Christian Kruse: Einstellungen überarbeiten, Prototyp, Bitte um Hilfe

Beitrag lesen

Hallo Martin,

Und das lässt sich in der Tat auch nicht so ohne weiteres fixen (zumindest nicht, ohne eine schöne Sicherheitslücke aufzureissen).

Sicherheit? Die potentielle Sicherheitslücke sehe ich hier nicht.

Naja, doch: potentiell andere Redirects unterschieben. In dem Fall kommt ja die URL von der Client-Seite, und das ist immer problematisch dann darauf umzuleiten; so funktionieren ja die CSRF-Attacken. Man schiebt dem User eine URL unter, so dass er darauf zugreift ohne es zu merken.

Aber ich hätte das Konzept auch anders aufgezogen: Ich hätte das Login-Formular im Kopfbereich jeder Seite eingebettet, solange der Nutzer nicht eingeloggt ist (als Block, der nur bei :hover oder :focus auf volle Größe ausfährt). Dann würde ein Login-Vorgang ohne Änderung der URL ablaufen.

Das allerdings ist eine gute Idee.

Den Referer auszuwerten ist zwar auch umstritten, würde aber in diesem Fall vermutlich weniger Verwirrung stiften.

Der Referer würde hier gar nichts helfen.

Nein? Beim Aufruf des Login-Formulars den Referer in ein hidden-Feld stecken, […]

Siehe oben. URLs vom User entgegen nehmen und dahin umleiten halte ich immer für einen potentiellen Angriffspunkt.

LG,
CK

0 110

Links in neuem Fenster öffnen

marctrix
  • zu diesem forum
  1. 1
    Christian Kruse
    1. 0
      dedlfix
      1. 1
        Christian Kruse
    2. 0
      Matthias Apsel
      1. 0
        Der Martin
      2. 0
        Gunnar Bittersmann
        • menschelei
        1. 3
          Tabellenkalk
          1. 0
            Christian Kruse
    3. 0
      marctrix
      1. 0
        Matthias Apsel
        1. 0
          marctrix
          1. 1
            Matthias Apsel
            1. 3
              Christian Kruse
              1. 1
                marctrix
                1. 0
                  Christian Kruse
                  1. 0
                    marctrix
                    1. 0
                      Christian Kruse
                      1. 0
                        marctrix
                        1. 0

                          ein Anfang

                          Auge
                  2. 0
                    Auge
                    1. 0
                      Christian Kruse
                      1. 3

                        Einstellungen überarbeiten, Prototyp

                        Auge
                        1. 0
                          Christian Kruse
                          1. 0
                            Auge
                            1. 0
                              Christian Kruse
                              1. 0

                                Einstellungen überarbeiten, Prototyp, Bitte um Hilfe

                                Auge
                                1. 0
                                  Christian Kruse
                                  1. 0
                                    Auge
                                    1. 0
                                      Christian Kruse
                                      1. 1
                                        Christian Kruse
                                        1. 2
                                          Christian Kruse
                                          1. 0
                                            Matthias Apsel
                                          2. 0
                                            Der Martin
                                            1. 0
                                              Auge
                                              1. 0
                                                Der Martin
                                                1. 0
                                                  Christian Kruse
                                                  1. 1
                                                    Der Martin
                                                    1. 0
                                                      Christian Kruse
                                                      1. 0
                                                        Der Martin
                                                        1. 1
                                                          Christian Kruse
                                                          1. 0
                                                            Der Martin
                                                            1. 0
                                                              Christian Kruse
                                                              1. 0
                                                                Matthias Apsel
                                                                1. 0
                                                                  Christian Kruse
                                                                  1. 0
                                                                    Matthias Apsel
                                                                    1. 0
                                                                      Der Martin
                                                                    2. 0
                                                                      Christian Kruse
                                                                      1. 0
                                                                        Matthias Apsel
                                                                      2. 0
                                                                        at
                                                                2. 0
                                                                  Der Martin
                                                              2. 0
                                                                Matthias Apsel
                                                                1. 0
                                                                  Matthias Apsel
                                                              3. 0
                                                                Der Martin
                                                                1. 0
                                                                  Christian Kruse
                                                                  1. 0
                                                                    Der Martin
                                                                    1. 2
                                                                      Christian Kruse
                                            2. 0
                                              Matthias Apsel
                                          3. 0
                                            Matthias Apsel
                                            1. 0
                                              Auge
                                              • javascript
                                              • zu diesem forum
                                              1. 1
                                                Christian Kruse
                                        2. 1
                                          Auge
                                          1. 0
                                            Christian Kruse
                                            1. 0
                                              Auge
                        2. 0
                          marctrix
                2. 0
                  Auge
                  1. 0
                    Matthias Apsel
                    1. 0
                      Auge
                    2. 0
                      Tabellenkalk
              2. 0
                Matthias Apsel
              3. 0

                Alt-Text eines eigenen Avatars

                Auge
                1. 0
                  Christian Kruse
                  1. 0
                    Matthias Apsel
                    1. 2
                      marctrix
                      1. 0
                        Christian Kruse
                        1. 0
                          Matthias Apsel
                          1. 1
                            Christian Kruse
                            1. 0
                              Matthias Apsel
                              1. 0
                                Matthias Apsel
                                1. 0
                                  Christian Kruse
                            2. 0
                              Matthias Apsel
                        2. 0
                          marctrix
                          1. 0
                            Christian Kruse
                        3. 0
                          Gunnar Bittersmann
                          1. 0
                            Tabellenkalk
                            1. 0
                              Gunnar Bittersmann
                              1. 0
                                Christian Kruse
                                1. 0
                                  Gunnar Bittersmann
                              2. 0
                                Tabellenkalk
                        4. 0
                          Gunnar Bittersmann
                      2. 0
                        MudGuard
                        • menschelei
                        • zu diesem forum
                        1. 1
                          marctrix
                          1. 0
                            MudGuard
                            1. 0
                              Gunnar Bittersmann
                              1. 0
                                MudGuard
                      3. 0
                        Gunnar Bittersmann
                        1. 0
                          marctrix
              4. 0
                Matthias Apsel
                1. 1
                  Christian Kruse
                  1. 0
                    Der Martin
                    1. 0
                      Christian Kruse
                      1. 0
                        Matthias Apsel
                        1. 1
                          Christian Kruse
                          1. 0
                            Matthias Apsel
                            1. 0
                              Christian Kruse
                      2. 0
                        Matthias Apsel
                      3. 0
                        Matthias Apsel
                        • menschelei
                        • zu diesem forum
            2. 0
              marctrix
              1. 0
                Christian Kruse
                1. 0
                  marctrix