Abo
  • Services:
Anzeige
Mit wenigen Zeilen Javascript kann im Safari-Browser eine gefälscte Webseite mit einer legitimen Webadresse anzeigen.
Mit wenigen Zeilen Javascript kann im Safari-Browser eine gefälscte Webseite mit einer legitimen Webadresse anzeigen. (Bild: Deusen)

Safari: URL-Spoofing per Javascript

Mit wenigen Zeilen Javascript kann im Safari-Browser eine gefälscte Webseite mit einer legitimen Webadresse anzeigen.
Mit wenigen Zeilen Javascript kann im Safari-Browser eine gefälscte Webseite mit einer legitimen Webadresse anzeigen. (Bild: Deusen)

In Apples Browser Safari lässt sich mit wenig Javascript eine andere URL anzeigen als die tatsächlich angesurfte. So könnten Benutzer unwissentlich auf eine Webseite mit Malware umgeleitet werden.

Anzeige

Mit ein paar Zeilen Javascript können Anwender von Apples Browser Safari getäuscht werden: In der URL-Zeile könnte eine vertrauenswürdige Webseite angezeigt werden, während eigentlich eine nachgebildete Seite mit Malware oder einem Login geladen wird.

  • Unter Safari wird mit dem Javascript in der URL-Zeile eine vertrauenswürdige Webadresse angezeigt, die sichtbare Webseite muss es aber nicht sein. (Screenshot: Golem.de)
  • Unter Firefox funktioniert dieser Trick nicht.  (Screenshot: Golem.de)
Unter Safari wird mit dem Javascript in der URL-Zeile eine vertrauenswürdige Webadresse angezeigt, die sichtbare Webseite muss es aber nicht sein. (Screenshot: Golem.de)


Der Machbarkeitsnachweis ist auf der speziell dafür eingerichteten Webseite Deusen.co.uk zu sehen. Mit einem Klick auf OK wird eine weitere Webseite geladen, deren URL auf die Webseite der Publikation Daily Mail weist. Zu sehen ist allerdings nur eine Mitteilung, dass es sich nicht um den Webauftritt der Publikation handelt.

Das Spoofing erledigt nur wenige Zeilen Javascript:

function f()
{
location="http://www.dailymail.co.uk/home/index.html?random="+Math.random();
}
setInterval("f()",10);

Auf die legitime Webseite sollte eigentlich über Location weitergeleitet werden. Die Funktion Math.random() verhindert jedoch das Laden der legitimen Webseite, weil Safari stattdessen die entsprechenden kryptografischen Berechnungen weiterleitet und so das Laden dessen Inhalts verhindert. Die aktuelle URL-Zeile wird über setInterval alle 10 Millisekunden aufgefrischt. Streng genommen, handelt es sich dabei auch um einen DDoS-Angriff auf die vertrauenswürdige Webseite.

Getestet haben wir die Spoofing-Seite unter der aktuellen Version 8.0.6 von Safari auf einem Macbook Air und einem Macbook Pro. Nach einer Weile brach das Skript jedoch ab und leitete auf Daliy Mail weiter. Auf einem iPad mit iOS 8.3 funktionierte das Spoofing ebenfalls, allerdings flackert die Anzeige in der URL-Zeile deutlich, was ebenfalls auf ein Problem hinweisen könnte. In den Einstellungen in Safari lässt sich unter "Erweitert", die Option "Vollständige Webadresse anzeigen" aktivieren. Dann zeigt der Browser in der URL-Zeile die Ergebnisse der Funktion MathRandom an.

In Googles Chrome und Mozillas Firefox funktioniert der Code unter Mac OS X nicht.


eye home zur Startseite
Ext3h 20. Mai 2015

Stimmt inhaltlich übrigens immer noch nicht. Der Fehler ist schlichtweg, dass Safari die...

Ext3h 20. Mai 2015

Der Safari ist etwas "übereifrig" mit dem Aktualisieren der Adresszeile. Die anderen...

NeoTiger 20. Mai 2015

Hallo golem.de, Hättet ihr im Code nicht eine Fake-Addresse verwenden können? Hier sind...

grain 20. Mai 2015

nope, history.pushState() bzw. history.replaceState geht nur wenn die URL auf die gleiche...

limasign 19. Mai 2015

Also bei mir läufts auch ne Minute lang. Wie lang ist genau "eine Weile"?



Anzeige

Stellenmarkt
  1. Ratbacher GmbH, Coburg
  2. MediaMarktSaturn Retail Concepts, Ingolstadt
  3. Fresenius Kabi Deutschland GmbH, Bad Homburg
  4. OPERATIONAL SERVICES GMBH & CO. KG, Frankfurt


Anzeige
Hardware-Angebote
  1. 56,08€ (Vergleichspreis ab ca. 65€)
  2. 18,99€ statt 39,99€

Folgen Sie uns
       


  1. Gruppenchat

    Skype for Business wird durch Microsoft Teams ersetzt

  2. Teardown

    iFixit findet größeren Akku in Apple Watch Series 3

  3. Coffee Lake

    Intel verkauft sechs Kerne für unter 200 Euro

  4. MacOS 10.13

    Apple gibt High Sierra frei

  5. WatchOS 4.0 im Test

    Apples praktische Taschenlampe mit autarkem Musikplayer

  6. Werksreset

    Unitymedia stellt Senderbelegung heute in Hessen um

  7. Aero 15 X

    Mehr Frames mit der GTX 1070 im neuen Gigabyte-Laptop

  8. Review Bombing

    Valve verbessert Transparenz bei Nutzerbewertungen auf Steam

  9. Big Four

    Kundendaten von Deloitte offenbar gehackt

  10. U2F

    Yubico bringt winzigen Yubikey für USB-C



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Parkplatz-Erkennung: Bosch und Siemens scheitern mit Pilotprojekten
Parkplatz-Erkennung
Bosch und Siemens scheitern mit Pilotprojekten
  1. Community based Parking Mercedes S-Klasse liefert Daten für Boschs Parkplatzsuche

Optionsbleed: Apache-Webserver blutet
Optionsbleed
Apache-Webserver blutet
  1. Apache-Sicherheitslücke Optionsbleed bereits 2014 entdeckt und übersehen
  2. Open Source Projekt Oracle will Java EE abgeben

Lenovo Thinkstation P320 Tiny im Test: Viel Leistung in der Zigarrenschachtel
Lenovo Thinkstation P320 Tiny im Test
Viel Leistung in der Zigarrenschachtel
  1. Adware Lenovo zahlt Millionenstrafe wegen Superfish
  2. Lenovo Smartphone- und Servergeschäft sorgen für Verlust
  3. Lenovo Patent beschreibt selbstheilendes Smartphone-Display

  1. Re: ¤3000 bei ¤70k.... macht keinen grossen...

    FreierLukas | 07:39

  2. Re: 67W im Idle - Aua

    ArcherV | 07:34

  3. Re: Wahlkampf von Flüchtlingspolitik geprägt und...

    Eheran | 07:21

  4. Re: Zusammenhang Dateisystem und Anwendung

    RaZZE | 07:21

  5. Re: Das ist schon heftig.

    RaZZE | 07:20


  1. 07:51

  2. 07:23

  3. 07:08

  4. 19:40

  5. 19:00

  6. 17:32

  7. 17:19

  8. 17:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel