hack1n9

Online Shopping Sicherheit Trusted Zertifikate gibt es mittlerweile wie Sand am Meer. Doch was taugt ein Zertifizierter Shop überhaupt. Was meinen die mit "trusted"...... ist "https" ?? Reicht dass schon ?? Ich habe mit das Zertifikat vom Tüv mal genauer unter die Lupe genommen. Und musste feststellen dass bei einigen Shops trotz (trusted, save, zertifiziert) und anderen ominösen Auszeichnungen. Es offensichtliche Sicherheitslücken gibt. Diese musste ich nicht suchen, sonder die sind mir geradezu ins Auge gesprungen. Bei ciao.de zum Bleistift ist XSS möglich. Und das ohne Probleme und Einschränkungen. XSS ist allgemein bei vielen Shops möglich. Am besten ist es für einen Angreifer, Shop mit community und einem einheitlichen Login. Es sind nicht nur mini Shops welche unsicher sind. Es sind OnlineShops von Beate-Uhse, Karstadt-Quelle etc dabei. Also nicht nur komische Läden wo niemand einkauft!! So wird es leicht gemacht Daten auszulesen, und man kann den XSS Code se...

Es wundert mich wirklich dass es so viele Seiten gibt welche für XSS anfällig sind. Bisher waren es ja nur, in anführungszeichen, Ministerien,bundestag und das ein oder andere Social Network. Aber dass es tatsächlich auch Online Shops gibt welche XSS anfällige Seiten haben dass ist mir neu. Darunter sind auch Shops mit dem achso tollen "trusted Shop" Siegel. Uhh ein "trusted Shop" da fühl ich mich gleich sicherer und kann mich ja einloggen. Schwups sind die Zugangsdaten verschwunden. Da hätt ich doch besser ein Handtuch mitgenommen dann wär dass nicht passiert. Zurück zur Sicherheit. Also ich hab mich nun ein bisschen umgeschaut und es ist erstunlich was man mit dem ein oder anderen Online Shop so alles anstellen kann. Und erstaunlich auf vielen Shops kann man iframes einbetten, JavaScript ausführen, neue Login Seiten erstellen. Also ganz gesund ist dass ja nicht. Und ich möchte nicht wissen wie viele Menschen die Lücken in Online Shops schon ausnutzen um aktiv Date...

Also ich habe ja schon viel gesehn. Eigentlich, so dachte ich bisher. Sollte dass Land die Datensicherheit und auch die Sicherheit ihrer Internetseiten ernst nehmen. Wie ich gestern schon berichtet hatte, hat das Land Baden-Württemberg einige XSS Probleme auf ihren Internetseiten. Hier mal Chief Wiggum als Minister ;-) !! Hier die Fehlerseite !! Aber eins nach dem anderem. Durch dass Kommentar von Harry wurde ich auf die Problematik mit der Fehlerseite aufmerksam gemacht. Dass dort noch die Muster Vorlage mit Muster AG ausgegeben wird. Das ist zwar nicht sehr Proffessionell aber naja. Also habe ich die Fehler url mal im Kultusministerium ausprobiert. Und Ohje Ohje, das für XSS und wer weiß für was noch alles Anfällige Pyrobase, selbstverständlich von der Telekom ;-) Wird in vielen weiteren Ministerien eingesetzt und damit man es nicht so schwer hat diese alles zusammenzufriemeln hilft das Land und gibt als Fehlerseite eine Liste mit allen Pyrobase Ministerien ...

Also ich weiß auch nicht so recht was ich dazu sagen soll. Wieder mal ein Ministerium mit dem man komische Meldungen in die Welt posaunen kann. Hier ist ein Link zum Kultusministerium Baden-Württemberg Diesmal geb ich gleich mal ein wink zum BSI mit. Immerhin gibt dieses Ministerium ein PDF heraus welches bei den anderen Ministerien noch nicht angekommen ist ;-) Der Link steht bei mir im Blog, dort ist auch beschrieben wie man es besser als die Telekom macht ;-)!! Aber jetzt ist es auch klar warum der Fehler im System ist. Redaktionssystem und Hosting: Pirobase ©, Pironet NDH AG Theodor-Heuss-Str. 92-100, 51149 Köln T-Systems International GmbH

Die Sozialen Netzwerke, neudeutsch: Social Networks, halten nicht allzu viel von Sicherheit. Vor allem müssten die Entwickler viel mehr für das Thema XSS Sensibilisiert werden. D enn Potentielle Angreifer finden jede Schwachstelle im System. Und wer lange genug sucht der wird imme r fündig. Es sollte den An greifern nur nicht allzu einfach gemacht werden. Kwick.de hatte bis zum 20.06.08 auch noch oder wieder ein Problem mit XSS. Betroffen waren so gut wie alle Suchformulare auf der Seite. Per zufall bin ich auf diesen Umstand aufmerksam geworden. Eines sei gesagt. Bei Kwick kann man sich nun getrost Anmelden denn die Sicherheitslücke wurde sofort behoben. Also eine sichere Sache. Andere Social Networks haben ähnliche XSS Probleme, eigentlich erschreckend viele. Die Namen möchte ich nicht nennen denn sonst rennen vielleicht ein Paar Dummys dahin und testen es gleich......... Nachdem ich dieses Problem dem Betreiber gemeldet hatte wurde es auch Postwendend behoben. Nur aus diesem Gru...