• IT-Karriere:
  • Services:

Subdomain Takeover: Microsoft verliert Kontrolle über Windows-Kacheln

Mit einem Service von Microsoft konnten Webseiten Neuigkeiten auf Windows-Kacheln als sogenannte Windows Live Tiles darstellen. Den Service gibt es nicht mehr, die zugehörige Subdomain konnten wir übernehmen und eigene Kachelinhalte anzeigen.

Eine Exklusivmeldung von Hanno Böck veröffentlicht am
Mit einem Kachellayout versuchte Microsoft, in Windows 8 ein neues Bedienkonzept einzuführen, aber bei den Nutzern kam das nie gut an.
Mit einem Kachellayout versuchte Microsoft, in Windows 8 ein neues Bedienkonzept einzuführen, aber bei den Nutzern kam das nie gut an. (Bild: Screenshot / Hanno Böck / Martin Wolf)

Ein Erfolgsprojekt waren die Kacheln oder Tiles nicht, die Microsoft mit Windows 8 eingeführt hat. Bei der Abschaltung eines dazugehörigen Webservices versäumte es das Unternehmen, die zugehörigen Nameserver-Einträge zu löschen. Das führte dazu, dass der entsprechende Host für einen Subdomain-Takeover-Angriff verwundbar war - und wir dessen Inhalte kontrollieren konnten. So konnten wir dort beliebige Bilder und Texte in den Kacheln anderer Webseiten anzeigen.

Stellenmarkt
  1. Generali Deutschland AG, Aachen, Hamburg, München
  2. Zurich Kunden Center, Frankfurt am Main

Die mit Windows 8 eingeführten Kacheln können eine Reihe von Funktionen erfüllen. Für Webseiten gibt es die Möglichkeit, über spezielle Meta-Tags Neuigkeiten auf einer Kachel darzustellen. Windows Live Tiles heißt die entsprechende Funktion. Bei Seiten, die dies unterstützen, können Nutzer im Edge-Browser die entsprechende Seite als Kachel anheften.

Microsoft-Service konvertiert RSS-Feed in Windows-Kacheln

Über ein spezielles XML-Format können die Webseiten dann den Inhalt der Kacheln steuern und dort etwa aktuelle News anzeigen. Um es Seiten zu erleichtern, die entsprechende Funktion anzubieten, stellte Microsoft einen Service bereit, der automatisch RSS-Feeds in das passende Format konvertierte.

Die zugehörige Webseite, auf der man sich die passenden Metatags erstellen lassen kann, ist weiterhin online, obwohl der Service nicht mehr funktioniert. Der Host notifications.buildmypinnedsite.com lieferte nur eine Fehlermeldung von Microsofts Cloud-Service Azure.

Der verwaiste Host war anfällig für einen sogenannten Subdomain-Takeover-Angriff. Der Host wurde auf eine Subdomain von Azure weitergeleitet. Bei Azure war diese Subdomain aber nicht registriert.

Azure-Subdomain konnte von uns neu registriert werden

Die Registrierung funktioniert über einen sogenannten CNAME-Nameservereintrag. Dieser leitet alle Anfragen von dem betroffenen Host auf die nicht registrierte Azure-Subdomain weiter. Wir konnten mit einem normalen Azure-Account diese Subdomain registrieren und den entsprechenden Host mit eintragen - und damit kontrollieren, welche Inhalte dort ausgeliefert werden.

Zu den Webseiten, die den inzwischen nicht mehr existenten Service von Microsoft nutzten, gehörten unter anderem der russische Mailhoster Mail.ru, das Blognetzwerk Engadget und in Deutschland Heise Online und Giga. Webseiten, welche den entsprechenden Meta-Tag einbinden, sollten diesen wohl am besten entfernen oder, falls sie die Funktion weiterhin anbieten wollen, die entsprechende XML-Datei selbst erzeugen.

