Diskussion:Cross-Site-Authentication-Attacke

Der Verwendungszweck ist 100% klar, solange der Angreifer weiss, wo er die Bilder plaziert hat. Im grösseren Angriffsrahmen bei welchen der Angreifer leicht den Überblick verliert, kann in den meisten Fällen die Webseite, welche auf den Angrifsserver verlinkt hat (also das 'infizierte' forum/blog)abgerufen werden. in PHP z.b. ist dieser Wert in der Variable 'HTTP_REFERER' erhältlich (kann jedoch manipuliert werden).

Die Gefährlichkeit des Angriffs wird ebenfalls viiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiiil zu milde ausgedrückt, kleines Beispiel:

1.) Attack- Server aufsetzen 2.) Scriptlogik einbauen (für Logging von user/pwd und wenn gewünscht source site) 3.) Log- infos auf Source Seite anwenden 4.) Informationen aus 'gehacktem' (gefishtem) Account weiterverwenden:

Informationen aus einem 'gehacktem/ gefishtem' Account können sein: - Name/ Vorname => Social hacking - Nickname => Die meisten Benutzer verwenden in ALLEN Foren dieselben login- parameter - E- Mailadresse, hier wirds spannend, hat der user dieselben login- infos für seinen e-mail account

 verwendet wie für das Forum erhält man unter umständen extrem viele Informationen wie:
     - Bankdaten oder welche Bank er verwendet  
     - Forenanmeldungen (um die Logininfos dort auch zu testen)
     - sensible Daten aus dem privaten/ geschäftlichen Umfeld 
     und und und.

Kenne mich jedoch nicht mit wikki- syntax etc. aus, nachführen müsste es sonstwer, merci & greez jba;)

"Schutzmöglichkeiten"?

"Gegen diese Art von Angriffen gibt es viele Schutzmöglichkeiten:"

Ich frage mich gerade, wie der Author das Wort "viele" in seinem Wortschatz gebraucht. Denn es gibt weder "viele" Schutzmaßnahmen gegen XSA, noch sind diese sonderlich effektiv. Prinzipiell kann der Ersteller der Webseite (sei es ein erfahrener Programmierer oder ein Webmaster, der ein frei erhältliches CMS nutzt) sich kaum gegen XSA wehren. Solange er die externe Verlinkung von Bilder zulässt (und das ist in fast allen Webforen, -blogs etc. der Fall) muss er mit einem Angriff rechnen. Genauso ist das Vertrauen auf die Aufmerksamkeit der Benutzer weniger Schutzmaßnahme als risikobehaftete Gutgläubigkeit.