Cross-Site-Authentication-Attacke - Versionsgeschichte

SchlurcherBot: Bot: http → https

2025-05-24T12:17:51Z

Bot: http → https

← Nächstältere Version		Version vom 24. Mai 2025, 14:17 Uhr
Zeile 16:		Zeile 16:
	== Weblinks ==		== Weblinks ==
	* [http://people.debian.org/~nomeata/xsa-sample.html Beispielseite] ('''Achtung''': keine echten Passwörter eingeben!)		* [http://people.debian.org/~nomeata/xsa-sample.html Beispielseite] ('''Achtung''': keine echten Passwörter eingeben!)
	* [~~http~~://www.joachim-breitner.de/blog/archives/56-Like-XSS,-just-simpler-and-harder-to-prevent-The-Cross-Site-Auth-XSA-Attack.html The Cross Site Auth (XSA) Attack] (Initialer Blog-Eintrag)		* [https://www.joachim-breitner.de/blog/archives/56-Like-XSS,-just-simpler-and-harder-to-prevent-The-Cross-Site-Auth-XSA-Attack.html The Cross Site Auth (XSA) Attack] (Initialer Blog-Eintrag)
	* [~~http~~://www.linux-magazin.de/heft_abo/ausgaben/2005/10/verfuehrerische_bildchen Linux-Magazin-Artikel] (deutsch)		* [https://www.linux-magazin.de/heft_abo/ausgaben/2005/10/verfuehrerische_bildchen Linux-Magazin-Artikel] (deutsch)
	* [~~http~~://www.linux-magazine.com/content/download/62644/485610/version/1/file/XSA_Attack.pdf Linux-Magazine-Artikel] (englisch; PDF-Datei; 151 kB)		* [https://www.linux-magazine.com/content/download/62644/485610/version/1/file/XSA_Attack.pdf Linux-Magazine-Artikel] (englisch; PDF-Datei; 151 kB)

	[[Kategorie:World Wide Web]]		[[Kategorie:World Wide Web]]

Georg Hügler: statt "Verhalten"

2023-07-09T10:33:23Z

statt "Verhalten"

← Nächstältere Version		Version vom 9. Juli 2023, 12:33 Uhr
Zeile 1:		Zeile 1:
	Eine '''Cross-Site-Authentication-Attacke''' (kurz: ''XSA'') ist ein Angriff gegen eine [[Webanwendung]], mittels der ein Angreifer fremde [[Kennwort\|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site-Request-Forgery]].		Eine '''Cross-Site-Authentication-Attacke''' (kurz: ''XSA'') ist ein Angriff gegen eine [[Webanwendung]], mittels der ein Angreifer fremde [[Kennwort\|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site-Request-Forgery]].

	~~Dieses~~ ~~Verhalten~~ ~~kann~~ ~~ausgenutzt~~ ~~werden~~, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch [[HTTP-Authentifizierung\|HTTP Auth]] geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.		Die Gefahr einer solchen Attacke besteht, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch [[HTTP-Authentifizierung\|HTTP Auth]] geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.

	Diese [[Computersicherheit\|Sicherheitslücke]] erfordert vom Benutzer jedoch, dazu verleitet zu werden, einen Benutzernamen und ein Passwort einzugeben. Die Passwortabfrage erscheint dabei nicht als HTML-Formular, wie es beim Einloggvorgang auf einer (Forums-)Website üblich ist, sondern in einem eigenen Fenster, und ist somit auffällig. Bei einer Webseite, auf der normalerweise keine Passwörter verlangt werden, ist es schon unwahrscheinlicher, dass der Benutzer eine Kombination aus Benutzername und Passwort eingibt, der Angreifer weiß dann auch nicht, wofür diese Kombination überhaupt gilt.		Diese [[Computersicherheit\|Sicherheitslücke]] erfordert vom Benutzer jedoch, dazu verleitet zu werden, einen Benutzernamen und ein Passwort einzugeben. Die Passwortabfrage erscheint dabei nicht als HTML-Formular, wie es beim Einloggvorgang auf einer (Forums-)Website üblich ist, sondern in einem eigenen Fenster, und ist somit auffällig. Bei einer Webseite, auf der normalerweise keine Passwörter verlangt werden, ist es schon unwahrscheinlicher, dass der Benutzer eine Kombination aus Benutzername und Passwort eingibt, der Angreifer weiß dann auch nicht, wofür diese Kombination überhaupt gilt.

