Umleitung auf wyciwyg:// Protokoll

[Linuchs]

Moin,

per Firefox-Lesezeichen konnte ich bisher eine anmeldepflichtige (eigene) Webseite erreichen, weil die temporäre Zulassung als GET-Parameter mitgegeben wird.

Ohne Vorwarnung komme ich auf diese Seite nicht mehr drauf. Ich erreiche zwar das Anmelde-Formular, aber nach Neuanmeldung erreiche ich die Start-Seite nicht. Eben die, die ich bisher als Lesezeichen hatte, nun mit neuer temporärer Kennung.

Grund: Der URL http://... wurde wyciwyg://O/ vorangestellt. Sowohl im Firefox als auch in der Opera.

Das Googeln brachte den Hinweis, dass das ein Proxy-Problem sein könnte und man möge den Cache leeren.

Habe den FF Cache geleert und die Einstellung "Proxy Einstellungen des Systems verwenden" geändert in "Kein Proxy" - vergeblich.

Ich komme z.Z. an dieses Projekt nicht dran, weil ich über diese jetzt verbotene Seite gehen muss, es ist das Menü.

Wie ist das Problem zu beheben? Es scheint nur diese eine Seite zu betreffen.

Linuchs

[Google weiß alles]

Wie ist das Problem zu beheben? Es scheint nur diese eine Seite zu betreffen.

Die Kristallkugel sagt mir, dass der Betreiber der Webseite Deine Vorgehensweise nicht akzeptiert. Scheinbar will er nicht akzeptieren, dass Du ohne zuvor das Formular aufzurufen die Anmeldedaten per GET (oder Post, das wäre da egel) sendest. Hintergrund dürfte wohl sein, dass er damit Brute-Force-Angriffe verlangsamen und also erschweren will.

Außerdem hat der Dienstbetreiber jahrelang echten Mist gemacht! Denn die per GET gesendeten Zugangsdaten landeten selbst bei einer Übertragung mit HTTPS im Klartext im Logfile. Da muss man sich dann auch keine Sorgen mehr um das Speichern gehaschter Passwörter machen. Hinzu kommt, dass der Wewbserver das Logfile lesen darf und dass dessen Speicherort (wenn auf dem Default belassen) bekannt ist ist. Sehr schönes Lehrbuchbeispiel für einen ganz schlechten Bypass.

Wenn Du in irgendeiner Weise eine vereinfachte Anmeldung willst, dann kontaktiere den Betreiber um die Möglichkeiten zu ergründen. Es gäbe da schon Möglichkeiten - die aber wieder sehr vielen im Hinblick auf den Datenschutz nicht gefallen und sich bei manchen Diensten sogar regelrecht verbieten. Damit meine ich eine Anmeldung über Google-, Mickisoft-, Fratzenbuch-, ...-Konten.

[Linuchs]

Die Kristallkugel sagt mir, dass der Betreiber der Webseite Deine Vorgehensweise nicht akzeptiert.

Naja, deine Kristallkugel ist entschuldigt. Sie dürfte des Lesens nicht mächtig sein. Ich schrieb, dass es sich um meine eigene Seite handelt. Eigen bedeutet dabei ein angemieteter Debian-Server mit root-Rechten und einer handvoll Domains. Davon ist eine betroffen.

Außerdem hat der Dienstbetreiber jahrelang echten Mist gemacht! Denn die per GET gesendeten Zugangsdaten landeten selbst bei einer Übertragung mit HTTPS im Klartext im Logfile.

Naja, die übertragenen "Zugangsdaten" nennt man anderswo eine Sitzung oder auf gut deutsch "session". Nur dass ich kein zeitliches Limit für Sessions vorgesehen habe.

Ich verstehe dich also recht, dass Strafe sein muss und ich auf meine Domain nicht mehr zugreifen darf. Gut, dass wir darüber diskutiert haben. Aber eine Hilfe warst du nicht.

Linuchs

[Google weiß alles]

Naja, deine Kristallkugel ist entschuldigt. Sie dürfte des Lesens nicht mächtig sein. Ich schrieb, dass es sich um meine eigene Seite handelt.

Eine "eigene Seite" kann auch etwas sein wie ein weblog bei blogger, blogspot oder wordpress. Wenn es Deine "eigene" "Seite" ist, dann solltest Du das definieren. Wenn alles von Dir ist (Server, Software und Inhalt) dann hast du selbst irgendetwas gemacht. Stellt sich die Frage wieso jemand, der selbst Herrscher über die Software sein soll und also selbst ein Sicherheitsscheunentor (ein wenig) schloss, in einem Forum fragt warum die bisherige, höchst unsichere Anmeldung nicht mehr funktioniert? Solche ungenauen Problembeschreibungen trüben jede Kristallkugel.

wyciwyg://O/

(What You Can See Is What You Get):0h halte ich übrigens für ganz feinen Humor. Kann es sein, dass das von Dir beschriebene seit dem Zeitpunkt auftritt, zu welchem ein Softwareupdate erfolgte oder hat ein von Mitleid getriebener Hacker ein Scheunentor auf Deinem Server geschlossen?

Naja, die übertragenen "Zugangsdaten" nennt man anderswo eine Sitzung oder auf gut deutsch "session".

Die Session-ID soll auch niemals als GET-Parameter (http://foo?sessid=1234567890abcd) sondern als Cookie übertragen werden. Damit diese NICHT im Logfile landet.

[Google weiß alles]

Die Session-ID soll auch niemals als GET-Parameter (http://foo?sessid=1234567890abcd) sondern als Cookie übertragen werden. Damit diese NICHT im Logfile landet.

(oder versehentlich als Link irgendwohin übertragen wird ...)

[dedlfix]

Tach!

wyciwyg://O/

(What You Can See Is What You Get):0h halte ich übrigens für ganz feinen Humor.

Hmm, ich halte es hingegen für eine Missinterpretation. "What You Cache Is What You Get" sagt das Internet, und damit kommt man deutlich näher an das Problem. Und vermutlich hilft es, wie so oft, die Entwicklertools des Browsers zu Rate zu ziehen, um zu sehen, was da nun wirklich abläuft bei den Requests. Und wenn man dann noch möchte, dass Seiten vom Client nicht gecacht werden, besonders bei sich stets änderndem Inhalt, sollte man serverseitig entsprechende Header mitsenden.

Kann es sein, dass das von Dir beschriebene seit dem Zeitpunkt auftritt, zu welchem ein Softwareupdate erfolgte oder hat ein von Mitleid getriebener Hacker ein Scheunentor auf Deinem Server geschlossen?

Nun, Google weiß alles und hat mir verraten, dass das eine browserinterne Geschichte sein soll.

dedlfix.

[Google weiß alles]

Nun, Google weiß alles und hat mir verraten, dass das eine browserinterne Geschichte sein soll.

Ja. Aber die hat auch mit (unerwarteten) serverseitigen Veränderungen und sehr wahrscheinlich, ich sag mal, "unstimmigen Headern" zu tun. Möglicherweise auch mit einem Firefox-Update, bei dem Versionsnummern übersprungen wurden. (Linuchs: Hat das von mir empfohlene sudo apt-get autoremove geholfen und hat das Update danach funktioniert?)

Und außerdem bleibt es bei meinen Aussagen zur katastrophalen Sicherheit.

Lösungsvorschläge:

Wenn es ein Cache-Problem ist:

Alle Firefox-Instanzen beenden, dazu an besten die Kill-Befehle verwenden. Wenn gemeldet wird, dass die Anwendung nicht gefunden wurde: ignorieren. Danach(!) den Cache brutal(!) löschen:

Terminal als normaler Benutzer:

killall -9 firefox;
killall -9 firefox-bin;
cd; # geht nach Hause
rm -rf .cache/mozilla/;

Dann den Firefox neu starten und schauen ob das Problem noch lebt. Das fehlende Verzeichnis und dessen Kinder werden vom Firefox automatisch neu angelegt. Zur Beruhigung: Ich habe das gerade eben getan und schreibe diese Nachricht mit Firefox...

Es kann angeblich auch ein DNS-Problem sein:

Manche Quellen berichten darüber hinaus von einem "kaputten" DNS-Server als Auslöser. Das kann auch sein, denn die DNS von O2 und Telekom lieferten bei meinen früheren Test für nicht existente Hosts eine IP auf der durch die ISPs mit einer eigenen Suchseite Werbeeinnahmen erzielt werden sollten. Diese "DNS-Server" verhalten sich nicht normgerecht, sind also tatsächlich "kaputt". In dem Fall: Netzwerkverbindung kappen, 8.8.8.8 und/oder einen anderen freien und nicht kaputten DNS konfigurieren, alle Firefox-Sitzungen beenden, Netzwerkverbindung neu aufbauen.

Nicht kaputte DNS-Server liefern mit

time host cjebjzcjgbezgf 62.113.203.55

ohne wahrnehmbare Verzögerung ein solches Ergebnis

Using domain server:
Name: 62.113.203.55
Address: 62.113.203.55#53
Aliases: 

Host cjebjzcjgbezgf not found: 3(NXDOMAIN)

real    0m0.064s
user    0m0.012s
sys     0m0.004s

62.113.203.55 ist also nicht kaputt. Dich interessiert die real verbrauchte Zeit.

[dedlfix]

Tach!

[...] die DNS von O2 und Telekom lieferten bei meinen früheren Test für nicht existente Hosts eine IP auf der durch die ISPs mit einer eigenen Suchseite Werbeeinnahmen erzielt werden sollten.

Nun, zumindest die Telekom macht das noch immer, aber seit der Einführung dieses "Features" gibt es auch eine Abschaltmöglichkeit desselben im Kundencenter. Das nennt sich dort Navigationshilfe.

dedlfix.

[Linuchs]

Ich denke, an den Schrauben der Innereien zu drehen, ist nicht mein Ding. Bin dem Link gefolgt, habe mir einen Proxy gesucht und dann im FF dies eingetragen:

beim FF dieses eingetragen.

Da ging gar nichts mehr. Also zurück auf Proxy Einstellung des Systems.

Wobei ich nicht die geringste Ahnung habe, welches System gemein ist. Mein Rechner? Mein Zugangsprovider? Die Denic?

Zugangsprovider ist Unitymedia.

Linuchs

[Der Martin]

Hi,

Ich denke, an den Schrauben der Innereien zu drehen, ist nicht mein Ding.

das hat ja auch niemand vorgeschlagen - sondern nur, der betroffenen Ressource entsprechende HTTP-Header mitzugeben, die dem Client klarmachen, dass ein Caching nicht erwünscht ist.

Bin dem Link gefolgt, habe mir einen Proxy gesucht und dann im FF dies eingetragen:

beim FF dieses eingetragen.

Da ging gar nichts mehr.

Kein Wunder. Das ist ein Nameserver, kein Proxy!

Also zurück auf Proxy Einstellung des Systems.

Wobei ich nicht die geringste Ahnung habe, welches System gemein ist. Mein Rechner?

Natürlich. Was sonst?

Mein Zugangsprovider? Die Denic?

Was hätten die mit einem Proxy zu tun?

So long,
 Martin

[Google weiß alles]

Ich denke, an den Schrauben der Innereien zu drehen, ist nicht mein Ding.

Ich denke, Du willst ein Problem lösen. Wenn Schrauben locker sind dann zieht man die an und denkt dann auch über Lösungen wie selbst sichernde Muttern nach... Also lösche erst mal den verdammten Cache.

Du willst Hilfe?

1. Bitte beantworte Rückfragen.
2. Und bitte gib auch mal Rückmeldung, ob etwas funktioniert hat oder nicht.

Bin dem Link gefolgt, habe mir einen Proxy gesucht und dann im FF dies eingetragen

Proxy !== DNS

"Proxy Einstellung des Systems" Wobei ich nicht die geringste Ahnung habe, welches System gemein ist. Mein Rechner? Mein Zugangsprovider? Die Denic?

Lese alles, aber besonders unter "Alternatives Verfahren"

Das hat mit Deinem Problem aber nichts zu tun, da geht es primär um den Browsercache, nur sekundär und nur eventuell auch um falsche oder veraltete DNS-Auskünfte.

[Linuchs]

Also lösche erst mal den verdammten Cache.

Ja, habe ich gerade gemacht, einmal eine Zeile (sudo aptget ...) und einmal vier Zeilen (killall ...) per Terminal ausgeführt. FF wieder gestartet, ohne Erfolg, wyciwyc wird immer noch davor gesetzt.

Ich habe die Konzentration auf den FF nicht verstanden. Das Problem tritt auch bei der Opera auf. Dort kommt die Meldung, mit der ich nichts anfangenn kann:

"Helfen Sie, Opera zu verbessern, indem Sie Informationen über die Verwendung der Funktionen senden / Ja, ich möchte mithelfen / Nein, danke"

Dann habe ich natürlich geschaut, was ein Proxy ist. Ein Rechner, der "in der Leitung" sitzt und den Datenstrom kontrolliert. Ich bin mit meinem Rechner über den Router und das Kabelmodem "nach draußen" verbunden. Wer oder was sich "draußen" abspielt, entzieht sich meiner Kenntnis.

Also Router aus- und wieder eingeschaltet. Problem bleibt. Modem aus- und wieder eingeschaltet. Problem bleibt.

Ich habe das so verstanden, dass die Auflösung der URL für diese Seite nicht funktioniert, also der DNS "kaputt" ist. Aber wer schraubt an DNS herum?

Proxy !== DNS

Okay, war mir nicht klar.

Linuchs

[Google weiß alles]

Ich habe die Konzentration auf den FF nicht verstanden. Das Problem tritt auch bei der Opera auf.

Erst mal einen.

Dort kommt die Meldung, mit der ich nichts anfangen kann:

"Helfen Sie, Opera zu verbessern, indem Sie Informationen über die Verwendung der Funktionen senden / Ja, ich möchte mithelfen / Nein, danke"

Opera möchte "nach Hause telefonieren" und dabei einen Haufen Daten senden, z.B. die Adresse der abgerufenen Webseite und/oder einen Speicherauszug ggf. weitere interne Debugging-Infos. Opera fragt ob es das darf. Falls ja wird sich VIELLEICHT ein Techniker die Sache ansehen.

Aber wer schraubt an DNS herum?

• z.B. Dein Hoster, weil er die Webseite auf einen anderen Server gezogen hat.
• z.B. Unitymedia, weil die (so einige Quellen) ohne die Kunden explizit und deutlich genug über die Nachteile zu informieren nur IPv6-Adressen vergeben und womöglich (ich weiß nichts darüber) Deine Datenpakte womöglich über einen "transparenten Proxy" (das kann via gefälschter IP-Adresse oder Firewallfunktion geschehen) oder was auch immer weiterleiten. Das von Unitymedia offenbar stillschweigend verwendete DsLite scheint vielen Probleme zu bereiten.

Ich habe gerade noch mal geschaut: Tatsächlich habe ich auf der Webseite von unitymedia keinen Hinweis gefunden, dass nur IPv6-Adressen vergeben werden und IPv4 nur über Krücken möglich ist, einiges gar nicht funktionieren kann. Für mich wäre der Anschluss nutzlos weil ich meine Rechner auch aus der Ferne steuern will und das von Anschlüssen geschehen muss, die (und das sind noch die meisten) kein IPv6 können. Z.B. Hotel-Wlan.

Problem bleibt.

1. Frage: Was gibt denn ifconfig auf dem betroffenen Rechner (oder sind es mehrere?) aus?
2. Frage: Verrät die Anschlussbox die IP-Konfiguration? Wenn ja will ich die auch wissen.
3. Frage: Was passiert denn, wenn Du den Firefox im privaten Modus startest und die URL in die Adresszeile kopierst?
4. Frage: Tritt das Problem auch an einem anderen Anschluss auf (z.B. WLAN in Hotel in Deiner Nähe, MC Doof oder einem Café)?

Jetzt sind wir langsam an dem Punkt, wo tiefer gehende "Forschung" betrieben werden muss. Dazu bräuchte es dann "Butter bei die Fische"

• die Adresse der betroffenen Webseite (URL)
• die IP, die auf Deinen Rechner dafür ermittelt werden (dig DEIN.Host, nslookup DEIN.HOST,...)
• einen Testzugang.

Literatur:

• http://www.herrdorok.de/einmal-unitymedia-und-zurueck/

[Linuchs]

Ich merkte, dass die Opera die Seite kurz aufblitzen ließ und dann weiß machte. Der komplette Quellcode war vorhanden. Während im FF nur die Zeile vorhanden war, die das JS Kommando write ausgibt:

window.addEventListener('DOMContentLoaded', function ( ) {
  // Textfeld einrichten
  document.write( "<div id='helptext'><\/div>" );
...

Linuchs

[Der Martin]

Hi,

Ich merkte, dass die Opera die Seite kurz aufblitzen ließ und dann weiß machte. Der komplette Quellcode war vorhanden. Während im FF nur die Zeile vorhanden war, die das JS Kommando write ausgibt:

window.addEventListener('DOMContentLoaded', function ( ) {
  // Textfeld einrichten
  document.write( "<div id='helptext'><\/div>" );
...

was du da erklärst, ergibt entweder keinen Sinn, oder ich verstehe es nicht. Steht der oben zitierte Javascript-Schnipsel tatsächlich so im Quellcode? Wenn ja, wozu?

Denn wenn document.write() nach dem Parsen des Dokuments aufgerufen wird, ersetzt die Ausgabe das gesamte bisher geladene Dokument.

Und wieso gelöst? Worin besteht jetzt die Lösung oder die Erklärung des Phänomens?

So long,
 Martin

[Linuchs]

Denn wenn document.write() nach dem Parsen des Dokuments aufgerufen wird, ersetzt die Ausgabe das gesamte bisher geladene Dokument.

Komischerweise nur im Firefox. In der Opera sehe ich den kompletten Quellcode. Aber mir ist jetzt klar, dass ich das write-Kommando so nicht verwenden darf.

Und wieso gelöst? Worin besteht jetzt die Lösung oder die Erklärung des Phänomens?

Siehe 14:27 als Antwort zu Google sieht/weiß/kennt alles ...

Mein GOTT Google (2016) ersetzt somit nach 41 Jahren "Mein Gott, Walter" (1975)

Linuchs

[Der Martin]

Hallo,

Denn wenn document.write() nach dem Parsen des Dokuments aufgerufen wird, ersetzt die Ausgabe das gesamte bisher geladene Dokument.

Komischerweise nur im Firefox. In der Opera sehe ich den kompletten Quellcode.

das ist sehr seltsam. Ähm ... mit Opera meinst du wirklich Opera? Oder nur den Chrome mit Opera-Mütze?

Aber mir ist jetzt klar, dass ich das write-Kommando so nicht verwenden darf.

Soviel ist sicher.

Und wieso gelöst? Worin besteht jetzt die Lösung oder die Erklärung des Phänomens?

Siehe 14:27 als Antwort zu Google sieht/weiß/kennt alles ...

Verstanden hab ich es immer noch nicht wirklich, aber lassen wir das einfach.

Mein GOTT Google (2016) ersetzt somit nach 41 Jahren "Mein Gott, Walter" (1975)

Oh ja - damit ist mir der Name Mike Krüger ein Begriff geworden.

So long,
 Martin

[Der Martin]

Tach nochmal ...

Mein GOTT Google (2016) ersetzt somit nach 41 Jahren "Mein Gott, Walter" (1975)

Oh ja - damit ist mir der Name Mike Krüger ein Begriff geworden.

5 Jahre später dann Der Nippel, und Bodo mit dem Bagger fand ich auch ganz witzig. Und ich hätt' schwören können, der Presslufthammer B-B-B-Bernhard wäre auch von Mike Krüger. Das Internet sagt allerdings, das sei von Torfrock.

Apropos Songs über Baumaschinen: Die Engländer haben stattdessen den JCB Song, der allerdings überhaupt nicht ins Blödel-Genre gehört. Seit ich den Song kenne, fallen mir auch hier in Deutschland die Baumaschinen von JCB häufig auf, die sich durch ihre gelbe Farbe und die typischen abgerundeten Formen auszeichnen.

Ciao,
 Martin

[Google weiß alles]

window.addEventListener('DOMContentLoaded', function ( ) {
  // Textfeld einrichten
  document.write( "<div id='helptext'><\/div>" );
...

Gelöst ist das erst wenn klar ist wo der Unsinn herkommt. Und mit der URL bzw. dem angezeigten Protokoll (wyciwyg://O/) hat das auch nichts zu tun.

Wichtig: Hätten wir eine URL oder gar einen Testzugang gehabt, dann hätten wir das Problem schon vor 3 Tagen eingrenzen können. Statt dessen haben wir eine Menge Zeit und Mühe verschwendet.

Du siehst, dass es kontraproduktiv ist, sowas zu verschweigen.

[dedlfix]

Tach!

Gelöst ist das erst wenn klar ist wo der Unsinn herkommt. Und mit der URL bzw. dem angezeigten Protokoll (wyciwyg://O/) hat das auch nichts zu tun.

Muss ja auch nicht. Kann auch gut eine falsche Beobachtung gewesen sein, die er als Ursache im Verdacht hatte. Wir wussten nichts genaues über das eigentlichen Problem, das er ja auch nicht eindeutig genug beschrieben hatte, und sind stattdessen dem falschen Fehler hinterhergerannt.

dedlfix.

[Der Martin]

Hi,

Gelöst ist das erst wenn klar ist wo der Unsinn herkommt. Und mit der URL bzw. dem angezeigten Protokoll (wyciwyg://O/) hat das auch nichts zu tun.

Muss ja auch nicht. Kann auch gut eine falsche Beobachtung gewesen sein, die er als Ursache im Verdacht hatte. Wir wussten nichts genaues über das eigentlichen Problem, das er ja auch nicht eindeutig genug beschrieben hatte, und sind stattdessen dem falschen Fehler hinterhergerannt.

umso mehr würde mich jetzt interessieren, warum Linuchs das Thema für gelöst hält bzw. worin die Lösung nun besteht, zumal ich nicht einmal das Problem wirklich verstanden habe.

Eine schlüssige, nachvollziehbare Erklärung wäre sehr schön - auch für den Fall, dass es um zwei Phänomene ging, die nicht unmittelbar, vielleicht sogar überhaupt nicht miteinander zusammenhängen.

So long,
 Martin

[Linuchs]

Hallo Unbekannte/r,

Wichtig: Hätten wir eine URL oder gar einen Testzugang gehabt, ... Du siehst, dass es kontraproduktiv ist, sowas zu verschweigen.

In diesem Fall konnte ich nicht anders. Es ist ein nicht-öffentliches Kunden-Projekt.

Gelöst ist das erst wenn klar ist wo der Unsinn herkommt.

Es geht um mein Help-System. In HTML wird sowas eingebettet:

<img id="p012" class="help" src="img/icon_hilfe.gif" alt="?" title="Helptext" />

Bei Klick auf die Grafik wird eine Ajax-Funktion aufgerufen, die sich den Text zu "p012" (ein Programm) holt, in das mißglückte Feld füllt und das Feld anzeigt.

Nun wollte ich es im HTML bei dieser Angabe belassen und das ganze Prozedere, wie Klick-Event anhängen und eben auch das Anzeige-Feld einfügen, an zentraler Stelle von Javascript erledigen lassen.

Inzwischen versuche ich es so:

window.addEventListener('DOMContentLoaded', function ( ) {
  // Textfeld einrichten
//document.write( "<div id='helptext'><\/div>" );  // ueberschreibt gesamten DOM beim FF?
  var erster  = document.getElementsByTagName( "body" )[0].firstChild;
  var newDiv  = document.createElement("div");
  newDiv.id   = "helptext";
  document.body.insertBefore( newDiv, erster ); 
...
  obj_help[i].addEventListener('click', function (event) {
...

aber es funktioniert noch nicht. Soll hier erstmal kein Thema sein, muss noch selbst auf Fehlersuche gehen.

Und mit der URL bzw. dem angezeigten Protokoll (wyciwyg://O/) hat das auch nichts zu tun.

Ich war der Meinung, der Domain Name Server "dichtet" der Domain was an. Auf die Idee, dass mein alter Freund FF die URL, bzw. das Protokoll manipuliert, bin ich nicht gekommen. Ist auch nur zu sehen bei Klick auf die Zurück-Schaltfläche.

Linuchs

[Der Martin]

Hallo,

Ich war der Meinung, der Domain Name Server "dichtet" der Domain was an. Auf die Idee, dass mein alter Freund FF die URL, bzw. das Protokoll manipuliert, bin ich nicht gekommen.

naja, nach allem, was ich im Lauf der Jahre mit dieser Software schon für Überraschungen erlebt habe, traue ich dem FF nicht mehr viel weiter, als ich ein Klavier werfen könnte.

So long,
 Martin