Demos
Einfach mal auf die Links unten klicken. Keine Angst, hier wird nichts gefährliches gemacht. Die verlinkten Demos öffnen sich jeweils in einem neuen Fenster/Tab des Browsers.
Das Offensichtliche:
- http://xss-wp.18c.de/?xss=<h1 style=color:red>XSS-Test</h1>
(Nach dem Klick nach unten scrollen.) - Die übliche Demonstration einer XSS-Lücke per JavaScript-Meldung.
- Defacement per CSS, bei dem nur ein Element verändert wird.
- Defacement per Inline Frame, in dem eine fremde WebSite angezeigt wird. Die ganze WebSite wird ersetzt, die angezeigte URL in der Adresszeile des Browsers hat nichts mit dem angezeigten Inhalt zutun. Hacker könnten nachgebaute Login-Formulare benutzen, um Zugangsdaten zu erhalten.
- Eine kleine Werbegrafik. Solche Links könnte ein Hacker benutzen um jemanden Schadsoftware unterzuschieben.
Das was man nicht sofort bemerkt:
- An eine fremde WebSite wird die Kennung des Browsers geschickt, der Besucher bemerkt davon nichts.
Und hier die Liste die der Hacker gesammelt hat.
Auf diesem Wege kann man natürlich auch Cookies senden, die der Hacker dann zum Login in einen fremden Account nutzen könnte. - Man kann auch Tastatureingaben live per Ajax mitlesen ohne das der User es bemerkt und ohne das er ein Formular absenden muß.
(Nach dem Klick nach unten scrollen und ein paar Tasten drücken.)
Hier habe ich jetzt allerdings nur ein JavaScript eingebunden welches die Eingaben dem Besucher anzeigt, da ich nicht weiß ob das echte Script mit dem Hackerparagraphen (§ 202c Strafgesetzbuch) kollidiert. Und um irgendwelchen Ärger vorzubeugen… eben nur dieses unbefriedigende Demo… :O|
Damit diese Beispiele überhaupt funktionieren habe ich in das Theme von WordPress zusätzlich etwas unsicheren Code eingebaut. Tausende von WebSites brauchen allerdings keinen extra unsicheren Code – sie bringen diesen schon von Haus aus mit.
Wenn die Demos nicht funktionieren, so ist im Browser evtl. JavaScript oder die Übertragung des Referer deaktiviert. Der Referer ist die WebSite auf der ein Link angeklickt wurde. Damit die Demos funktionieren muß der Referer diese Seite sein. Also funktionieren die Demos nur wenn auf dieser Seite auf einen Link geklickt wurde. (hoffentlich… sofern ich keinen Fehler gemacht habe <g>)