Nomeata: /* Weblinks */

2017-11-02T02:57:32Z

Weblinks

← Nächstältere Version		Version vom 2. November 2017, 04:57 Uhr
Zeile 18:		Zeile 18:
	* [http://www.joachim-breitner.de/blog/archives/56-Like-XSS,-just-simpler-and-harder-to-prevent-The-Cross-Site-Auth-XSA-Attack.html The Cross Site Auth (XSA) Attack] (Initialer Blog-Eintrag)		* [http://www.joachim-breitner.de/blog/archives/56-Like-XSS,-just-simpler-and-harder-to-prevent-The-Cross-Site-Auth-XSA-Attack.html The Cross Site Auth (XSA) Attack] (Initialer Blog-Eintrag)
	* [http://www.linux-magazin.de/heft_abo/ausgaben/2005/10/verfuehrerische_bildchen Linux-Magazin-Artikel] (deutsch)		* [http://www.linux-magazin.de/heft_abo/ausgaben/2005/10/verfuehrerische_bildchen Linux-Magazin-Artikel] (deutsch)
	* [http://www.linux-magazine.com/~~issue~~/60/XSA_Attack.pdf Linux-Magazine-Artikel] (englisch; PDF-Datei; 151 kB)		* [http://www.linux-magazine.com/content/download/62644/485610/version/1/file/XSA_Attack.pdf Linux-Magazine-Artikel] (englisch; PDF-Datei; 151 kB)

	[[Kategorie:World Wide Web]]		[[Kategorie:World Wide Web]]

Aka: /* Weblinks */ Sprachschreibweise

2015-03-01T19:37:46Z

Weblinks: Sprachschreibweise

← Nächstältere Version		Version vom 1. März 2015, 21:37 Uhr
Zeile 17:		Zeile 17:
	* [http://people.debian.org/~nomeata/xsa-sample.html Beispielseite] ('''Achtung''': keine echten Passwörter eingeben!)		* [http://people.debian.org/~nomeata/xsa-sample.html Beispielseite] ('''Achtung''': keine echten Passwörter eingeben!)
	* [http://www.joachim-breitner.de/blog/archives/56-Like-XSS,-just-simpler-and-harder-to-prevent-The-Cross-Site-Auth-XSA-Attack.html The Cross Site Auth (XSA) Attack] (Initialer Blog-Eintrag)		* [http://www.joachim-breitner.de/blog/archives/56-Like-XSS,-just-simpler-and-harder-to-prevent-The-Cross-Site-Auth-XSA-Attack.html The Cross Site Auth (XSA) Attack] (Initialer Blog-Eintrag)
	* [http://www.linux-magazin.de/heft_abo/ausgaben/2005/10/verfuehrerische_bildchen Linux-Magazin-Artikel] (~~Deutsch~~)		* [http://www.linux-magazin.de/heft_abo/ausgaben/2005/10/verfuehrerische_bildchen Linux-Magazin-Artikel] (deutsch)
	* [http://www.linux-magazine.com/issue/60/XSA_Attack.pdf Linux-Magazine-Artikel] (~~Englisch~~; PDF-Datei; 151 kB)		* [http://www.linux-magazine.com/issue/60/XSA_Attack.pdf Linux-Magazine-Artikel] (englisch; PDF-Datei; 151 kB)

	[[Kategorie:World Wide Web]]		[[Kategorie:World Wide Web]]

Androl am 29. April 2013 um 15:17 Uhr

2013-04-29T15:17:43Z

← Nächstältere Version		Version vom 29. April 2013, 17:17 Uhr
Zeile 1:		Zeile 1:
	Eine '''Cross-Site-Authentication-Attacke''' (kurz: ''XSA'') ist ein Angriff gegen eine [[Webanwendung]], mittels der ein Angreifer fremde [[Kennwort\|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site Request Forgery]].		Eine '''Cross-Site-Authentication-Attacke''' (kurz: ''XSA'') ist ein Angriff gegen eine [[Webanwendung]], mittels der ein Angreifer fremde [[Kennwort\|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site-Request-Forgery]].

	Dieses Verhalten kann ausgenutzt werden, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch [[HTTP-Authentifizierung\|HTTP Auth]] geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.		Dieses Verhalten kann ausgenutzt werden, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch [[HTTP-Authentifizierung\|HTTP Auth]] geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.

Androl: /* Schutz */

2012-06-08T13:15:11Z

Schutz

← Nächstältere Version		Version vom 8. Juni 2012, 15:15 Uhr
Zeile 8:		Zeile 8:

	== Schutz ==		== Schutz ==
	Gegen diese Art von Angriffen gibt es ~~viele~~ Schutzmöglichkeiten:		Gegen diese Art von Angriffen gibt es einige Schutzmöglichkeiten:

	* Der Dienstanbieter kann dafür sorgen, dass keine Bilder oder sonstigen Inhalte aus externen Quellen in die Webseite eingebunden werden können. Dies geht Hand in Hand mit dem Verhindern von [[Cross-Site Scripting]].		* Der Dienstanbieter kann dafür sorgen, dass keine Bilder oder sonstigen Inhalte aus externen Quellen in die Webseite eingebunden werden können. Dies geht Hand in Hand mit dem Verhindern von [[Cross-Site-Scripting]].
	* Der Browserhersteller kann im Falle eines vermuteten Angriffs deutliche Warnhinweise ausgeben. Eine weitere Möglichkeit ist, bei eingebetteten Elementen von fremden Webserver grundsätzlich die Authentifizierungsmechanismen zu unterbinden.		* Der Browserhersteller kann im Falle eines vermuteten Angriffs deutliche Warnhinweise ausgeben. Eine weitere Möglichkeit ist, bei eingebetteten Elementen von fremden Webserver grundsätzlich die Authentifizierungsmechanismen zu unterbinden.
	* Der Benutzer kann durch Aufmerksamkeit feststellen, ob sich die Webseite ungewöhnlich verhält. Wenn das Passwort normalerweise in einem Formular abgefragt wird, ist es verdächtig, wenn auf einmal ein neues Fenster erscheint.		* Der Benutzer kann durch Aufmerksamkeit feststellen, ob sich die Webseite ungewöhnlich verhält. Wenn das Passwort normalerweise in einem Formular abgefragt wird, ist es verdächtig, wenn auf einmal ein neues Fenster erscheint.

Androl: /* Schutz */

2012-06-08T13:13:41Z

Schutz

← Nächstältere Version		Version vom 8. Juni 2012, 15:13 Uhr
Zeile 11:		Zeile 11:

	* Der Dienstanbieter kann dafür sorgen, dass keine Bilder oder sonstigen Inhalte aus externen Quellen in die Webseite eingebunden werden können. Dies geht Hand in Hand mit dem Verhindern von [[Cross-Site Scripting]].		* Der Dienstanbieter kann dafür sorgen, dass keine Bilder oder sonstigen Inhalte aus externen Quellen in die Webseite eingebunden werden können. Dies geht Hand in Hand mit dem Verhindern von [[Cross-Site Scripting]].
	* Der Browserhersteller kann im Falle eines vermuteten Angriffs deutliche Warnhinweise ausgeben. Eine weitere Möglichkeit ist, bei eingebetteten Elementen von fremden Webserver grundsätzlich die ~~Authentikations-Mechanismen~~ zu unterbinden.		* Der Browserhersteller kann im Falle eines vermuteten Angriffs deutliche Warnhinweise ausgeben. Eine weitere Möglichkeit ist, bei eingebetteten Elementen von fremden Webserver grundsätzlich die Authentifizierungsmechanismen zu unterbinden.
	* Der Benutzer kann durch Aufmerksamkeit feststellen, ob sich die Webseite ungewöhnlich verhält. Wenn das Passwort normalerweise in einem Formular abgefragt wird, ist es verdächtig, wenn auf einmal ein neues Fenster erscheint.		* Der Benutzer kann durch Aufmerksamkeit feststellen, ob sich die Webseite ungewöhnlich verhält. Wenn das Passwort normalerweise in einem Formular abgefragt wird, ist es verdächtig, wenn auf einmal ein neues Fenster erscheint.

Androl am 8. Juni 2012 um 12:53 Uhr

2012-06-08T12:53:37Z

← Nächstältere Version		Version vom 8. Juni 2012, 14:53 Uhr
Zeile 1:		Zeile 1:
	Eine '''Cross-Site-Authentication-Attacke''' (kurz: ''XSA'') ist ein Angriff gegen eine [[Webanwendung]], mittels der ein Angreifer fremde [[Kennwort\|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site Request Forgery]].		Eine '''Cross-Site-Authentication-Attacke''' (kurz: ''XSA'') ist ein Angriff gegen eine [[Webanwendung]], mittels der ein Angreifer fremde [[Kennwort\|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site Request Forgery]].

	Dieses Verhalten kann ausgenutzt werden, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch [[HTTP-~~Authorisierung~~\|HTTP Auth]] geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.		Dieses Verhalten kann ausgenutzt werden, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch [[HTTP-Authentifizierung\|HTTP Auth]] geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.

	Diese [[Computersicherheit\|Sicherheitslücke]] erfordert vom Benutzer jedoch, dazu verleitet zu werden, einen Benutzernamen und ein Passwort einzugeben. Die Passwortabfrage erscheint dabei nicht als HTML-Formular, wie es beim Einloggvorgang auf einer (Forums-)Website üblich ist, sondern in einem eigenen Fenster, und ist somit auffällig. Bei einer Webseite, auf der normalerweise keine Passwörter verlangt werden, ist es schon unwahrscheinlicher, dass der Benutzer eine Kombination aus Benutzername und Passwort eingibt, der Angreifer weiß dann auch nicht, wofür diese Kombination überhaupt gilt.		Diese [[Computersicherheit\|Sicherheitslücke]] erfordert vom Benutzer jedoch, dazu verleitet zu werden, einen Benutzernamen und ein Passwort einzugeben. Die Passwortabfrage erscheint dabei nicht als HTML-Formular, wie es beim Einloggvorgang auf einer (Forums-)Website üblich ist, sondern in einem eigenen Fenster, und ist somit auffällig. Bei einer Webseite, auf der normalerweise keine Passwörter verlangt werden, ist es schon unwahrscheinlicher, dass der Benutzer eine Kombination aus Benutzername und Passwort eingibt, der Angreifer weiß dann auch nicht, wofür diese Kombination überhaupt gilt.

Androl am 8. Juni 2012 um 12:32 Uhr

2012-06-08T12:32:07Z

← Nächstältere Version		Version vom 8. Juni 2012, 14:32 Uhr
Zeile 1:		Zeile 1:
	~~Als~~ '''Cross-Site Authentication''' (kurz: XSA) ~~bezeichnet~~ ~~man einen~~ Angriff gegen eine [[Webanwendung]], ~~durch~~ ~~die aufgrund einer [[Computersicherheit]]slücke~~ ein Angreifer fremde [[Kennwort\|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site Request Forgery]].		Eine '''Cross-Site-Authentication-Attacke''' (kurz: ''XSA'') ist ein Angriff gegen eine [[Webanwendung]], mittels der ein Angreifer fremde [[Kennwort\|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site Request Forgery]].

	Dieses Verhalten kann ausgenutzt werden, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch HTTP Auth geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.		Dieses Verhalten kann ausgenutzt werden, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch [[HTTP-Authorisierung\|HTTP Auth]] geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.

