kn0wledge

Hallo,

Ich binde per Ajax über jQuery mit getScript() eine Javascript Datei ein, jetzt kann ja theoretisch von einem User der Request so manipuliert werden, dass eine andere Javascript Datei von einer fremden Domain eingebunden wird, ist dies ein großes Sicherheitsrisiko? weil bei anderen Usern würde der manipulierte Request ja keine Rolle spielen sondern nur bei dem User der es selbst in seinem Account manipuliert hat oder?

Mister Ad

nikosch

Das kommt drauf an. „Cross site scripting“ und „cross site request forgery“ sind, je nachdem, was Deine Applikation tut, Deine Stichwörter.

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--

mepeisen

Grundsätzlich muss für ein wirksamen XSS-Angriff folgendes erfüllt werden: Es muss die URL umgebogen werden. Wie du bereits erkannt hast. Das geht auf zwei Arten:
1) Ändern der HTML-Seite und Ausführen einer veränderten Version
2) Einbrechen über manipulierte Links u.ä.

Die erste Variante ist normalerweise im ersten Moment harmlos. Was jedoch passieren kann: Leute können über einen gefakten Link auf eine exakte Kopie deiner Webseite gelockt werden, um dort beispielsweise das Kennwort u.ä. arneut angeben zu müssen. Umgehen kannst du sowas kaum.
Die zweite Variante ist ein Problem. Sie ist immer dann möglich, wenn du Eingaben deiner User ungefiltert ausgibst, also zusammen mit potentiell schädlichem Javascript.

__________________
Entwickler aus Leidenschaft und ein Zahnrad in einem der größten Java-Projekte der Welt.

Flor1an

Also wenn ich selbst eine fremde Datei einbinde dann bin ich doch selbst Schuld wenn dadurch was passiert oder? Solang er diese Änderung nicht "fest" in deinem Code einbringen kann (seis jetzt durch die Datenbank, Textdatei, Link/URL Parameter) stört es doch keinen anderen Benutzer. Was genau möchtest du?

kn0wledge

Das wollte ich hören danke

eigentlich wars mir schon klar, aber ich wollte lieber auf Nummer sicher gehen und nochmal nachfragen.

nikosch

Tja, das ist aber nur die halbe Wahrheit, wie Du an den Antworten darüber lesen kannst. Ist ja schön, dass Du das hören wolltest. Ich höre auch gerne „Alles ist gut“.

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--

Flor1an

Naja solang er diese Datei nur einbinden kann indem er "per Hand" oder z.B. per Greasemonkey die Javascript Datei nachlädt dann sollte da eigentlich nichts passieren. Das Problem besteht ja nur wenn der User es schafft die Datei auch bei anderen User einzubinden. Wie eben gesagt durch ungefilterte Eingaben/Ausgaben oder eben über ungefilterte URL Parameter.

kn0wledge

Was willst du damit sagen ?

Auf meiner Seite werden sicherlich keine Usereingaben ungefiltert irgendwo eingetragen oder ausgegeben.

und was da noch steht

Ich nenn das mal Phishing und wie schon gesagt kann man sowas nicht umgehen, außer man hat vllt. so ein schönes Zertifikat wie Paypal oder was weiß ich dass fett neben der AdressLeiste hervorsticht und selbst dann gibt es Leute die noch zu dumm sind und fröhlich ihre Daten eingeben.

nikosch

Sicherlich. Du wirst es wissen. Wir nicht auf Grundlage Deines ursprünglichen Postings.

__________________
--
One pixel is still too big. Please make it smaller. ASAP.

Initiative Mittelstand.
Die wichtigste Gestaltungsregel im Screendesign ist Pi mal Daumen des Arbeitgebers.
--

kn0wledge

ok stimmt da steht wirklich nichts , aber es ist so wie Florian gesagt hat, dass Script ist völlig unabhänig von einer Eingabe und könnte nur per FireBug oder ähnlichem geändert werden.