[TYPO3-german] Session Riding in Typo3 möglich, wie ernst ist das Thema?

[Jesse Adler]

Christian Wolff wrote:
> 
> wenn man mal nachdenkt wie ein "realistisches" angrifs scenario aussieht.
> denke ich ist die gefahr eher gering.
> 

Das denke ich eher nicht.


Christian Wolff wrote:
> 
> der angreifer muss sich erstmal folgende informationen beschaffen:
> 1. UID des Datensatzes. (okay die bekommt er im
> zweifel aus den Kommentaren die css_styled_content mitgibt.
> 

Die genaue ID des Datensatzes braucht man im Zweifel gar nicht. Um Unfug zu
treiben gibt man einfach irgendeine ein.


Christian Wolff wrote:
> 
> 2. Email Adresse eines redaktuers oder IM kontakt. oder anderes medium um  
> ihm einen link zu kommen zu lassen.
> 

Das lässt sich sicher recherchieren. Auf jeden Fall im Intranet.


Christian Wolff wrote:
> 
> 3. er braucht "glück" das dieser gerade eingelogged ist. und den bösen  
> link auch in diesem moment klickt.
> 

Ich bin häufig eingeloggt, wenn ich auf der Arbeit bin.



Christian Wolff wrote:
> 
> viel interessanter währe es natürlich anstatt sachen zu löschen auf einen  
> Administrator der webseite
> zu zielen hast du auch überprüft ob man bei Administrativen Sessionriding  
> vieleicht sich sogar seinen eigenen
> admin user anlegen kann?
> 

Das habe ich noch nicht geprüft, werde das allerdings mal tun. Ich denke,
das wird ein bischen schwerer werden, da dort mehrere Komponenten zusammen
kommen. Aber mal sehen.

Gruß
Jesse

-- 
View this message in context: http://www.nabble.com/Session-Riding-in-Typo3-m%C3%B6glich%2C-wie-ernst-ist-das-Thema--tp14755427p14797164.html
Sent from the TYPO3 German mailing list archive at Nabble.com.