	Diese Sicherheitslücke ~~lässt~~ ~~sich~~ jedoch ~~nur~~ ~~ausnutzen,~~ ~~wenn~~ ~~der~~ ~~Benutzer~~ ~~überhaupt~~ ein Passwort ~~eingibt~~. ~~Bei~~ ~~einer~~ ~~Webseite~~, auf ~~der~~ ~~normalerweise~~ ~~keine~~ ~~Passwörter~~ ~~verlangt~~ ~~werden~~, ist ~~das~~ ~~schon unwahrscheinlich~~. ~~Dazu~~ ~~muss~~ der ~~Benutzer~~ ~~auch~~ ~~noch~~ ~~einen~~ ~~Benutzernamen~~ ~~eingeben.~~ ~~Der~~ ~~Angreifer~~ ~~hat~~ ~~also~~ im ~~besten Fall~~ eine Kombination aus Benutzername und Passwort, weiß ~~aber~~ ~~erstmal~~ nicht, wofür diese Kombination überhaupt gilt~~. Zudem erscheint die Passwortabfrage nicht als HTML-Formular, wie es wohl die meisten Webbenutzer gewohnt sind, sondern in einem eigenen Fenster, und ist somit auffällig~~.		Diese [[Computersicherheit\|Sicherheitslücke]] erfordert vom Benutzer jedoch, dazu verleitet zu werden, einen Benutzernamen und ein Passwort einzugeben. Die Passwortabfrage erscheint dabei nicht als HTML-Formular, wie es beim Einloggvorgang auf einer (Forums-)Website üblich ist, sondern in einem eigenen Fenster, und ist somit auffällig. Bei einer Webseite, auf der normalerweise keine Passwörter verlangt werden, ist es schon unwahrscheinlicher, dass der Benutzer eine Kombination aus Benutzername und Passwort eingibt, der Angreifer weiß dann auch nicht, wofür diese Kombination überhaupt gilt.

	Cross-Site Authentication ~~kann~~ durch ~~den~~ Browser begünstigt ~~werden~~, ~~indem dieser~~ im Passwort-Dialog den Namen ~~des~~ zur ~~Passwort-Eingabe~~ auffordernden ~~Webservers~~ nicht deutlich genug ~~anzeigt~~.		Cross-Site-Authentication-Attacken werden durch Browser begünstigt, die im Passwort-Dialog den Namen der zur Passworteingabe auffordernden Website nicht deutlich genug anzeigen.

	== Schutz ==		== Schutz ==

Androl: Androl verschob Seite Cross-Site Authentication nach Cross-Site-Authentication-Attacke: C-S-Auth bezeichnet den Vorgang der Passwortabfrage. Damit es als Angriff durchgeht, muss man es Attacke nennen

2012-06-08T12:20:47Z

Androl verschob Seite Cross-Site Authentication nach Cross-Site-Authentication-Attacke: C-S-Auth bezeichnet den Vorgang der Passwortabfrage. Damit es als Angriff durchgeht, muss man es Attacke nennen

← Nächstältere Version	Version vom 8. Juni 2012, 14:20 Uhr
(kein Unterschied)

← Nächstältere Version		Version vom 9. Juli 2023, 12:33 Uhr
Zeile 1:		Zeile 1:
	Eine '''Cross-Site-Authentication-Attacke''' (kurz: ''XSA'') ist ein Angriff gegen eine [[Webanwendung]], mittels der ein Angreifer fremde [[Kennwort\|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site-Request-Forgery]].		Eine '''Cross-Site-Authentication-Attacke''' (kurz: ''XSA'') ist ein Angriff gegen eine [[Webanwendung]], mittels der ein Angreifer fremde [[Kennwort\|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site-Request-Forgery]].

	~~Dieses~~ ~~Verhalten~~ ~~kann~~ ~~ausgenutzt~~ ~~werden~~, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch [[HTTP-Authentifizierung\|HTTP Auth]] geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.		Die Gefahr einer solchen Attacke besteht, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch [[HTTP-Authentifizierung\|HTTP Auth]] geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.

