro verschuldet

  10. Radeons RX 480

    Die Designs von AMDs Partnern takten höher - und konstanter



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Dirror angeschaut: Der digitale Spiegel, der ein Tablet ist
Dirror angeschaut
Der digitale Spiegel, der ein Tablet ist
  1. Bluetooth 5 Funktechnik sendet mehr Daten auch ohne Verbindungsaufbau
  2. Smarter Schalter Wenn Github mit dem Lichtschalter klingelt
  3. Tony Fadell Nest-Gründer macht keine Omeletts mehr

Xiaomi Mi Band 2 im Hands on: Fitness-Preisbrecher mit Hack-App
Xiaomi Mi Band 2 im Hands on
Fitness-Preisbrecher mit Hack-App
  1. Xiaomi Hugo Barra verkündet Premium-Smartphone
  2. Redmi 3S Xiaomis neues Smartphone kostet umgerechnet 95 Euro
  3. Mi Band 2 Xiaomis neues Fitness-Armband mit Pulsmesser kostet 20 Euro

Geforce GTX 1060 im Test: Knapper Konter
Geforce GTX 1060 im Test
Knapper Konter
  1. Grafikkarte Nvidia bringt neue Titan X mit GP102-Chip für 1200 US-Dollar
  2. Notebooks Nvidia bringt Pascal-Grafikchips für Mobile im August
  3. Geforce GTX 1060 Schneller und sparsamer als die RX 480 - aber teurer

  1. Re: Netflix ist es wert

    gudixd | 04:12

  2. Re: Ich glaube den Chinesen

    quasides | 02:15

  3. Re: Gut so, hoffentlich bald alle arbeitslos

    Pjörn | 02:08

  4. Re: Der Grund war eindeutig.

    zampata | 01:26

  5. Re: Immer noch kein HBM?

    ms (Golem.de) | 01:05


  1. 15:30

  2. 14:13

  3. 12:52

  4. 15:17

  5. 14:19

  6. 13:08

  7. 09:01

  8. 18:26


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel