Passwortklau durch preventDefault()
Passwortklau durch preventDefault() (Bild: Neophasis)

Browser preventDefault() ermöglicht Passwortklau

Mit einem einfachen Trick ist es möglich, Nutzern Passwörter zu entlocken, zeigt der Blogger h43z. Er nutzt dazu ein von Neophasis zuvor entdecktes Problem, das durch die Standard-DOM-Methode preventDefault() in allen Browsern besteht.

Anzeige

Bereits Mitte November hat das auf mobile Sicherheit spezialisierte Unternehmen Neophasis darauf hingewiesen, dass sich die DOM-Methode preventDefault() missbrauchen lässt. Die in allen Browsern implementierte Methode sorgt dafür, dass der Browser die eigentlich für ein Ereignis vorgesehenen Funktionen nicht ausführt. Entwickler können das Standardverhalten von Browsern ändern, beispielsweise, um auf einen Rechtsklick zu reagieren, ohne dass das Kontextmenü des Browsers angezeigt wird.

Mit preventDefault() kann allerdings auch das Standardverhalten von Tastenkombinationen geändert werden, beispielsweise "Strg + F" oder "Kommando + F", womit in aller Regel eine lokale Suche innerhalb einer Webseite angestoßen wird. Neophasis warnt nun, dieses Verhalten könnten Angreifer ausnutzen, um einen gefälschten Suchdialog einzublenden und so Nutzern ihre Sucheingaben zu stehlen.

Der Blogger h43z hat die Idee nun beispielhaft umgesetzt. Er zeigt auf einer Webseite eine Liste von Passwörtern, so dass Nutzer die Suchfunktion nutzen können, um herauszufinden, ob auch ihr Passwort darin enthalten ist. Sobald Nutzer ihr Passwort in die vermeintlich lokale Suchfunktion des Browsers eingeben, hat der Angreifer Zugriff darauf.

Der Blogger weist aber darauf hin, dass sich der Suchdialog der Browser unterscheidet, was seine Demo noch nicht tut.

Neophasis rät Browserherstellern, ihre Suchdialoge aus dem Content-Bereich herauszunehmen, so dass Angreifer diese nicht mehr täuschend echt nachahmen können. Alternativ könnten Browser auch darauf hinweisen, wenn eine Website die Methode preventDefault() im Zusammenhang mit einer vom Browser belegten Tastenkombination aufruft.


derVerzweifler 05. Dez 2012

Willst du mir ernsthaft unterstellen, dass ich das Vorgehen nicht verstehe? Hast du...

Ovaron 05. Dez 2012

True Story: Schulkamerad hat in einer Firma gearbeitet die Geldautomaten repariert. Er...

lear 05. Dez 2012

Beim vorgestellten Ansatz soll der Nutzer davon ausgehen, das er das PW lokal eingibt...

FibreFoX 04. Dez 2012

Ich kann ja verstehen, dass dies eine Art Risiko darstellt, wenn Tastenkürzel abgegriffen...

azeu 04. Dez 2012

Wenn es auf der Seite um vermeintlich geknackte FB-Passwörter geht, dann weiß der Hacker...

Kommentieren



Anzeige

  1. IT System- und Anwendungsbetreuer (m/w)
    PETER HAHN GmbH, Winterbach bei Stuttgart
  2. Service Desk Mitarbeiter/in
    Fraunhofer-Gesellschaft zur Förderung der angewandten Forschung e.V., St. Augustin
  3. System Administrator Helpdesk (m/w)
    Schwäbische Hüttenwerke Automotive GmbH, Bad Schussenried
  4. SAP-FI/CO-Inhouse-Berater (m/w)
    Zott SE & Co. KG, Mertingen Raum Augsburg

 

Detailsuche


Blu-ray-Angebote
  1. NEU: Planes + Planes 2 Doppelpack [Blu-ray]
    9,97€
  2. TIPP: Breaking Bad - Die komplette Serie (Digipack) [Blu-ray]
    77,00€
  3. Verrückt nach Mary/Love Vegas [Blu-ray]
    7,97€

 

Weitere Angebote


Folgen Sie uns
       


  1. One Earth Message

    Bilder und Töne für Außerirdische

  2. Tropico 5

    Espionage mit El Presidente

  3. Tessel

    Offenes Entwicklerboard soll wie Io.js verwaltet werden

  4. Hack auf Datingplattform

    Sexuelle Vorlieben von Millionen Menschen veröffentlicht

  5. Angriff auf kritische Infrastrukturen

    Bundestag, bitte melden!

  6. Mark Shuttleworth

    Canonical erwägt offenbar Börsengang

  7. Amazon

    Fire TV Stick für 29 Euro

  8. Umfrage

    US-Bürger misstrauen Regierung beim Umgang mit Daten

  9. Mozilla

    Firefox personalisiert Werbung mit Browserverlauf

  10. Tracking auf Unternehmensseiten

    Verbraucherschützern gefällt der Gefällt-mir-Knopf nicht



Haben wir etwas übersehen?

E-Mail an news@golem.de



FBI-Untersuchung: Hacker soll Zugriff auf Flugzeugtriebwerke gehabt haben
FBI-Untersuchung
Hacker soll Zugriff auf Flugzeugtriebwerke gehabt haben
  1. Identitätsdiebstahl Gesetz zu Datenhehlerei könnte Leaking-Plattformen gefährden
  2. NetUSB Schwachstelle gefährdet zahlreiche Routermodelle
  3. MSpy Daten von Überwachungssoftware veröffentlicht

Windows 10 IoT Core angetestet: Windows auf dem Raspberry Pi 2
Windows 10 IoT Core angetestet
Windows auf dem Raspberry Pi 2
  1. Kleinstrechner Preise für das Raspberry Pi B+ gesenkt
  2. Artik Samsung stellt Bastelcomputer-Serie vor
  3. Hummingboard angetestet Heiß und anschlussfreudig

Yubikey: Nie mehr schlechte Passwörter
Yubikey
Nie mehr schlechte Passwörter
  1. Cyberangriff im Bundestag Ausländischer Geheimdienst soll Angriff gestartet haben
  2. Torrent-Tracker Eztv-Macher geben wegen feindlicher Übernahme auf
  3. Arrows NX F-04G Neues Fujitsu-Smartphone scannt die Iris

  1. Re: Politische Inhalte von Star Trek

    MK899 | 21:05

  2. Klingt wie...

    triplekiller | 21:05

  3. Re: Beschleunigungsstreifen

    crazypsycho | 21:04

  4. Re: Früher gerne, heute Protest gegen EA

    exxo | 21:01

  5. Re: War der deutsche Bundestag nicht noch...

    Mixermachine | 20:59


  1. 18:43

  2. 15:32

  3. 15:26

  4. 15:09

  5. 14:21

  6. 14:08

  7. 13:54

  8. 13:44


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel