Abo
  1. Foren
  2. Kommentare
  3. Security
  4. Alle Kommentare zum Artikel
  5. › XSS: Cross-Site-Scripting über DNS…

Wer sich jetzt bedroht fühlt...

  1. Thema

Neues Thema Ansicht wechseln


  1. Wer sich jetzt bedroht fühlt...

    Autor: LX 19.09.14 - 17:11

    Auf den meisten Seiten dürfte dieses Einfallstor nicht auftauchen - lediglich auf Seiten von Registraren, die vergessen haben, DNS-Entries sauber im entsprechenden Kontext zu behandeln und spitze Klammern zu escapen.

    Gruß, LX

  2. Re: Wer sich jetzt bedroht fühlt...

    Autor: Demon666 19.09.14 - 18:37

    hmmm,... sehe ich das richtig, daß dies in diesem Falle Strato ist?
    Wenn ich mir den Hinweis von hallerma nebenan angucke, dann betrifft das einen stratoserver.

    Und nebenbei. ich dachte immer cloudflare als nameserver würde neben ddos-schutz auch vor sowas schützen.

    Aber nebenbei, für BHSEO und Kekse verteilen auf prominenten / trafficstarken Seiten durchaus ne interessante Methode. Jemand nen Scanner parat und ne Kurzanleitung?
    Irgendwie muss man sch ja gegen die Drecks-Konzerne wehren! Die nächste Runde Value geht nicht nur an die Sahreholder, hehe....

  3. Re: Wer sich jetzt bedroht fühlt...

    Autor: a.nonymous 19.09.14 - 21:03

    Demon666 schrieb:
    --------------------------------------------------------------------------------
    > hmmm,... sehe ich das richtig, daß dies in diesem Falle Strato ist?
    > Wenn ich mir den Hinweis von hallerma nebenan angucke, dann betrifft das
    > einen stratoserver.
    >
    > Und nebenbei. ich dachte immer cloudflare als nameserver würde neben
    > ddos-schutz auch vor sowas schützen.

    Was genau haben jetzt Strato und Cloudflare damit zu tun? Die genannte Sicherheitslücke (XSS) liegt bei den jeweiligen Seitenbetreibern der DNS-Tools. Die externen Inhalte (hier die DNS-Records) werden halt "roh" ausgegeben und nicht entsprechend des HTML-Kontexts escapet. Dafür sind weder Strato noch Cloudflare verantwortlich.

    VG

  4. Re: Wer sich jetzt bedroht fühlt...

    Autor: Demon666 19.09.14 - 21:53

    a.nonymous schrieb:
    --------------------------------------------------------------------------------
    > Demon666 schrieb:
    > ---------------------------------------------------------------------------
    > -----
    > > hmmm,... sehe ich das richtig, daß dies in diesem Falle Strato ist?
    > > Wenn ich mir den Hinweis von hallerma nebenan angucke, dann betrifft das
    > > einen stratoserver.
    > >
    > > Und nebenbei. ich dachte immer cloudflare als nameserver würde neben
    > > ddos-schutz auch vor sowas schützen.
    >
    > Was genau haben jetzt Strato und Cloudflare damit zu tun? Die genannte
    > Sicherheitslücke (XSS) liegt bei den jeweiligen Seitenbetreibern der
    > DNS-Tools. Die externen Inhalte (hier die DNS-Records) werden halt "roh"
    > ausgegeben und nicht entsprechend des HTML-Kontexts escapet. Dafür sind
    > weder Strato noch Cloudflare verantwortlich.
    >
    > VG

    Wie nebenan gepostet:

    nslookup -type=TXT jamiehankins.co.uk

    Gibt folgendes Erbegnis:
    http://www.imgbox.de/show/img/Z6d4sTpbrO.jpg

    Was siehst Du da? ;-)

  5. Re: Wer sich jetzt bedroht fühlt...

    Autor: a.nonymous 20.09.14 - 03:06

    > Wie nebenan gepostet:
    >
    > nslookup -type=TXT jamiehankins.co.uk
    >
    > Gibt folgendes Erbegnis:
    > www.imgbox.de
    >
    > Was siehst Du da? ;-)

    OK, ich formuliere die Frage anders: Was sollen Strato oder Cloudflare nun deiner Meinung nach ändern? Die Domain wird auf die IP eines Strato-Servers aufgelöst, ja. Jeder kann sich einen Strato-Server mieten. Keine Ahnung, warum du Strato da jetzt erwähnst. Es hätte auch jeder andere Hoster sein können.

    Und die Auskunft kommt von den Nameservern von Cloudflare, richtig. Aber warum ist das wichtig? Das hätte ebenfalls jeder beliebige Hoster oder Registrar sein können. Was sollte Cloudflare deiner Meinung nach anders machen? Wieso glaubst du, sollte Cloudflare jemand "davor schützen"? Zitat (Wikipedia: TXT Resource Record): "Mit einem TXT Resource Record kann ein frei definierbarer Text in einer DNS-Zone abgelegt werden.". Und so ein Javascript-Schnipsel ist nun mal eine Untermenge frei definierbarer Texte.

    Wie gesagt, Strato hostet lediglich und Cloudflare stellt den DNS hier zur Verfügung. Das ist alles OK so. Jeder, der seine DNS-Einträge ändern kann (meist also der Kunde), kann in solche TXT-Records hinein schreiben, was er möchte. Das ist keine Lücke. Die Lücke befindet sich in den Webseiten der DNS-Tools, wie bereits erwähnt wurde.

    VG

  1. Thema

Neues Thema Ansicht wechseln


Um zu kommentieren, loggen Sie sich bitte ein oder registrieren Sie sich. Zum Login

Stellenmarkt
  1. Techniker Krankenkasse, Hamburg
  2. Computacenter AG & Co. oHG, Erfurt, Kerpen (bei Köln)
  3. Putzmeister Holding GmbH über KKC Berater Personalberatung, Aichtal
  4. Stadtwerke München GmbH, München

Golem pur
  • Golem.de ohne Werbung nutzen

Anzeige
Spiele-Angebote
  1. 1,19€
  2. 26,99€
  3. 4,99€
  4. 2,99€


Haben wir etwas übersehen?

E-Mail an news@golem.de


Transport Fever 2 angespielt: Wachstum ist doch nicht alles
Transport Fever 2 angespielt
Wachstum ist doch nicht alles

Wesentlich mehr Umfang, bessere Übersicht dank neuer Benutzerführung und eine Kampagne mit 18 Missionen: Das Schweizer Entwicklerstudio Urban Games hat Golem.de das Aufbauspiel Transport Fever 2 vorgestellt - bei einer Bahnfahrt.
Von Achim Fehrenbach

  1. Mordhau angespielt Die mit dem Schwertknauf zuschlagen
  2. Bus Simulator angespielt Zwischen Bodenschwelle und Haltestelle
  3. Bright Memory angespielt Brachialer PC-Shooter aus China

In eigener Sache: Neue Workshops zu agilem Arbeiten und Selbstmanagement
In eigener Sache
Neue Workshops zu agilem Arbeiten und Selbstmanagement

Wir haben in unserer Leserumfrage nach Wünschen für Weiterbildungsangebote gefragt. Hier ist das Ergebnis: Zwei neue Workshops widmen sich der Selbstorganisation und gängigen Fehlern beim agilen Arbeiten - natürlich extra für IT-Profis.

  1. In eigener Sache ITler und Board kommen zusammen
  2. In eigener Sache Herbsttermin für den Kubernetes-Workshop steht
  3. Golem Akademie Golem.de startet Angebote zur beruflichen Weiterbildung

Radeon RX 5700 (XT) im Test: AMDs günstige Navi-Karten sind auch super
Radeon RX 5700 (XT) im Test
AMDs günstige Navi-Karten sind auch super

Die Radeon RX 5700 (XT) liefern nach einer Preissenkung vor dem Launch eine gute Leistung ab: Wer auf Hardware-Raytracing verzichten kann, erhält zwei empfehlenswerte Navi-Grafikkarten. Bei der Energie-Effizienz hapert es aber trotz moderner 7-nm-Technik immer noch etwas.
Ein Test von Marc Sauter

  1. Navi 14 Radeon RX 5600 (XT) könnte 1.536 Shader haben
  2. Radeon RX 5700 (XT) AMD senkt Navi-Preise noch vor Launch
  3. AMD Freier Navi-Treiber in Mesa eingepflegt

  1. Quartalsbericht: Microsofts Cloud-Geschäft steigert Rekordumsatz
    Quartalsbericht
    Microsofts Cloud-Geschäft steigert Rekordumsatz

    Microsoft hat in einem Quartal über 13,2 Milliarden US-Dollar Gewinn gemacht. Der Cloud-Bereich macht ein Drittel des Umsatzes Microsofts aus.

  2. Nach Unfall: Wiener Verkehrsbetrieb stoppt autonome Busse
    Nach Unfall
    Wiener Verkehrsbetrieb stoppt autonome Busse

    Nachdem eine Fußgängerin in einen der autonom fahrenden Busse gelaufen ist, hat der Wiener Verkehrsbetrieb das Pilotprojekt erst einmal gestoppt: Die Passantin, die leicht verletzt wurde, ist offensichtlich aus Unachtsamkeit mit dem Fahrzeug kollidiert.

  3. Berliner U-Bahn: Bis Ende 2019 gibt es LTE auch für Vodafone und Telekom
    Berliner U-Bahn
    Bis Ende 2019 gibt es LTE auch für Vodafone und Telekom

    Bisher bietet nur Telefónica LTE- und UMTS-Zugang im Berliner U-Bahn-Netz. Ende 2019 werden auch erste Linien von der Deutschen Telekom und Vodafone versorgt.


  1. 22:38

  2. 17:40

  3. 17:09

  4. 16:30

  5. 16:10

  6. 15:45

  7. 15:22

  8. 14:50