Abo
  • Services:
Anzeige
Data-URLs können in verschiedenen Situationen zu Sicherheitsproblemen führen.
Data-URLs können in verschiedenen Situationen zu Sicherheitsproblemen führen. (Bild: Screenshot / Hanno Böck)

Sicherheitslücken: Fehler in der Browser-Logik

Data-URLs können in verschiedenen Situationen zu Sicherheitsproblemen führen.
Data-URLs können in verschiedenen Situationen zu Sicherheitsproblemen führen. (Bild: Screenshot / Hanno Böck)

Mit relativ simplen Methoden ist es dem 18-jährigen Webentwickler Bas Venis gelungen, schwerwiegende Sicherheitslücken im Chrome-Browser und im Flash-Plugin aufzudecken. Er ruft andere dazu auf, nach Bugs in der Logik von Browsern zu suchen.

Anzeige

Auf der Konferenz Hack in the Box in Amsterdam hat der 18-jährige Webentwickler Bas Venis berichtet, wie er eine Reihe von Browser-Sicherheitslücken aufdeckte. Venis nutzte dabei laut eigenen Angaben keine externen Tools und es handelte sich nicht wie sonst oft um komplexe Fehler in der Speicherverwaltung.

URL-Spoofing durch blockierende Javascript-Funktion

Zum Einstieg berichtete Venis über eine URL-Spoofing-Lücke, die er vor zwei Jahren im Chrome-Browser entdeckte. Versucht man, mittels Javascript ein neues Fenster mit einer URL auf einer fremden Domain zu öffnen und anschließend sofort in das Fenster zu schreiben, wird der Ladevorgang unterbrochen und die URL der Seite auf about:blank gesetzt. Bestimmte Javascript-Befehle, die ein Dialogfenster öffnen, unterbrechen jedoch diesen Vorgang. Allerdings überlagert dieses Dialogfenster, beispielsweise durch den alert()-Befehl, auch das neu geöffnete Fenster und verhindert die Interaktion des Nutzers mit der Seite.

Chrome hat jedoch eine Javascript-Funktion print(), die einen Druckdialog öffnet. Dieser blockiert ebenfalls die URL-Änderung, er überlagert jedoch ausschließlich das Fenster, aus dem er aufgerufen wird. Dadurch war es Venis möglich, mit wenigen Zeilen Javascript ein Fenster zu öffnen, das beispielsweise die URL https://www.google.com/ anzeigte, jedoch einen von ihm kontrollierten HTML-Code enthielt. Dass Venis mit so wenig Aufwand auf eine Sicherheitslücke stieß, motivierte ihn, weiter nach ähnlichen Lücken zu suchen.

Sandbox-Kontext von Flash

Die Sandbox des Flash-Plugins arbeitet in verschiedenen Kontexten, die dem laufenden Flash-Code bestimmte Rechte einräumen. Eine SWF-Datei auf dem lokalen Dateisystem darf dabei auf andere Dateien zugreifen, verschiedene Mechanismen sollen aber verhindern, dass Daten ins Netz übertragen werden. Zugriffe sind nur auf lokale URLs (file://) möglich, also auf andere Dateien auf dem Dateisystem.

Chrome konvertiert bei lokalen URL-Aufrufen alle mehrfachen Slashes und Backslashes zu einzelnen Slashes. Nicht umgewandelt werden aber Slashes und Backslashes, die mit einem Prozent-Zeichen codiert sind. Dadurch lassen sich mit URLs der Form file:///C:/Users/Bob/%5C%2F%5C%2Ftest.html Daten an eine andere lokale HTML-Datei übertragen. Von dort aus kann man dann diese Daten problemlos mittels Javascript weiterverarbeiten und ins Netz übertragen.

Slashes ermöglichen Datenextraktion 

eye home zur Startseite
gaym0r 31. Mai 2015

Nach Satzzeichen folgt ein Leerzeichen.

shyps 31. Mai 2015

ich meine damit letztlich den komfort. es geht den entwicklern u.a. darum, teile der ui...

BLi8819 30. Mai 2015

Weil es noch nicht genug Browser gibt, die meist noch mehr Sicherheitslücken mit bringen...

cephei 29. Mai 2015

Das ist mir ohne Scheiss!! heute passier mit youtube.com 1 . JS Alert Message 2. Get new...

Milber 29. Mai 2015

Kleiner Tipp: Wer zu blöd ist für Rechtschreibregeln sollte niemandem Tipps geben.



Anzeige

Stellenmarkt
  1. Deloitte, verschiedene Standorte
  2. avitea GmbH, Lippstadt
  3. Teambank AG, Nürnberg
  4. Verve Consulting GmbH, Köln


Anzeige
Spiele-Angebote
  1. (-68%) 18,99€
  2. 15,29€
  3. (-15%) 16,99€

Folgen Sie uns
       


  1. Festnetz und Mobilfunk

    Telekom kämpft mit Zerstörungen durch den Orkan Friederike

  2. God of War

    Papa Kratos kämpft ab April 2018

  3. Domain

    Richard Gutjahr pfändet Compact-online.de

  4. Carsharing

    Drivenow und Car2Go wollen fusionieren

  5. Autonomes Fahren

    Alstom testet automatisierten Zugbetrieb

  6. Detectron

    Facebook gibt eigene Objekterkennung frei

  7. Mavic Air

    DJI präsentiert neuen Falt-Copter

  8. Apple

    Homepod soll ab Frühjahr 2018 in Deutschland erhältlich sein

  9. 860 Evo und 860 Pro

    Samsungs SSDs sind flotter und sparsamer

  10. Mozilla

    Firefox Quantum wird mit Version 58 noch schneller



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Indiegames-Rundschau: Krawall mit Knetmännchen und ein Mann im Fass
Indiegames-Rundschau
Krawall mit Knetmännchen und ein Mann im Fass
  1. Games 2017 Die besten Indiespiele des Jahres
  2. Indiegames-Rundschau Von Weltraumpiraten und dem Wunderdoktor

BeA: Soldan will Anwälten das Internet ausdrucken
BeA
Soldan will Anwälten das Internet ausdrucken
  1. BeA Bundesrechtsanwaltskammer stellt Zahlungen an Atos ein
  2. Chipkarten-Hersteller Thales übernimmt Gemalto
  3. Atos Gemalto bekommt 4,3-Milliarden-Euro-Angebot

Nachbarschaftsnetzwerke: Nebenan statt mittendrin
Nachbarschaftsnetzwerke
Nebenan statt mittendrin
  1. NetzDG Streit mit EU über 100-Prozent-Löschquote in Deutschland
  2. Nextdoor Das soziale Netzwerk für den Blockwart
  3. Hasskommentare Neuer Eco-Chef Süme will nicht mit AfD reden

  1. Re: M2

    ms (Golem.de) | 00:14

  2. Re: 8 Euro

    Teebecher | 00:09

  3. Re: Kein verlöteter Ram

    derstef | 00:03

  4. Re: Domains zu pfänden sollte verboten sein

    AlexanderSchäfer | 23.01. 23:56

  5. Re: Das ist ja mal interessant

    lear | 23.01. 23:55


  1. 18:19

  2. 18:08

  3. 17:53

  4. 17:42

  5. 17:33

  6. 17:27

  7. 17:14

  8. 16:14


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel