nicht angemeldet
JavaScript: location = passwort + '.htm' testen lassen?
Hallo,
im Netz gibt es ja noch verschiedene Leute, die ihre Seiten indirekt mit Javascript schützen. Nicht per mitgeliefertem Schlüssel, sondern einfach die variable + '.htm' in die location setzen lassen.
Gibt es dazu irgendwelche Tools, die per BruteForce oder Dictionary-Abgleich o.ä. testen, welche seiten in diesem offenen Verzeichnis liegen?
An sich ist diese js-Passwortgeschichte ja clever, aber eben nicht sicher.
Danke
Odium
-
Moin Moin !
Schreib dir ein Script, daß von Null bis unendlich (sagen wir mal: 1000) lange Strings baut, die jeweils alle Zeichen von ASCII 0 bis ASCII 255 durchprobieren, mit Ausnahme von ? und #.
Ca. drei FOR-Schleifen.
Gib die Strings zusammen mit URL-Prefix und -Suffix an wget, lynx oder LWP::Simple.
Brute Force Tool fertig.
Rechne Dir aber vorher aus, wie lange das dauert, wenn jeder Request in 100 ms erledigt ist.
Du brauchst viel, viel Zeit ...
Alexander
--
Today I will gladly share my knowledge and experience, for there are no sweeter words than "I told you so!" -
Hi Odium,
im Netz gibt es ja noch verschiedene Leute, die ihre Seiten indirekt mit Javascript schützen. Nicht per mitgeliefertem Schlüssel, sondern einfach die variable + '.htm' in die location setzen lassen.
Gibt es dazu irgendwelche Tools, die per BruteForce oder Dictionary-Abgleich o.ä. testen, welche seiten in diesem offenen Verzeichnis liegen?die Schwachstelle eines solchen "Schutzes" ist gar nicht der brute-Force-Angriff (welcher gegen HTTP Authentication ebenfalls möglich ist, wie gegen jedes gedächtnislose System), sondern die Gefahr, daß der gültige URL selbst irgendwo auf fremden Rechnern protokolliert wird - beispielsweise als Referrer in meinem Apache-Log, falls der Benutzer _nach_ dem Besuch Deiner Seite auf meine Seite wechselt und sein Browser meint, dabei Deinen URL aus Referrer senden zu müssen. Oder in den Log-Daten eines beliebigen Proxy-Servers auf der Strecke.
Der URL wird einfach viel öfter durch die Gegend geworfen und protokolliert als andere Teile des HTTP-Requests, etwa der Authentication-Header - das liegt einfach daran, daß der URL nicht als sicherheitsrelevantes Konzept entwickelt wurde.
Wer ihn als Passwort mißbraucht, darf sich nicht beschweren, wenn andere Teilnehmer des weltweiten Netzes nicht auf diese Idee kommen und beispielsweise über eine Referrer-Liste a la
http://webalizer.teamone.de/selfforum/ref_200301.htm
Deine "geheimen" Informationen veröffentlichen, ohne daß Du das überhaupt merkst.Ich erinnere mich noch gut daran, wie ein System-Administrator einer der bekanntesten deutschen Technologiefirmen sich per Mail bei Stefan Münz über die Veröffentlichung dieser Referrer beschwert hat, weil dadurch "geheime interne Rechnernamen" veröffentlicht wurden ... auf die Idee, das Senden eines Referrers an der Schnittstelle zwischen Firmennetz und dem "wilden Westen", beispielsweise seinem Proxy-Gateway, zu unterbinden (also einfach seinen eigenen Job sorgfältig zu machen), war der Mensch natürlich nicht gekommen ...
Viele Grüße
Michael--
T'Pol: I apologize if I acted inappropriately.
V'Lar: Not at all. In fact, your bluntness made me reconsider some of my positions. Much as it has now.-
Moin Moin !
Ich erinnere mich noch gut daran, wie ein System-Administrator einer der bekanntesten deutschen Technologiefirmen sich per Mail bei Stefan Münz über die Veröffentlichung dieser Referrer beschwert hat, weil dadurch "geheime interne Rechnernamen" veröffentlicht wurden ... auf die Idee, das Senden eines Referrers an der Schnittstelle zwischen Firmennetz und dem "wilden Westen", beispielsweise seinem Proxy-Gateway, zu unterbinden (also einfach seinen eigenen Job sorgfältig zu machen), war der Mensch natürlich nicht gekommen ...
*PRUST*
Gibt's das irgendwo öffenlich zugänglich zum Nachlesen?
Oder anders gefragt: Wo bleibt der Link? ;-)
Alexander
--
Today I will gladly share my knowledge and experience, for there are no sweeter words than "I told you so!"-
Hi Alexander,
Ich erinnere mich noch gut daran, wie ein System-Administrator einer der bekanntesten deutschen Technologiefirmen ...
Gibt's das irgendwo öffenlich zugänglich zum Nachlesen?nope. Das wäre dann ja wohl ein Verstoß gegen die guten Sitten, detailliert aus Mails zu zitieren.
Oder anders gefragt: Wo bleibt der Link? ;-)
Hm ... frag doch mal bei Stefan nach, ob sich der Fall für
http://selffan.teamone.de/selfmail/
eignet.
Es war halt weniger menschliche als vielmehr fachliche Imkompetenz, also wohl ein Insider-Gag.Viele Grüße
Michael--
T'Pol: I apologize if I acted inappropriately.
V'Lar: Not at all. In fact, your bluntness made me reconsider some of my positions. Much as it has now.-
Moin Moin !
nope. Das wäre dann ja wohl ein Verstoß gegen die guten Sitten, detailliert aus Mails zu zitieren.
Wer redet denn von Zitieren ? Full Quote ist angesagt ;-)
Man kann ja etwas schwärzen, zumindest die Firma und den Nachnamen.
Alexander
--
Today I will gladly share my knowledge and experience, for there are no sweeter words than "I told you so!"
-
-
-