Abo
  • Services:
Anzeige
Tanzende HTML-Elemente durch Cross-Site-Scripting
Tanzende HTML-Elemente durch Cross-Site-Scripting (Bild: Screenshot)

XSS: Cross-Site-Scripting über DNS-Records

Eine besonders kreative Variante einer Cross-Site-Scripting-Lücke macht auf der Webseite Hacker News die Runde: Mittels eines TXT-DNS-Records lässt sich auf zahlreichen Webseiten Javascript einfügen.

Anzeige

Es ist ein unscheinbarer Eintrag auf der Webseite Hacker News: Ein Link mit dem Titel "TXT Record XSS". Wer darauf klickte, wurde auf die Webseite eines Domainhändlers weitergeleitet - dabei wurde das Lied "Harlem Shake" abgespielt und die Bedienelemente der Webseite bewegten sich im Takt dazu. Inzwischen ist das Problem auf der verlinkten Webseite behoben, zahlreiche andere Webseiten, die DNS-Einträge anzeigen, sind jedoch ebenfalls betroffen.

Ein harmloser Scherz, er weist aber auf ein Sicherheitsproblem hin: Die Webseite ist verwundbar für eine ganz besondere Variante einer Cross-Site-Scripting-Lücke, oft als XSS abgekürzt. Cross-Site-Scripting-Lücken treten immer dann auf, wenn es einem unbefugten Angreifer gelingt, Javascript im Kontext einer fremden Webseite auszuführen. Im vorliegenden Fall erfolgte der Angriff über einen Eintrag im DNS-Server.

DNS sieht den Record-Typ TXT vor, in dem sich beliebige Text-Inhalte unterbringen lassen. Das wird beispielsweise für das Anti-Spam-System SPF genutzt. In diesem Fall wurde dort ein HTML/Javascript-Code platziert, der Musik abspielt und die Bedienelemente tanzen lässt. Der Code wurde auf der betroffenen Webseite ungefiltert ausgegeben und somit im Browser des Seitenbesuchers ausgeführt. Insbesondere überall dort, wo Benutzer einen Account haben, können Cross-Site-Scripting-Lücken auch böswillig missbraucht werden.

Üblicherweise denkt man bei Cross-Site-Scripting-Lücken an direkte Nutzereingaben, etwa an die Daten aus Webformularen. Doch ähnliche Lücken können überall auftreten, wo eine Webseite Inhalte einbindet, über deren Herkunft sie keine Kontrolle hat. Webentwickler sollten bei fremden Inhalten immer HTML-Steuerzeichen (<, >, &) in deren HTML-Entities umwandeln. Grundsätzlich verhindern lassen sich XSS-Angriffe in modernen Browsern durch eine Technologie namens Content Security Policy - die ist allerdings noch wenig verbreitet.

Während die ursprünglich auf Hacker News verlinkte Webseite das Problem inzwischen behoben hat und die DNS-Einträge entsprechend korrekt angezeigt werden, gibt es zahlreiche weitere Seiten, die von demselben Problem betroffen sind und auf denen weiterhin Harlem Shake abgespielt werden kann. Über Wayback Machine lässt sich auch die ursprünglich verlinkte Webseite samt XSS aufrufen.


eye home zur Startseite
0xDEADC0DE 23. Sep 2014

Und da steht: Du sollst nicht pampig sein? Steht da auch: Du sollst nicht interpretieren...

Mauwowjkd 21. Sep 2014

Hallo, ich verstehe auch nicht ganz, wie du das meinst, dass die Browser ASCII-Codes von...

PHPGangsta 21. Sep 2014

Was ist an der News neu? 2010 hat das schon jemand gemacht und veröffentlicht: https...

wirehack7 20. Sep 2014

Pff, dig TXT jamiehankins.co.uk pff, nslookup...

a.nonymous 20. Sep 2014

OK, ich formuliere die Frage anders: Was sollen Strato oder Cloudflare nun deiner...



Anzeige

Stellenmarkt
  1. BIVAL GmbH, Ingolstadt
  2. T-Systems International GmbH, verschiedene Standorte
  3. über DOWERK Fach- und Führungskräfte, deutschlandweit
  4. Freie Hansestadt Bremen, Bremen


Anzeige
Hardware-Angebote
  1. 39,99€
  2. ab 192,90€ bei Alternate gelistet
  3. ab 649,90€

Folgen Sie uns
       


  1. Daimler

    Stromspeicher mit Mercedes-Stern für Sonnenenergie

  2. Spielentwickler

    Männlich, 34 Jahre alt und unterbezahlt

  3. Kontrollzentrum

    Drei Finger und das iPhone stürzt ab

  4. Supercharger

    Tesla will Ladestationsnetzwerk verdoppeln

  5. Internet of Things

    Bricker Bot soll 2 Millionen IoT-Geräte zerstört haben

  6. HP, Philips, Fujitsu

    Bloatware auf Millionen Notebooks ermöglicht Codeausführung

  7. Mali-C71

    ARM bringt seinen ersten ISP für Automotive

  8. SUNET

    Forschungsnetz erhält 100 GBit/s und ROADM-Technologie

  9. Cisco

    Kontrollzentrum verwaltet Smartphones im Unternehmen

  10. Datenschutz

    Facebook erhält weiterhin keine Whatsapp-Daten



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Moto G5 und Moto G5 Plus im Test: Lenovo kehrt zur bewährten Motorola-Tradition zurück
Moto G5 und Moto G5 Plus im Test
Lenovo kehrt zur bewährten Motorola-Tradition zurück
  1. Miix 720 Lenovos High-End-Detachable ist ab 1.200 Euro erhältlich
  2. Lenovo Händler nennt Details des Moto G5
  3. Miix 320 Daten zu Lenovos neuem 2-in-1 vorab veröffentlicht

Miniatur Wunderland: Schiffe versenken die schönsten Pläne
Miniatur Wunderland
Schiffe versenken die schönsten Pläne
  1. Transport Üo, der fahrbare Ball
  2. Transport Sea Bubbles testet foilendes Elektroboot
  3. Verkehr Eine Ampel mit Kamera und Gesichtserkennung

Ryzen 5 1600X im Test: Der fast perfekte Desktop-Allrounder
Ryzen 5 1600X im Test
Der fast perfekte Desktop-Allrounder
  1. UEFI-Update Agesa 1004a lässt Ryzen-Boards schneller booten
  2. RAM-Overclocking getestet Ryzen profitiert von DDR4-3200 und Dual Rank
  3. Ryzen 5 1500X im Test AMD macht Intels Vierkernern mächtig Konkurrenz

  1. Re: Passiert nix bei mir.

    budweiser | 08:09

  2. Herstellerhaftung

    Beazy | 08:07

  3. Re: Konsolen wurden schon öfters für tot erklärt

    jidmah | 08:06

  4. Dann rafft euch zusammen.

    Helites | 08:06

  5. Re: ...bringt diese oft wiederholte Darstellung...

    John2k | 08:04


  1. 08:04

  2. 07:55

  3. 07:37

  4. 07:28

  5. 07:00

  6. 19:00

  7. 18:44

  8. 18:14


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel