Abo
  • Services:
Anzeige
Data-URLs können in verschiedenen Situationen zu Sicherheitsproblemen führen.
Data-URLs können in verschiedenen Situationen zu Sicherheitsproblemen führen. (Bild: Screenshot / Hanno Böck)

Slashes ermöglichen Datenextraktion

Anzeige

Mit diesem Trick, den Venis "Ex File Tration" nennt, lassen sich mittels einer lokalen Flash-Datei Daten aus einem System herausschleusen. Als Venis dieses Problem an das Google-Security-Team meldete, fragte ihn Google-Mitarbeiter Chris Evans, ob es auch möglich sei, diese Methode von einer Webseite aus auszunutzen. Evans verwies dabei auf einen möglichen Angriffsvektor hierfür: Links haben ein Attribut "download" mit einem optionalen Dateinamen, mit dem man den Browser anweisen kann, Dateien direkt herunterzuladen. Den Klick auf den Link kann man mittels Javascript simulieren. Damit gelang es Venis nun auch, diesen Exploit direkt von einer bösartigen Webseite aus auszuführen.

Mittels dieser Download-Links schaffte er es außerdem, Daten von externen Webseiten herunterzuladen und anschließend mit den oben beschriebenen Tricks an eine bösartige Webseite weiterzuleiten. Damit lässt sich dann beispielsweise der Inhalt einer Gmail-Mailbox zunächst lokal als Datei abspeichern und anschließend mittels des Flash-Sandbox-Tricks aus dem System herausschleusen.

Durch die Ausnutzung sogenannter Data-URLs konnte Venis es vermeiden, den Exploit über verschiedene Dateien zu verteilen. Mit diesen URLs der Form data:text/plain;charset=utf-8;base64,YWxlcnQoMSk= lassen sich in Webseiten Daten einbinden, die direkt in der URL codiert sind, sich aber wie eine Datei verhalten. Wie sich herausstellte, läuft ein Flash-Script, das als Data-URL codiert ist, im lokalen Kontext und kann auf das Dateisystem zugreifen.

Data-URLs sind nützlich für Angreifer

Doch die Data-URLs erwiesen sich noch in einem weiteren Fall als nützlich für Angreifer. Wenn man einen Iframe mittels einer Data-URL benutzte und darin wiederum ein Flash-Applet, ebenfalls als Data-URL, dann war die Sandbox-Funktionalität von Flash verwirrt. Das entsprechende Flash-Applet wurde im lokalen Kontext ausgeführt, erhielt also wieder Zugriff auf alle lokalen Dateien.

Dabei fand Venis gleich noch eine weitere Möglichkeit, Daten aus dem lokalen Kontext ins Netz zu senden: Fehlerhafte HTTP-URLs, in denen nur ein Slash genutzt wurde, zum Beispiel http:/www.google.com, korrigiert Chrome automatisch. Vom Flash-Plugin werden solche URLs jedoch als lokale Dateien behandelt.

Venis' Schlussfolgerung: Mehr Menschen sollten versuchen, mit etwas Kreativität nach ähnlichen Sicherheitslücken in Browsern zu suchen. "Ich bin überzeugt, dass jeder mit grundsätzlichen technischen Kenntnissen über den Web-Stack Sicherheitslücken wie diese finden könnte", schreibt Venis in einem Whitepaper, in dem er die Details zu allen Sicherheitslücken erläutert hat.

 Sicherheitslücken: Fehler in der Browser-Logik

eye home zur Startseite
gaym0r 31. Mai 2015

Nach Satzzeichen folgt ein Leerzeichen.

shyps 31. Mai 2015

ich meine damit letztlich den komfort. es geht den entwicklern u.a. darum, teile der ui...

BLi8819 30. Mai 2015

Weil es noch nicht genug Browser gibt, die meist noch mehr Sicherheitslücken mit bringen...

cephei 29. Mai 2015

Das ist mir ohne Scheiss!! heute passier mit youtube.com 1 . JS Alert Message 2. Get new...

Milber 29. Mai 2015

Kleiner Tipp: Wer zu blöd ist für Rechtschreibregeln sollte niemandem Tipps geben.



Anzeige

Stellenmarkt
  1. Robert Bosch GmbH, Weilimdorf
  2. Robert Bosch Packaging Technology GmbH, Crailsheim
  3. Bosch Rexroth AG, Schwieberdingen
  4. ETAS GmbH & Co. KG, Stuttgart


Anzeige
Hardware-Angebote
  1. ab 649,90€
  2. (diverse Modelle von MSI, ASUS, ASRock und Gigabyte lagernd)

Folgen Sie uns
       


  1. Elektroauto

    Tesla Model S brennt auf österreichischer Autobahn aus

  2. Ubuntu 17.10 im Test

    Unity ist tot, lange lebe Unity!

  3. Asus Rog GL503 und GL703

    Auf 15 und 17 Zoll für vergleichsweise wenig Geld spielen

  4. Swisscom

    Einsatz von NG.fast bringt bis zu 5 GBit/s

  5. Bixby 2.0

    Samsung will Sprachassistenten auf viel mehr Geräte bringen

  6. FAA

    CNN-Drohne darf über Menschen fliegen

  7. Nintendo Switch

    Firmware 4.0 bietet Videoaufnahmen mit Einschränkungen

  8. UE Blast und Megablast

    Alexa-Lautsprecher sind wasserfest und haben einen Akku

  9. TPCast im Hands on

    Überzeugende drahtlose Virtuelle Realität

  10. Separate Cloud-Version

    Lightroom nur noch als Abo erhältlich



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Xperia Touch im Test: Sonys coolem Android-Projektor fehlt das Killerfeature
Xperia Touch im Test
Sonys coolem Android-Projektor fehlt das Killerfeature
  1. Roboter Sony lässt Aibo als Alexa-Konkurrenten wieder auferstehen
  2. Sony Xperia XZ1 Compact im Test Alternativlos für Freunde kleiner Smartphones
  3. Sony Xperia XZ1 und XZ1 Compact sind erhältlich

Arktika 1 im Test: Monster-verseuchte Eiszeitschönheit
Arktika 1 im Test
Monster-verseuchte Eiszeitschönheit
  1. TPCast Oculus Rift erhält Funkmodul
  2. Oculus Go Alleine lauffähiges VR-Headset für 200 US-Dollar vorgestellt
  3. Virtual Reality Update bindet Steam-Rift in Oculus Home ein

ZFS ausprobiert: Ein Dateisystem fürs Rechenzentrum im privaten Einsatz
ZFS ausprobiert
Ein Dateisystem fürs Rechenzentrum im privaten Einsatz
  1. Librem 5 Purism zeigt Funktionsprototyp für freies Linux-Smartphone
  2. Pipewire Fedora bekommt neues Multimedia-Framework
  3. Linux-Desktops Gnome 3.26 räumt die Systemeinstellungen auf

  1. Re: Akku ist nicht vorne

    picaschaf | 12:58

  2. Re: "kann zwar kein Benzintank explodieren"

    AllDayPiano | 12:58

  3. Re: Die If-Schleife hat wohl nicht funktioniert.

    _4ubi_ | 12:57

  4. Und das so kurz vor Weihnachten:

    Dextr | 12:57

  5. Re: Es ist anders relevant

    Muhaha | 12:57


  1. 12:25

  2. 12:00

  3. 11:56

  4. 11:38

  5. 10:40

  6. 10:23

  7. 10:09

  8. 09:01


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel