Clickjacking-Lücke betrifft auch Firefox

Clickjacking-Lücke betrifft auch Firefox

Browser-Entführung

Kristian Kißling
29.01.2009 Präparierte Links können die Browser Firefox und Chrome täuschen und unintendiert auf fremde Webseiten entführen.

Offenbar sind Firefox und Googles Browser Chrome nicht gegen eine bestimmte Form von Clickjacking immun, wie Aditya K Sood von SecNiche Security auf einer Webseite feststellt. Klickt der Anwender auf einen bestimmten Link, der ihn zum Beispiel zu Yahoo.com führen soll, landet er dank einer eingebetteten JavaScript-Funktion auf einer ganz anderen Seite.

Der User selbst erkennt den Betrug oft erst, wenn es bereits zu spät ist. Bewegt er die Maus über den Link, erscheint in der Fußleiste das vorgetäuschte Ziel, also Yahoo.com. Die falsche Webseite kann, je nach Intention des Klick-Piraten, bösartigen Code ausführen, SPAM anbieten oder dem User vortäuschen, es handele sich um die echte Yahoo.com-Webseite und so Passwörter ausspähen.

Wer ausprobieren möchte, ob der Trick auch beim eigenen Browser klappt, kann das hier tun. Der Quelltext der Webseite eignet sich zum Studium des Angriffs, auch ein Paper über Clickjacking-Techniken steht dort bereit, allerdings in englischer Sprache. Schutz gegen die Lücke bietet momentan das Abschalten von JavaScript.

Ähnliche Artikel

Kommentare

Aktuelle Fragen

Würde gerne openstreetmap.de im Tor-Browser benutzen, oder zu gefährlich?
Wimpy *, 21.08.2017 13:24, 0 Antworten
Im Tor-Netzwerk (Tor-Browser) kann ich https://www.openstreetmap.de/karte.html# nicht nutzen....
Samsung VG-KBD1500 - Bluetooth-Tastatur mit Touchpad mit Xubuntu 16.04.2 LTS
Linux- & BSD-UserGroup im Weserbergland, 16.08.2017 19:16, 0 Antworten
Bin grad mit "meinem Latein am Ende" darum hier mal so in den Raum geworfen. Samsung VG-KBD1500 -...
Tails verbindet nicht mit WLan
Georg Vogel, 30.07.2017 15:06, 5 Antworten
Hallo zusammen! Habe mir von Linux Mint aus einen Tails USB-Stick erstellt. Läuft soweit gut,...
Genivi for Raspberry Pi 3
Sebastian Ortmanns, 28.07.2017 10:37, 1 Antworten
I try to build a Genivi Development Platform for Rasberry Pi 3. But I always get the failures bel...
Bash awk Verständnis-Frage
Josef Federl, 22.07.2017 17:46, 2 Antworten
#!/bin/bash # Skriptdateiname = test.sh spaltennummer=10 wert=zehner awk '{ $'$spaltennummer'...