Abo
  • Services:
Anzeige
Data-URLs können in verschiedenen Situationen zu Sicherheitsproblemen führen.
Data-URLs können in verschiedenen Situationen zu Sicherheitsproblemen führen. (Bild: Screenshot / Hanno Böck)

Slashes ermöglichen Datenextraktion

Anzeige

Mit diesem Trick, den Venis "Ex File Tration" nennt, lassen sich mittels einer lokalen Flash-Datei Daten aus einem System herausschleusen. Als Venis dieses Problem an das Google-Security-Team meldete, fragte ihn Google-Mitarbeiter Chris Evans, ob es auch möglich sei, diese Methode von einer Webseite aus auszunutzen. Evans verwies dabei auf einen möglichen Angriffsvektor hierfür: Links haben ein Attribut "download" mit einem optionalen Dateinamen, mit dem man den Browser anweisen kann, Dateien direkt herunterzuladen. Den Klick auf den Link kann man mittels Javascript simulieren. Damit gelang es Venis nun auch, diesen Exploit direkt von einer bösartigen Webseite aus auszuführen.

Mittels dieser Download-Links schaffte er es außerdem, Daten von externen Webseiten herunterzuladen und anschließend mit den oben beschriebenen Tricks an eine bösartige Webseite weiterzuleiten. Damit lässt sich dann beispielsweise der Inhalt einer Gmail-Mailbox zunächst lokal als Datei abspeichern und anschließend mittels des Flash-Sandbox-Tricks aus dem System herausschleusen.

Durch die Ausnutzung sogenannter Data-URLs konnte Venis es vermeiden, den Exploit über verschiedene Dateien zu verteilen. Mit diesen URLs der Form data:text/plain;charset=utf-8;base64,YWxlcnQoMSk= lassen sich in Webseiten Daten einbinden, die direkt in der URL codiert sind, sich aber wie eine Datei verhalten. Wie sich herausstellte, läuft ein Flash-Script, das als Data-URL codiert ist, im lokalen Kontext und kann auf das Dateisystem zugreifen.

Data-URLs sind nützlich für Angreifer

Doch die Data-URLs erwiesen sich noch in einem weiteren Fall als nützlich für Angreifer. Wenn man einen Iframe mittels einer Data-URL benutzte und darin wiederum ein Flash-Applet, ebenfalls als Data-URL, dann war die Sandbox-Funktionalität von Flash verwirrt. Das entsprechende Flash-Applet wurde im lokalen Kontext ausgeführt, erhielt also wieder Zugriff auf alle lokalen Dateien.

Dabei fand Venis gleich noch eine weitere Möglichkeit, Daten aus dem lokalen Kontext ins Netz zu senden: Fehlerhafte HTTP-URLs, in denen nur ein Slash genutzt wurde, zum Beispiel http:/www.google.com, korrigiert Chrome automatisch. Vom Flash-Plugin werden solche URLs jedoch als lokale Dateien behandelt.

Venis' Schlussfolgerung: Mehr Menschen sollten versuchen, mit etwas Kreativität nach ähnlichen Sicherheitslücken in Browsern zu suchen. "Ich bin überzeugt, dass jeder mit grundsätzlichen technischen Kenntnissen über den Web-Stack Sicherheitslücken wie diese finden könnte", schreibt Venis in einem Whitepaper, in dem er die Details zu allen Sicherheitslücken erläutert hat.

 Sicherheitslücken: Fehler in der Browser-Logik

eye home zur Startseite
gaym0r 31. Mai 2015

Nach Satzzeichen folgt ein Leerzeichen.

shyps 31. Mai 2015

ich meine damit letztlich den komfort. es geht den entwicklern u.a. darum, teile der ui...

BLi8819 30. Mai 2015

Weil es noch nicht genug Browser gibt, die meist noch mehr Sicherheitslücken mit bringen...

cephei 29. Mai 2015

Das ist mir ohne Scheiss!! heute passier mit youtube.com 1 . JS Alert Message 2. Get new...

Milber 29. Mai 2015

Kleiner Tipp: Wer zu blöd ist für Rechtschreibregeln sollte niemandem Tipps geben.



Anzeige

Stellenmarkt
  1. Daimler AG, Stuttgart
  2. über Ratbacher GmbH, Raum Dresden
  3. Südwolle GmbH & Co. KG, Schwaig
  4. Ypsomed AG, Burgdorf (Schweiz)


Anzeige
Hardware-Angebote
  1. 179,99€
  2. 49,90€ + 3,99€ Versand (Vergleichspreis ab 79€)

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Praxiseinsatz, Nutzen und Grenzen von Hadoop und Data Lakes
  2. Globale SAP-Anwendungsunterstützung durch Outsourcing


  1. Denverton

    Intel plant Atom C3000 mit bis zu 16 Goldmont-CPU-Kernen

  2. Trotz Weiterbildung

    Arbeitslos als Fachinformatiker

  3. Klage gegen Steuernachzahlung

    Apple beruft sich auf europäische Grundrechte

  4. 3D Studio

    Nvidia spendiert Qt Hunderttausende Zeilen Code

  5. Horizon Zero Dawn im Test

    Abenteuer im Land der Maschinenmonster

  6. Qualcomm

    Snapdragon 210 bekommt Android-Things-Unterstützung

  7. New Radio

    Qualcomm lässt neues 5G-Air-Interface testen

  8. Snapdragon X20

    Qualcomm kündigt 1,2-GBit/s-LTE-Modem an

  9. Gesetzentwurf

    Streit über Handy-Kontrolle von Asylbewerbern

  10. Kryptomessenger

    Signal ab sofort ohne Play-Services nutzbar



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Apple: Planet der affigen Fernsehshows
Apple
Planet der affigen Fernsehshows
  1. Streaming Vodafone GigaTV ermöglicht Fernsehen unterwegs
  2. Kabelnetz Unitymedia hat neue Preise für Internetzugänge
  3. Deutsche TV-Plattform über VR "Ein langer Weg vom Wow-Effekt zum dauerhaften Format"

Mobile-Games-Auslese: Schiffbruch auf der Milchstraße für mobile Spieler
Mobile-Games-Auslese
Schiffbruch auf der Milchstraße für mobile Spieler

München: Wie Limux unter Ausschluss der Öffentlichkeit zerstört wird
München
Wie Limux unter Ausschluss der Öffentlichkeit zerstört wird
  1. Fake News Für Facebook wird es hässlich
  2. Nach Angriff auf Telekom Mit dem Strafrecht Router ins Terrorcamp schicken oder so
  3. Soziales Netzwerk Facebook wird auch Instagram kaputt machen

  1. Re: Die USA machen es vor und...

    Hu5eL | 15:09

  2. Re: Also doch nicht 10 Jahre Berufserfahrung ...

    AngryFrog | 15:09

  3. Re: Alternative: Direkt ausweisen

    TrollNo1 | 15:08

  4. Re: Warum kann man es nicht gleich in den...

    Andre_af | 15:08

  5. Re: Der Zug ist abgefahren

    Brainfreeze | 15:08


  1. 15:00

  2. 14:45

  3. 14:13

  4. 14:12

  5. 14:00

  6. 13:30

  7. 13:30

  8. 13:30


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel