Mein Vorname ist Bobby'); DROP TABLE Students; --

Gefunden im Internet ...

... kein Kommentar

XSS-Angriffe über META-Felder

Aus dem heise-Newsticker: nettes Beispiel für Cross-Site-Scripting-Angriffe über Datenfelder, von denen man das eigentlich nicht javascript:void(0)erwarten würde. Im konkreten Fall wurde von nCircle in den Meta-Daten von SSL-Zertifikaten und den WHOIS-Domian-Informationen JavaScript-Code eingetragen.
Konkrete Angriffsmöglichkeiten bei bestimmten Web-Applikationen hat's darüber auch schon gegeben.

nCircle hat diese "Meta Information Cross Site Scripting"-Schwachstelle (MIXSS) unter dieser Seite beschrieben.

Richtig neu ist das aber nicht. Der Grundsatz 'never trust external data' gilt natürlich auch für solche Informationen. Als weitere potenzielle Quellen werden z.B. die Banner von SMTP-Servern und die Header-Informationen von HTTP-Servern genannt.

PDF-Exploit on the way...

Gelesen bei heise.de: es gibt in PDF-Dokumenten eine erhebliche konzeptionelle Sicherheitslücke, über die Angreifer mit entsprechend vorbereiteten PDF-Dokumenten potenziell jedes Programm starten können, und damit natürlich auf dem Rechner des ahnungslosen Nutzers beliebiges Unheil anrichten können.

Dabei werden keine fehlerhaften Implementierungen ausgenutzt, sondern die Option "Launch Actions/Launch File" genutzt, die Teil der PDF-Spezifikation ist. Betroffen sind daher (da eine Standard-PDF-Spezifikation) nicht nur die Original-Reader von Adobe, sondern auch andere Programme wie z.B. Foxit.

Besonderer persönlicher Nebeneffekt: mein aktuelles Projekt nutzt eine Funktionalität die auf PDF aufsetzt als Highlight und Kern-Feature des ganzen Projekts.

Fehlt da das Attachement?

Gerade bei Googlemail gesehen:


Bei bestimmten Schlüsselwörtern geht GoogleMail wohl davon aus, dass man ein Attachement mitschicken wollte. Wenn das fehlt, kommt eine Warnmeldung.

Praktisch, bei Outlook passiert mir das immer wieder, dass ich eine Mail versende und den Anhang vergesse ... und nicht nur mir.

Wenn die Kollegen zuviel automatisieren ...

Gerade hat Google mich dazu aufgefordert, zu beweisen dass ich ein Mensch bin...



... keine Ahnung, was die Kollegen in meinem Firmennetz da grade betreiben.

Handy-Botnetz? (Noch) nur im Labor ...

Netter Artikel bei der Computerwoche: Amerikanische Forscher haben ein experimentelles Botnetz für Smartphones entwickelt. Eine von Ihnen Wetter-App für Android-Smartphones hat sich in einer Woche auf fast 10.000 Smartphones verbreitet.

Die Applikation war zwar harmlos, die Forscher haben aber auch eine nicht so harmlose Variante erstellt.
Sie erlaubt Remote-Kontrolle des Smartphones, kann private Daten aus dem Telefon ausspionieren und Spam-Mails weiterleiten.

Im Hinblick auf die technische Leistungsfähigkeit moderner Handys und bei der beobachteten Verbreitung in nur einer Woche kommt da ein Ganz nettes Botnetz zusammen. Und Handys sind normalerweise deutlich länger aktiviert und damit kontrolierbar als Computer.

Info's zum Mariposa-Botnetz

Ganz interessant mal Zahlen zu der aktuellen Größen von Botnetzen zu kriegen: das in Spanien ausgehobene Mariposa-Netz hatte laut Security-Fokus bis zu 12.7 Millionen Rechner unter Kontrolle. Ausserdem sind persönliche Daten von 800.000 Personen von den Betreibern zusammengestellt worden, darunter Login-Daten für Banken und Email-Passwörter

Zero-Day-Exploits: MS ganz vorne

Der Sicherheits-Dienstleister Secunia hat in seinem Sicherheitsbericht für das vergangene Jahr 2008 auch eine Übersicht über die Zero-Day-Exploits veröffentlicht. Wie auch schon in den Vorjahren bleiben Microsoft-Produkte ganz weit vorne: von den insgeamt zwölf gemeldeten Expoits betrafen neun direkt Microsoft-Software. Die restlichen drei betrafen 3rd-Party-ActiveX-Controls ... und damit indirekt eigentlich auch wieder Microsoft.

Google Earth als Ermittlungs-Instrument der Schweizer Polizei

Beim Rechercieren für den vorigen Artikel (googeln nah "Google" und "HASH") bin ich über diesen Blog-Post gestolpert: die Schweizer Polizei hat eine größere Hash-Plantage ausgenommen, gefunden haben sie die per Google Earth.

Website von Wolfgang Schäuble gehackt

Bei heise.de gelesen: die offizielle Website von Wolfgang Schäuble wurde Opfer eines Defacement-Angriffs, und mit einem Link auf Informationen zur Vorratsdatenspeicherung versehen.

Angriffspunkt war offenbar eine Lücke im eingesetzten OpenSource-CMS TYPO3.

