hack1n9

Die Sozialen Netzwerke, neudeutsch: Social Networks, halten nicht allzu viel von Sicherheit. Vor allem müssten die Entwickler viel mehr für das Thema XSS Sensibilisiert werden. D enn Potentielle Angreifer finden jede Schwachstelle im System. Und wer lange genug sucht der wird imme r fündig. Es sollte den An greifern nur nicht allzu einfach gemacht werden. Kwick.de hatte bis zum 20.06.08 auch noch oder wieder ein Problem mit XSS. Betroffen waren so gut wie alle Suchformulare auf der Seite. Per zufall bin ich auf diesen Umstand aufmerksam geworden. Eines sei gesagt. Bei Kwick kann man sich nun getrost Anmelden denn die Sicherheitslücke wurde sofort behoben. Also eine sichere Sache. Andere Social Networks haben ähnliche XSS Probleme, eigentlich erschreckend viele. Die Namen möchte ich nicht nennen denn sonst rennen vielleicht ein Paar Dummys dahin und testen es gleich......... Nachdem ich dieses Problem dem Betreiber gemeldet hatte wurde es auch Postwendend behoben. Nur aus diesem Gru...

Bei PHP ist es immer dann Kritisch sobald Benutzereingaben erfolgen. Durch SQL injection & co sind die meisten Entwickler schon aufmerksam wenn Sie Benutzereingaben an eine Datenbank weiterreichen. Leider setzt diese Aufmerksamkeit häufig aus sobald die Daten nicht an die Datenbank sondern nur auf dem Bildschirm wieder ausgegeben werden. Als Beispiel nehmen wir hier mal ein Suchformular, wie bei google. Bei einem Fehler, oder wenn das Skript nichts findet wird der Suchstring wieder in das Suchformular eingesetzt und der Benutzer sieht wieder das Suchformular mit seinem Suchwort im Suchfeld. ( Download Beispielskript) Genau in diesem Szenario sind viele noch zu Leichtsinnig. Ja die Daten machen nichts am Server und Datenbank. Aber der Benutzer kann hier Opfer einer XSS ( Cross Site Scripting ) Attacke werden. Wenn die Benutzereingabe wie so oft nur schlecht oder garnicht geschützt werden. Sich nur auf das Modul Magic Quotes von PHP zu verlassen, sofern aktiviert, reicht leider nich...