Microsoft reagiert nicht

Wir haben Microsoft über das Problem informiert, bislang haben wir auf unsere Anfragen keine Antwort erhalten. Dauerhaft werden wir den Host nicht behalten: Da dort erhebliche Mengen an Traffic anfallen, kostet es Gebühren, die entsprechende Subdomain zu behalten und zu blockieren, auch wenn der entsprechende Service gestoppt ist. Wenn wir die Subdomain kündigen und Microsoft bis dahin nicht reagiert ist es möglich, dass sie in Zukunft für Angriffe missbraucht wird.

Die Kacheln, die Microsoft zunächst in Windows 8 auf dem Startbildschirm eingeführt und in Windows 10 ins Startmenü verschoben hat, waren bei Nutzern nie besonders beliebt. Die Webseite Windowscentral spekulierte im Januar, dass die Kacheln bald abgeschafft werden könnten. Das kommende Windows Lite soll bereits ohne Kacheln erscheinen.

Nachtrag vom 18. April 2019, 11:53 Uhr

In der Zwischenzeit hat Microsoft den entsprechenden Nameserver-Eintrag gelöscht. Die Subdomain ist damit nicht mehr unter unserer Kontrolle. Eine Antwort von Microsoft haben wir nach wie vor nicht erhalten.

This article is also available in English.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Spiele-Angebote
  1. 29,49€
  2. 15,99€
  3. 2,99€

a user 23. Apr 2019

MS hat noch nie super produkte gemacht. Nicht einmal ihre erfolgreichsten Produkte waren...

HierIch 23. Apr 2019

Danke!

Michael H. 23. Apr 2019

Und auch hier... wenn ich sie da reinschicke, ist es immerhin kein Hausfriedensbruch...

Tuxgamer12 22. Apr 2019

Finde ich ja lustig. Also dass du nicht einmal realisiert hast, dass ich nicht einmal...

Tuxgamer12 19. Apr 2019

Ist natürlich schlau, dass du expliziet keine Software als Beispiel bringst, sondern...


Folgen Sie uns
       


Viewsonic M2 - Test

Der kleine LED-Projektor eignet sich für Präsentationen und als flexibles Kino für unterwegs.

Viewsonic M2 - Test Video aufrufen
Next-Gen: Tolle Indiegames für PS5 und Xbox Series X/S
Next-Gen
Tolle Indiegames für PS5 und Xbox Series X/S

Kaum ein unabhängiger Entwickler hat Dev-Kits für PS5 und Xbox Series X/S - aber The Pathinder und Falconeer sind tolle Next-Gen-Indiegames!
Von Rainer Sigl

  1. Indiegames-Rundschau Raumschiffknacker im Orbit
  2. Rollenspiel Fans übersetzen Disco Elysium ins Deutsche
  3. Indiegames-Rundschau Einmal durchspielen in 400 Tagen

iPhone 12 Mini im Test: Leistungsstark, hochwertig, winzig
iPhone 12 Mini im Test
Leistungsstark, hochwertig, winzig

Mit dem iPhone 12 Mini komplettiert Apple seine Auswahl an aktuellen iPhones für alle Geschmäcker: Auf 5,4 Zoll sind hochwertige technischen Finessen vereint, ein besseres kleines Smartphone gibt es nicht.
Ein Test von Tobias Költzsch

  1. Apple Bauteile des iPhone 12 kosten 313 Euro
  2. Touchscreen und Hörgeräte iOS 14.2.1 beseitigt iPhone-12-Fehler
  3. iPhone Magsafe ist nicht gleich Magsafe

No One Lives Forever: Ein Retrogamer stirbt nie
No One Lives Forever
Ein Retrogamer stirbt nie

Kompatibilitätsprobleme und schlimme Sprachausgabe - egal. Golem.de hat den 20 Jahre alten Shooter-Klassiker No One Lives Forever trotzdem neu gespielt.
Von Benedikt Plass-Fleßenkämper

  1. Heimcomputer Retro Games plant Amiga-500-Nachbau
  2. Klassische Spielkonzepte Retro, brandneu
  3. Gaming-Handheld Analogue Pocket erscheint erst 2021

    •  /