Über eine ungeschützte URL kann eine Konfigurationsdatei mit einem Passwort-Hash abgerufen werden, dieser Hash-Wert kann über eine Google-Suche reverse-engineered werden.

Die Lücke war am Vortag zusammen mit einem einzuspielenden Patch offiziell bekanntgegeben worden ... allerdings waren die Angreifer schon innerhalb weniger Stunden aktiv, während die Administratoren wohl länger gebraucht haben, das übliche Problem der Zero-Day-Attacks.

Übrigens kann man über Google auch relativ einfach (Stichwort Google-Hacking) Typo3-Installationen finden, die mit betroffenen Versionen laufen.

Browser-Unterstützung bei MSN

Nicht mehr so ganz up-to-date, was bei MSN an offizieller Browser-Unterstützung angeboten wird:



Der Firefox 2.x wird nicht mehr aktiv weiterentwickelt. Firefox 3 ist seit über einem halben Jahr verfügbar, und hat in den Browser-Statistiken den Firefox 2 längt überholt. Das scheint bei Microsoft aber noch keiner gemerkt zu haben.

In meinem aktuellen Projekt diskutieren wir übrigens gerade darüber, die offizielle Unterstützung für Firefox 2 fallen zu lassen.

Bei heise.de wird beschrieben, wie Hacker die Wii von Nintendo soweit geknackt haben, das sie Linux nativ zum Laufen bekommen. War gar nicht so einfach, einige genutzte Schwachstellen waren:

• der Arbeitsspeicher der WII wird bei einem Neustart nicht neu initialisiert
• eigene Verifikations-Prozesse für Verschlüsselungs-Keys
• einmal verifizierte Signaturen werden automatisch als gültig angenommen und nicht erneut überprüft.
• ein Speicherüberlauf in einem der Wii-Spiele
• die Firmware des eingebauten DBD-Laufwerks

Den Artikel sollte man sich mal etwas genauer durchsehen, daraus kann man auch etwas erkennen, wie Hacker sich von Lücke zu Lücke vortasten.

Auch ganz netter Kommentar zum Schluss:

Für Michael Steil, einem der führenden Xbox-Hacker, sind somit alle wichtigen Spielekonsolen mit Ausnahme der Playstation 3 gebrochen. Dies liegt seiner Meinung nach daran, dass Sony das Gerät von vornherein für Linux geöffnet hat und es damit für viele Hacker "uninteressant" geworden sei. Cracker und Softwarepiraten, für die ein Knacken der Playstation noch weit oben auf der Wunschliste stehe, hätten allein keine guten Karten.

Tja, darüber sollte vielleicht der ein oder andere Hardware-Hersteller mal nachdenken...

Defective by Design: Apple gerät (wieder) ins Visier der Anti-DRM-Kampagne

bei heise.de gelesen: die Free Software Foundation versucht dem ausufernden Digital Rights Management DRM mit der Kampagne Defective by Design entgegenzuwirken.

Bis zum Jahresende soll jeden Tag ein besonders abstruses Beispiel vorgestellt werden. Erster Kandidat ist Apple mit fast der gesamten Produktpalette. Bei iPhone und iPod mit den DRM-geschützten Musikstücken aus dem iTunes geht das ja noch so einigermassen.

Den Vogel schiessen aber die neuen MacBooks ab. Sie sind (dank DRM-geschützter HDCP-Verschlüsselung) nicht mehr in der Lage, High-Definition-Filme auf einem externen Bildschirm auszugeben, der diese Verschlüsselung nicht unterstützt. Da geht dann der Kauf eines MacBooks gleich mit der Anschaffung eines neuen Monitors einher.

Ich find's irgendwie lustig, das die doch so auf innovatives Design versessene Apple-Gemeinde sich jetzt mit dem Label "Defective by Design" auseinandersetzen muss.

PinguPanik bei Microsoft

Microsoft versucht seinen MSN Messenger etwas zu pushen und bietet ein "Spiel des Monats", das man über den Messenger gegeneinander spielen kann. Für diesen Monat ist es (passend zum anstehenden Winter) eine virtuelle Schneeballschlacht. Ziel des Schneeballwerfens: Pinguine!

Ein Schelm, wer dabei an einen Seitenhieb gegen Linux denkt...

Google sucht nach der Grippewelle

Google hat jetzt einige Auswertungen auf die in ihrer Suchmaschine eingegebenen Suchbegriffe online gestellt. Konkret geht's um Internet-Suchen zum Thema 'Grippe', Nutzer suchen eben vermehrt nach diesen Informationen, wenn die Grippe in der Nachbarschaft umgeht. Google korrelliert solche Suchanfragen mit den Geo-Koordinaten der suchenden Nutzer. So kann Google Auswertungen über die geographische Verteilung der Grippe in den USA treffen, die deutlich schneller sind als die entsprechenden Vorhersagen der amerikanischen Gesundheitsbehörde.

Google hat das exemplarisch zurück bis ins Jahr 2004 zusammengestellt, und kann eine beeindruckende Übereinstimmung mit den Daten des amerikanischen Centers for Disease Control and Prevention (CDC) erreichen.



Man muss nur mal weiterdenken, was man noch ableiten könnte: Wahlvorhersagen, Börsenkurse, Kaufverhalten von Neuwagen, oder die Gewinner beim Eurovision Song Contest.

Kleiner Update: auch userfriendly hat schon einen passenden Kommentar dazu .