Forum


Spickzettel

Neben den Buttons stehen unter anderem folgende BB-Codes zur Verfügung:

Bildgröße beschränken:
[img width=400 height=300]Bildadresse[/img]
Weglassen von height o. width behält Bildverhältnis bei.

Tabelle:
[table]
[tr][td]Zelle 1/1[/td][td]Zelle 1/2[/td][/tr]
[tr][td]Zelle 2/1[/td][td]Zelle 2/2[/td][/tr]
[/table]
[tr] = Zeile [td] = Zelle

Text:
[u]unterstreichen[/u]
[s]durchstreichen[/s]
[size=4]skalieren[/size]
[sup]hochsetzen[/sup]
[sub]runtersetzen[/sub]
Umbrechen[Br]Neue Zeile
[center]zentriert[/center]
[left]linksbündig[/left]
[right]rechtsbündig[/right]
[rtl]von rechts einschieben[/rtl]
[pre]Vorformattierung erhalten[/pre]
[move]Bewegen/Laufschrift[/move]
[shadow=red,right]Schattieren[/shadow]
[font=arial]Anderer Zeichensatz[/font]
[glow=yellow,2]„glühen“/markieren[/glow]

Horizontale Linie: [hr]

Abkürzung mit Erklärung bei Mouseover:
[acronym=Mysteriöse Inselzone]MIZ[/acronym]
am besten auch unterstreichen:
[acronym=Mysteriöse Inselzone][u]MIZ[/u][/acronym]

Link innerhalb des Beitrages oder derselben Seite:
Ziel setzen: [anchor=Ziel]Ziel[/anchor]
Link darauf: [iurl=#Ziel]Link zum Ziel[/iurl]

Link im selben Fenster öffnen:
[iurl]http://www.apfelinsel.de[/iurl]

Name:
Betreff:
Verifizierung:
Buchstaben anhören

Gib die Buchstaben aus dem Bild ein:


Zusammenfassung

Autor: warlord
Februar 01, 2010, 19:10:32
Womit sich die Schlagzeile einmal mehr als zu reisserisch erweist. Von "Liste auslesen" kann nicht die Rede sein. Möglich sind einzig "Abfragen", ob sich einzelne Sites in der Liste befinden.
Autor: MacFlieger
Februar 01, 2010, 18:39:47
Das kann so ohne weiteres nicht gefixt werden, weil es kein Fehlverhalten ist, sondern nur eine sehr raffinierte Methode.

Die Funktion ist ja folgendermaßen: Es werden einfach alle interessierenden Seiten als Link auf einer Seite präsentiert. Die Webbrowser färben die Links von ganz alleine unterschiedlich ein, je nachdem ob eine Seite im Verlauf ist oder nicht. Ein Javascript liest dann einfach aus, welche Farbe ein Link hat.
Also kein Bug oder Fehler.

Es gäbe nur zwei theoretische Möglichkeiten:
- Der Browser färbt Links nicht mehr unterschiedlich ein. Dann kann man aber auch nicht mehr zwischen besuchten und nicht besuchten Links unterscheiden.
- Javascript darf nicht mehr per DOM auf die Website zugreifen. Dann sind aber alle modernen Anwendungen (Ajax) nicht mehr möglich und Javascript zu fast nichts mehr zu gebrauchen.

Beide Lösungsmöglichkeiten werden wohl nicht ernsthaft in Erwägung gezogen.
Autor: Florian
Februar 01, 2010, 16:06:28
Ach so, also muss der Angreifer einfach eine riesige Liste an URLs haben und sieht dann, wo man überall war. Doch nicht so harmlos, gerade wenn man den Verlauf nie oder selten leert.
Denn die große Ausagekraft von Kontaktdaten, insbesondere von Internetseiten natürlich, ist ja mittlerweile bewiesen.

Nach dem Artikel gibt es derzeit nur Schutz durch Abschalten von Javascript und dem Verwenden von Firefox mit dieser: http://www.safehistory.com/ Extension.
Der Artikel ist ja uralt (fast drei Jahre), wie lange müssen wir noch warten bis das gefixt wird?
Autor: MacFlieger
Februar 01, 2010, 15:23:39
Zitat von: Florian am Februar 01, 2010, 15:20:38
Das erste Demo zeigt bei mir nur apple.com und wikipedia.org.
Darunter dann Seiten, die ich angeblich nicht besucht habe, zwei davon aber doch.

Es funktioniert ja nur mit URLs, die genauso besucht wurden, wie sie da stehen und nur dann, wenn sie noch im Verlauf sind. Bei mir waren das auch nur die genannten zwei.

Aber ruf dann doch einfach mal eine der anderen Links auf und lade die Demo-Seite dann neu. Dann taucht auch die andere Seite unter "Besucht" auf.

Zitat
Nicht gerade angsteinflößend.

Nein, schwer angsteinflößend ist das nicht. Aber eine sehr interessante und raffinierte Methode.
Autor: Florian
Februar 01, 2010, 15:20:38
Das erste Demo zeigt bei mir nur apple.com und wikipedia.org.
Darunter dann Seiten, die ich angeblich nicht besucht habe, zwei davon aber doch.

Das zweite Demo zeigt eine Liste, die stimmen könnte, weil es lauter Standards sind, ebay, google, yahoo, etc., aber nur .com - was auch nicht stimmen kann.
Klicke ich dann auf „Now click here to see that your information has been logged.“
Steht da „The following sites were visited:“ und darunter gähnende Leere.

Alles in Safari 4.

Nicht gerade angsteinflößend.
Autor: MacFlieger
Februar 01, 2010, 14:00:37
Interessant. Das ist ja raffiniert.
Ja, funktioniert hier unter Safari 4 auch problemlos und sollte auch mit anderen modernen Browsern problemlos gehen. In dem Artikel ist ja auch eine Demoseite verlinkt, bei der man das ausprobieren kann.

Dagegen schützen geht wohl nur, wenn man JavaScript deaktiviert. Ausgenutzt wird auch keine Sicherheitslücke, sondern einfach ein Feature von JavaScript, dass man Eigenschaften der gerenderten Website übers DOM auslesen kann. Wüßte auch nicht, wie man das verhindern sollte, ohne alle modernen Anwendungen von JavaScript (AJAX) komplett zu stoppen.
Autor: radneuerfinder
Februar 01, 2010, 13:35:40
Ist das noch aktuell?
http://www.heise.de/security/meldung/Angreifer-koennen-Liste-besuchter-Webseiten-auslesen-152012.html

Und wie schützt man sich dagegen?