{"id":43,"date":"2006-08-31T17:26:31","date_gmt":"2006-08-31T15:26:31","guid":{"rendered":"http:\/\/www.uwe-tippmann.de\/blog\/2006\/08\/31\/livesuche-bei-webde-und-gmx-security-issue\/"},"modified":"2006-08-31T17:27:16","modified_gmt":"2006-08-31T15:27:16","slug":"livesuche-bei-webde-und-gmx-security-issue","status":"publish","type":"post","link":"https:\/\/www.uwe-tippmann.de\/blog\/2006\/08\/31\/livesuche-bei-webde-und-gmx-security-issue\/","title":{"rendered":"LiveSuche bei Web.de und GMX – Security Issue"},"content":{"rendered":"

Bei der GMX Suche<\/a> und der Web.de Suche<\/a> gibt es eine Live-Suche<\/strong>. Sozusagen eine gefilterte \u00dcbersicht was aktuell gesucht wird. Wer sich das mal anschauen will kann das hier<\/a> f\u00fcr Web.de und hier<\/a> f\u00fcr GMX<\/a> Suche tun.<\/p>\n

OK, das ist ja ansich noch keinen Beitrag wert, wenn ja wenn da nicht eine Sache w\u00e4re, die da etwas kritischer zu betrachten ist. Denn wenn ihr mal ausprobiert nach „(script)alert(‚hijacked‘)(\/script)<\/strong>“ -> (Hinweis: die Klammern mit eckigen Tags ersetzen)\u00a0zu suchen, dann wird dieser Scriptaufruf<\/strong> direkt<\/strong> in der Livesuche ausgef\u00fchrt<\/strong> und f\u00fchrt zum gew\u00fcnschten Effekt bei denen die gerade die Livesuche anschauen. Damit kann man nat\u00fcrlich f\u00fcr jede Menge andere Sachen machen, es muss ja nicht zwangsl\u00e4ufig dieser harmlose Scriptaufruf sein! \u00dcbrigens kann man mit der alert Methode auch den „Badwordfilter“ testen, da die dieser erst bei der tats\u00e4chlichen Ausgabe in der Livesuche greift – die Meldung im alert jedoch nicht gefiltert wird. Einfach mal „sex<\/strong>“ oder andere W\u00f6rter in den „alert“ packen.<\/p>\n

Generell ist das bei der GMX und Web.de Suche eh ein Problem, wenn man nach script-Anweisungen sucht, denn die werden auch<\/strong> in der normalen Web-Suche<\/strong> eiskalt ausgef\u00fchrt<\/strong>! Nicht auszudenken, was passiert wenn man die Domain web.de oder gmx.net daf\u00fcr mi\u00dfbraucht um seinen Malicious Code so unters Volk zu bringen. Das Vertrauen in diese Domains ist ja in Deutschland doch recht hoch…<\/p>\n","protected":false},"excerpt":{"rendered":"

Bei der GMX Suche und der Web.de Suche gibt es eine Live-Suche. Sozusagen eine gefilterte \u00dcbersicht was aktuell gesucht wird. Wer sich das mal anschauen will kann das hier f\u00fcr Web.de und hier f\u00fcr GMX Suche tun. OK, das ist … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":1001002,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"_links":{"self":[{"href":"https:\/\/www.uwe-tippmann.de\/blog\/wp-json\/wp\/v2\/posts\/43"}],"collection":[{"href":"https:\/\/www.uwe-tippmann.de\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.uwe-tippmann.de\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.uwe-tippmann.de\/blog\/wp-json\/wp\/v2\/users\/1001002"}],"replies":[{"embeddable":true,"href":"https:\/\/www.uwe-tippmann.de\/blog\/wp-json\/wp\/v2\/comments?post=43"}],"version-history":[{"count":0,"href":"https:\/\/www.uwe-tippmann.de\/blog\/wp-json\/wp\/v2\/posts\/43\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.uwe-tippmann.de\/blog\/wp-json\/wp\/v2\/media?parent=43"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.uwe-tippmann.de\/blog\/wp-json\/wp\/v2\/categories?post=43"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.uwe-tippmann.de\/blog\/wp-json\/wp\/v2\/tags?post=43"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}