So, es ist mal wieder XSS-Sonntag und heute beschäftigen wir uns mit einem gänzlich unbekannten Portal: telefonbuch.de. Ein sehr praktischer Service für das Finden von Telefonnummern, wenn man so ein schlechtes Zahlengedächtnis hat wie ich oder schon immer mal im Seitenkontext von telefonbuch.de JavaScript ausführen wollte. Und das geht so (folgenden String in das Formularfeld »Name/Begriff oder Telefonnummer« einfügen):
';alert ("Manfred Krug" );test= 'Die komisch platzierten Leerzeichen werden benötigt, um den die Normalizer-Komponente ein wenig auszutricksen. Interessant auch, dass die Applikation selbst User-Input richtig handhabt, nicht aber das Werbetag, das hier exploitet wird.
Update 12. März 2007:
Hersteller hat Fehler behoben.
Comments
Show comments linear or threaded
Alex opines:
published on 2007|03|04, 21:41hNicht wirklich etwas neues. Steht schon längere Zeit im deutschen Phishingmarkt.
Lars Strojny answers:
published on 2007|03|04, 23:13hAja, wo?
Alex answers:
published on 2007|03|08, 01:41hWie schon gesagt, ich weiß es wohl leider nicht mehr genau, woher ich es habe, aber in irgendeinem Blog stand es.
foo opines:
published on 2007|03|08, 11:58hdavon abgesehen kinderkacke, widmet euch lieber bugs in software, die ihr benutzt
Lars Strojny reckons:
published on 2007|03|08, 14:27hIch benutze ja telefonbuch.de regelmäßig, weil ich mir keine Zahlen merken kann.
Add comment