Moinsen... Ich habe mal wieder eine Sicherheitslücke im Nickles CMS entdeckt, die in die kategorie GAU einzustufen wäre. Aus diesem grund will ich die natürlich nicht öffentlich melden. Wie ist das bei euch vorgesehen? Ein Kontaktformular wäre da vielleicht auch mal nicht unnütz :-)
Synthetic_codes 
Olaf19 „Hi Syn Codes, Dickes Dankeschön, dass du so aufmerksam bist, stellvertretend...“
jeder der einen thread mit präparierter sig aufruft, und die maus bewegt. Da ich das ganze nur als Proof Of Concept implementiert habe, habe ich mich auf die schnelle für onmousemove entschieden.
Ursprünglich wollte ich nur meine sig ändern, dabei kam mir die idee, mal eine Javascript zeile zu implementieren, was vom CMS ausgefiltert wurde. daraufhin kam mir die idee, die zusatzattribute für das img tag zu verwenden, obwohl ich dachte, dass das cms diese ausfiltert, wie es bei regulären posts afaik auch geschieht. nun dem war nicht so, also machte ich mich dran das ganze zu implementieren. Im prinzip hätte ich jeden Handler, der hier (http://de.selfhtml.org/javascript/sprache/eventhandler.htm#onload) gelistet ist verwenden können(und auch mehrere zusammen), und im nachhinein kommt mir die idee, dass es sinnvoller gewesen wäre onerror zu verwenden und bei src für die sig einen ungültigen link zu verwenden(was den OnError auf jeden fall getriggert hätte). Dennoch ging es mir ja nur um eine demonstration, und ich wollte das ganze nicht unnötig komplex gestalten :-)
meine Accountdaten müsstest du jetzt haben :-/
theoretisch ja, praktisch nein. zwar habe ich die daten gelogged, allerdings habe ich nur meinen account verifiziert, die daten danach lediglich in ein verzeichnis für Mike verschoben und ihm per pn zugangsdaten für den Webspace geschickt, damit er sie selbst kontrollieren kann. Die Daten werden von meiner seite auch gelöscht, ich habe nicht vor diese zu (miss)brauchen (dann hätte ich mir die meldung auch gespart)
Das alles auch nur, wenn Javascript aktiviert ist?
Richtig, die Attacke basiert auf JS, allerdings ist(aufgrund der vielfältigen verwendung von JS code auf nickles.de) davon auszugehen, dass die seite keine benutzer hat, die JS deaktiviert haben.
und ehrlich gesagt - ich bin ein bisschen geschockt, dass das alles so einfach ist. Okay - *war*, aber wer weiß, wann jemand die nächste Lücke entdeckt.
die nächste lücke hab ich bei der durchsicht meiner Daten bereits entdeckt und gleich mitgemeldet. Laut Marcus Kosek wird dieser morgen behoben, und so lange will ich da nicht näher drauf eingehen(ich denke du verstehst warum)
Das wichtigste ist definitiv, dass den lesern dieses Threads klar wird, dass solche bugs sehr leicht entstehen, aber recht schwer zu fixen sind. auch andere Seiten sind von derartigen bugs betroffen
PS: Ich habe diesen Bug implementiert, weil ich letztens eine ähnliche schwäche in golem.de entdeckt hatte, diese auch meldete, aber niemand darauf reagiert hat(die lücke existiert bis dato, meldung liegt 2 Wochen zurück)
Kleines EDIT: Scheinbar interpretiert der IE das OnMouseMove nur wenn man über das bild fährt. Das grobe flackern, das kongking bemerkt hat, ist dem grottenlahmen IE-Renderer zu verdanken.
