Passwortklau durch preventDefault()
Passwortklau durch preventDefault() (Bild: Neophasis)

Browser preventDefault() ermöglicht Passwortklau

Mit einem einfachen Trick ist es möglich, Nutzern Passwörter zu entlocken, zeigt der Blogger h43z. Er nutzt dazu ein von Neophasis zuvor entdecktes Problem, das durch die Standard-DOM-Methode preventDefault() in allen Browsern besteht.

Anzeige

Bereits Mitte November hat das auf mobile Sicherheit spezialisierte Unternehmen Neophasis darauf hingewiesen, dass sich die DOM-Methode preventDefault() missbrauchen lässt. Die in allen Browsern implementierte Methode sorgt dafür, dass der Browser die eigentlich für ein Ereignis vorgesehenen Funktionen nicht ausführt. Entwickler können das Standardverhalten von Browsern ändern, beispielsweise, um auf einen Rechtsklick zu reagieren, ohne dass das Kontextmenü des Browsers angezeigt wird.

Mit preventDefault() kann allerdings auch das Standardverhalten von Tastenkombinationen geändert werden, beispielsweise "Strg + F" oder "Kommando + F", womit in aller Regel eine lokale Suche innerhalb einer Webseite angestoßen wird. Neophasis warnt nun, dieses Verhalten könnten Angreifer ausnutzen, um einen gefälschten Suchdialog einzublenden und so Nutzern ihre Sucheingaben zu stehlen.

Der Blogger h43z hat die Idee nun beispielhaft umgesetzt. Er zeigt auf einer Webseite eine Liste von Passwörtern, so dass Nutzer die Suchfunktion nutzen können, um herauszufinden, ob auch ihr Passwort darin enthalten ist. Sobald Nutzer ihr Passwort in die vermeintlich lokale Suchfunktion des Browsers eingeben, hat der Angreifer Zugriff darauf.

Der Blogger weist aber darauf hin, dass sich der Suchdialog der Browser unterscheidet, was seine Demo noch nicht tut.

Neophasis rät Browserherstellern, ihre Suchdialoge aus dem Content-Bereich herauszunehmen, so dass Angreifer diese nicht mehr täuschend echt nachahmen können. Alternativ könnten Browser auch darauf hinweisen, wenn eine Website die Methode preventDefault() im Zusammenhang mit einer vom Browser belegten Tastenkombination aufruft.


derVerzweifler 05. Dez 2012

Willst du mir ernsthaft unterstellen, dass ich das Vorgehen nicht verstehe? Hast du...

Ovaron 05. Dez 2012

True Story: Schulkamerad hat in einer Firma gearbeitet die Geldautomaten repariert. Er...

lear 05. Dez 2012

Beim vorgestellten Ansatz soll der Nutzer davon ausgehen, das er das PW lokal eingibt...

FibreFoX 04. Dez 2012

Ich kann ja verstehen, dass dies eine Art Risiko darstellt, wenn Tastenkürzel abgegriffen...

azeu 04. Dez 2012

Wenn es auf der Seite um vermeintlich geknackte FB-Passwörter geht, dann weiß der Hacker...

Kommentieren



Anzeige

  1. IT-Administrator (m/w) für den Betrieb von Webapplikationen
    Daimler AG, Stuttgart
  2. Anwendungsbetreuer/in für betriebswirtschaftliche Systeme
    VDI GmbH, Düsseldorf
  3. IT-Service Mitarbeiter (m/w)
    DATAGROUP Köln GmbH, Köln
  4. SAP-Teamleiter (m/w)
    Endress+Hauser Conducta GmbH+Co. KG, Gerlingen

 

Detailsuche


Top-Angebote
  1. Blu-rays je 9,97 EUR
    (u. a. The Purge Anarchy, Ich einfach unverbesserlich 3D, I Am Ali)
  2. NEU: Der Tatortreiniger 3 (Folge 10-13) [Blu-ray]
    9,97€
  3. Blu-rays je 8,97 EUR
    (u. a. The Wolf of Wall Street, 12 Years a Slave, American Hustle, Prisoners)

 

Weitere Angebote


Folgen Sie uns
       


  1. Epic Games

    Unreal Engine mit Quellcode jetzt kostenlos

  2. Projekt Nova

    Google bestätigt Planung eigener Mobilfunktarife

  3. Screamride im Test

    Achterbahn mit Zerstörungsdrang

  4. Sofia und Cherry Trail

    Intels neue Atom-x-Modelle bieten eine dicke Grafikeinheit

  5. Geplante Obsoleszenz

    Ein Viertel aller Flat-TVs wird wegen Defekt ausgetauscht

  6. Europa

    Telekom stellt pro Woche 100.000 Anschlüsse auf All-IP um

  7. Zend

    Experimentelle JIT-Engine für PHP veröffentlicht

  8. Jolla Tablet im Hands on

    Sailfish OS funktioniert auch auf dem Tablet

  9. Imagination Technologies

    Winzige Wearable-GPU und H.265-Einheiten für Smartphones

  10. Biometrie

    Fujitsu zeigt Iris-Scanner mit NIR-Licht für Smartphones



Haben wir etwas übersehen?

E-Mail an news@golem.de



Galaxy S6 und Edge-Variante: Samsungs neue Top-Smartphones im Glaskleid
Galaxy S6 und Edge-Variante
Samsungs neue Top-Smartphones im Glaskleid
  1. Exynos 7 Octa Schneller Prozessor des Galaxy S6 wird in 14 nm gefertigt
  2. Qualcomm-Prozessor LG widerspricht Hitzeproblemen beim Snapdragon 810
  3. Hitzeprobleme Galaxy S6 erscheint ohne Qualcomms Snapdragon 810

Test USB 3.1 mit Stecker Typ C: Die Alleskönner-Schnittstelle
Test USB 3.1 mit Stecker Typ C
Die Alleskönner-Schnittstelle
  1. Mit Stecker Typ C Asrock stattet Intel-Mainboards mit USB-3.1-Karte aus
  2. Datentransfer Forscher schicken 100 GBit/s per Lichtstrahl durch die Luft
  3. USB 3.1 Richtig schnelle Mangelware

Nachruf: Dif-tor heh smusma, Mr. Spock!
Nachruf
Dif-tor heh smusma, Mr. Spock!
  1. Leonard Nimoys Mr. Spock Der außerirdische Nerd
  2. Virtuelle Realität Oculus VR kauft Ingenieure fürs Holodeck

  1. Re: Wie es mich da schon wieder würgt!

    plutoniumsulfat | 21:27

  2. Re: Ich WILL

    fluppsi | 21:27

  3. Re: von wegen nur 200GB

    Quantium40 | 21:27

  4. Re: Lighter than Air (tm)

    Lapje | 21:26

  5. Re: Laufzeit von Fernsehgeräten

    plutoniumsulfat | 21:26


  1. 18:44

  2. 18:40

  3. 18:01

  4. 17:49

  5. 16:40

  6. 16:08

  7. 15:58

  8. 15:57


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel