Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › HEIST: Timing- und…

wie funktioniert das trotz Same Origin Policy?

  1. Thema

Neues Thema Ansicht wechseln


  1. wie funktioniert das trotz Same Origin Policy?

    Autor: StopTrolling 04.08.16 - 15:05

    Es geht ja um Webseiten von dritten, oder? Andernfalls könnte man ja dank Javascript sowieso jeden Inhalt aus der Webseite auslesen. Wie kann das trotz Same Origin Policy funktionieren?
    Wenn wir mal das Szenario aus Kapitel 3.2.1 Search-based information disclosure in deren Paper ( https://tom.vg/papers/heist_blackhat2016.pdf ) annehmen:
    catpicz.com gehört dem Angreifer und kann damit bösartige Javascript ausführen, soweit so gut. Um an die Kreditkartenummer zu kommen werden Suchanfragen auf https://snailmail.org/search ausgeführt. Der Javascript Code liegt doch aber auf catpicz.com und damit sollte ein Request aus dem Kontext von catpicz.com auf snailmail.com doch zu einem Fehler führen, sofern nicht explizit ein CORS Header gesetzt wurde. Wo ist mein Denkfehler?

  2. Re: wie funktioniert das trotz Same Origin Policy?

    Autor: hannob (golem.de) 04.08.16 - 18:00

    Die Same Origin Policy schützt davor, dass ein Angreifer Daten von einem fremden Host lesen kann. Sie verbietet aber nicht Requests an einen fremden Host.

    Der Angreifer kann daher zwar die Antwort auf den Request nicht sehen, aber er kann den Request auslösen.

  1. Thema

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Systemhaus Scheuschner GmbH, Hannover
  2. DRÄXLMAIER Group, Vilsbiburg bei Landshut
  3. Athmer oHG, Arnsberg-Müschede
  4. BWI GmbH, Meckenheim

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Top-Angebote
  1. (u. a. MSI GeForce RTX 2080 Aero 8G für 549€ statt über 620€ im Vergleich und ASUS Phoenix...
  2. (u. a. Seagate Backup Plus Hub 8 TB für 149€, Toshiba 240-GB-SSD für 29€ und Sandisk Extreme...
  3. (u. a. Kingston A400 480 GB für 41,90€ statt 50,10€ im Vergleich, Fractal Design Define R6 USB...
  4. (heute u. a. mit Serienboxen)


Haben wir etwas übersehen?

E-Mail an news@golem.de


Faire IT: Die grüne Challenge
Faire IT
Die grüne Challenge

Kann man IT-Produkte nachhaltig gestalten? Drei Startups zeigen, dass es nicht so einfach ist, die grüne Maus oder das faire Smartphone auf den Markt zu bringen.
Von Christiane Schulzki-Haddouti

  1. Smartphones Samsung und Xiaomi profitieren in Europa von Huawei-Boykott
  2. Smartphones Xiaomi ist kurz davor, Apple zu überholen
  3. Niederlande Notrufnummer fällt für mehrere Stunden aus

Google Maps: Karten brauchen Menschen statt Maschinen
Google Maps
Karten brauchen Menschen statt Maschinen

Wenn Karten nicht mehr von Menschen, sondern allein von Maschinen erstellt werden, erfinden diese U-Bahn-Linien, Hochhäuser im Nationalpark und unmögliche Routen. Ein kurze Liste zu den Grenzen der Automatisierung.
Von Sebastian Grüner

  1. Kartendienst Google bringt AR-Navigation und Reiseinformationen in Maps
  2. Maps Duckduckgo mit Kartendienst von Apple
  3. Google Maps zeigt Bikesharing in Berlin, Hamburg, Wien und Zürich

Hyundai Kona Elektro: Der Ausdauerläufer
Hyundai Kona Elektro
Der Ausdauerläufer

Der Hyundai Kona Elektro begeistert mit Energieeffizienz, Genauigkeit bei der Reichweitenberechnung und umfangreicher technischer Ausstattung. Nur in Sachen Emotionalität und Temperament könnte er etwas nachlegen.
Ein Praxistest von Dirk Kunde

  1. Carver Elektro-Kabinenroller als Dreirad mit Neigetechnik
  2. Elektroauto Neuer Chevrolet Bolt fährt 34 km weiter
  3. Elektroauto Porsches Elektroauto Taycan im 24-Stunden-Dauertest

  1. ISS: Nasa untersucht möglicherweise erstes Verbrechen im Weltraum
    ISS
    Nasa untersucht möglicherweise erstes Verbrechen im Weltraum

    Ein Scheidungskrieg scheint sich bis auf die ISS ausgeweitet zu haben: Die Astronautin Anne McClain hat von einem Computer der Raumstation auf das Onlinekonto ihrer Ex-Frau zugegriffen und deren Finanzen kontrolliert. Die Nasa untersucht das mutmaßlich erste Verbrechen im Weltraum.

  2. Disney: 4K kostet bei Disney+ keinen Aufpreis
    Disney
    4K kostet bei Disney+ keinen Aufpreis

    Ohne Aufpreis für 4K-Streaming will sich Disney zum Start von Disney+ von Konkurrenten wie Netflix abheben. Außerdem wird auf der Plattform Binge-Watching weniger populär sein, denn neue Episoden sollen nacheinander wöchentlich erscheinen.

  3. Kickstarter: Retrostone 2 ist ein Game Boy mit LC-Display und Ethernet
    Kickstarter
    Retrostone 2 ist ein Game Boy mit LC-Display und Ethernet

    Er sieht aus wie eine Mischung aus SNES-Controller und Game Boy: Der Retrostone 2 ist eine mobile Spielekonsole, auf der Gamer ihre alten Spiele als Emulation spielen können. Ungewöhnlich: Mit USB, HDMI und Ethernet eignet sich das System auch als Standkonsole am Fernseher.


  1. 12:43

  2. 13:13

  3. 12:34

  4. 11:35

  5. 10:51

  6. 10:27

  7. 18:00

  8. 18:00