symlink.ch
Wissen Vernetzt - deutsche News für die Welt
 
symlink.ch
FAQ
Mission
Über uns
Richtlinien

Moderation
Einstellungen
Story einsenden

Suchen & Index
Ruhmeshalle
Statistiken
Umfragen

Redaktion
Themen
Partner
Planet

XML | RDF | RSS
PDA | WAP | IRC
Symbar für Opera
Symbar für Mozilla

Freunde
Benutzergruppen
LUG Switzerland
LUG Vorarlberg
LUGen in DE
SIUG
CCCZH
Organisationen
Wilhelm Tux
FSF Europe
Events
LinuxDay Dornbirn
BBA Schweiz
CoSin in Bremgarten AG
VCFe in München
Menschen
maol
Flupp
Ventilator
dawn
gumbo
krümelmonster
XTaran
maradong
tuxedo

 
Innovatives Ausnutzen von MSIE-Lücken
Veröffentlicht durch XTaran am Mittwoch 25. August 2004, 13:07
Aus der Scrollbars-vs-Drag-n-Drop Abteilung
Security Heute morgen wurde auf BugTraq und heute mittag dann auch auch bei HeiSec über eine sehr innovative und sicher auch erfolgreiche Variante einer bisher für unkritisch gehaltenen Sicherheitslücke im MSIE berichtet: Über ein Drag-and-Drop-Event kann ein Surfer (unbemerkt) eine Anwendung in den Autostart-Ordner von Windows kopieren, auch noch unter dem aktuellsten und deutlich sichereren Windows XP SP2. Das braucht eigentlich recht viel Benutzer-Interaktion, zu der es erst einmal kommen muß, damit was passiert. Und Drag-and-Drop macht man ja nicht einfach so mal unbemerkt, oder?

Denkt man und dachte bisher auch Microsoft. Aber was ist das Scrollen per Scrolleiste? Das funktioniert ja eigentlich auch wie Drag-and-Drop und deswegen kann man den o.g. genannten Bug auch wunderschön ausnutzen, ohne den Benutzer groß per Social Engineering davon überzeugen zu müssen, eine Drag-and-Drop-Aktion im Browser zu machen: Man sorgt einfach per JavaScript dafür, daß das Feld, in dem der User das Drop-Event ausführen soll, immer unter dem Cursor ist, wenn der Benutzer die Scrollbar benutzt und schon ist das "Loslassen" der Scrollbar ein Drop-Event. Und schon machen es viele Benutzer einfach irgendwann von selbst ohne daß man sie noch groß überreden muß...

P.S.: Und wer hätte gedacht, daß einmal diese netten kleinen Mausrädchen die Sicherheit eines Rechners erhöhen? Demnächst werden wir dann wohl auch Mäuse mit Rad als "Sicherheitsfeature" angepriesen bekommen... ;-)

Microsoft verlässt Software Standards Group der UN | Druckausgabe | OpenOffice.org 2.0 mit integrierter Datenbank  >

 

 
symlink.ch Login
Login:

Passwort:

extrahierte Links
  • BugTraq
  • Heise
  • Heise Security
  • auf BugTraq
  • auch bei HeiSec
  • Sicherheitslücke
  • dachte bisher auch Microsoft
  • wie Drag-and-Drop
  • Mehr zu Security
  • Auch von XTaran
  • Diese Diskussion wurde archiviert. Es können keine neuen Kommentare abgegeben werden.
    Kampagne (Score:2)
    Von tuxedo (tux_edo ät linuxmail punkt org) am Wednesday 25. August 2004, 14:29 MEW (#1)
    (User #1213 Info)
    Da kommt diese Kampagne des Web Standards Projekt gerade recht: http://browsehappy.com/

    Gruss, tuxedo
    "Patentwürdig"! (Score:2)
    Von De'naa (symlink-0409.to.denaa@spamgourmet.com) am Wednesday 25. August 2004, 14:48 MEW (#2)
    (User #238 Info)
    Demnächst werden wir dann wohl auch Mäuse mit Rad als "Sicherheitsfeature" angepriesen bekommen.

    Möglicherweise werden wir es erleben, dass eine lusche Firma ein entsprechendes US-Patent anmeldet und danach von Logitech und Co. Lizenzgebühren für jede verkaufte Wheel-Maus abzockt, die fürs IE-Surfen eingesetzt werden kann.

    Das meine ich ganz im Ernst. Es würde mich nicht überraschen. Denkt an meine Worte.

    Re: "Patentwürdig"! (Score:0)
    Von Anonymer Feigling am Wednesday 25. August 2004, 20:28 MEW (#4)
    es würde voll und ganz in die gerade herschende patentflut passen (auch vom völlig idiotischen inhalt her)

    vielleicht reicht ja gleich microsoft selber dieses patent ein und verkauft danach seine wheel mäuse als "high security mouse" und die alten tun gar nicht mehr nach einem winXP update...

    sollen sie alle an ihren patenten ersticken...
    Edler hack (Score:1)
    Von nil (symlink bei 719 punkt ch) am Wednesday 25. August 2004, 14:53 MEW (#3)
    (User #989 Info) http://719.ch
    Solche Sachen vermisse ich in letzter Zeit..

    Linux User Group Schweiz
    Durchsuche symlink.ch:  

    Never be led astray onto the path of virtue.
    trash.net

    Anfang | Story einsenden | ältere Features | alte Umfragen | FAQ | Autoren | Einstellungen