	Diese [[Computersicherheit\|Sicherheitslücke]] erfordert vom Benutzer jedoch, dazu verleitet zu werden, einen Benutzernamen und ein Passwort einzugeben. Die Passwortabfrage erscheint dabei nicht als HTML-Formular, wie es beim Einloggvorgang auf einer (Forums-)Website üblich ist, sondern in einem eigenen Fenster, und ist somit auffällig. Bei einer Webseite, auf der normalerweise keine Passwörter verlangt werden, ist es schon unwahrscheinlicher, dass der Benutzer eine Kombination aus Benutzername und Passwort eingibt, der Angreifer weiß dann auch nicht, wofür diese Kombination überhaupt gilt.		Diese [[Computersicherheit\|Sicherheitslücke]] erfordert vom Benutzer jedoch, dazu verleitet zu werden, einen Benutzernamen und ein Passwort einzugeben. Die Passwortabfrage erscheint dabei nicht als HTML-Formular, wie es beim Einloggvorgang auf einer (Forums-)Website üblich ist, sondern in einem eigenen Fenster, und ist somit auffällig. Bei einer Webseite, auf der normalerweise keine Passwörter verlangt werden, ist es schon unwahrscheinlicher, dass der Benutzer eine Kombination aus Benutzername und Passwort eingibt, der Angreifer weiß dann auch nicht, wofür diese Kombination überhaupt gilt.

← Nächstältere Version		Version vom 8. Juni 2012, 14:53 Uhr
Zeile 1:		Zeile 1:
	Eine '''Cross-Site-Authentication-Attacke''' (kurz: ''XSA'') ist ein Angriff gegen eine [[Webanwendung]], mittels der ein Angreifer fremde [[Kennwort\|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site Request Forgery]].		Eine '''Cross-Site-Authentication-Attacke''' (kurz: ''XSA'') ist ein Angriff gegen eine [[Webanwendung]], mittels der ein Angreifer fremde [[Kennwort\|Passwörter]] ausspionieren kann. Hierbei handelt es sich um eine Form der [[Cross-Site Request Forgery]].

	Dieses Verhalten kann ausgenutzt werden, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch [[HTTP-~~Authorisierung~~\|HTTP Auth]] geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.		Dieses Verhalten kann ausgenutzt werden, wenn ein [[Webforum]], ein [[Weblog]] oder ähnliche Systeme das Einbinden von Bildern durch nicht vertrauenswürdige Benutzer zulässt. Ein Angreifer bindet dazu ein beliebiges Bild in einen Beitrag ein, welches durch den [[Webserver]] durch [[HTTP-Authentifizierung\|HTTP Auth]] geschützt ist. Ruft ein Benutzer den Beitrag auf, fordert ihn sein [[Webbrowser]] auf, eine Benutzer/Passwort-Kombination einzugeben, welche dann vom Webserver des Angreifers gespeichert werden kann.

	Diese [[Computersicherheit\|Sicherheitslücke]] erfordert vom Benutzer jedoch, dazu verleitet zu werden, einen Benutzernamen und ein Passwort einzugeben. Die Passwortabfrage erscheint dabei nicht als HTML-Formular, wie es beim Einloggvorgang auf einer (Forums-)Website üblich ist, sondern in einem eigenen Fenster, und ist somit auffällig. Bei einer Webseite, auf der normalerweise keine Passwörter verlangt werden, ist es schon unwahrscheinlicher, dass der Benutzer eine Kombination aus Benutzername und Passwort eingibt, der Angreifer weiß dann auch nicht, wofür diese Kombination überhaupt gilt.		Diese [[Computersicherheit\|Sicherheitslücke]] erfordert vom Benutzer jedoch, dazu verleitet zu werden, einen Benutzernamen und ein Passwort einzugeben. Die Passwortabfrage erscheint dabei nicht als HTML-Formular, wie es beim Einloggvorgang auf einer (Forums-)Website üblich ist, sondern in einem eigenen Fenster, und ist somit auffällig. Bei einer Webseite, auf der normalerweise keine Passwörter verlangt werden, ist es schon unwahrscheinlicher, dass der Benutzer eine Kombination aus Benutzername und Passwort eingibt, der Angreifer weiß dann auch nicht, wofür diese Kombination überhaupt gilt.