Quelltext der Seite Exploit

Ein Exploit ist ein Programm bzw. Script(-Code) zum Ausnutzen von Sicherheitslücken oder Fehlfunktionen.

= Beispiel =
Beispiel anhand einer <code>Cross Site Scripting (XSS) Lücke</code> in ICQ.

== Beschreibung ==
[[Datei:icq_xss_demo.png|200px|thumb|right]]
Im Juli 2011 wurde entdeckt, dass der ICQ Client (Version <= 7.5) sowie Webseite anfällig für eine XSS Lücke ist, welche sich zum ausführen von JavaScript Code nutzen lässt.
Sobald das Opfer das Profil des Angreifers auf der Website oder dem Client öffnet, wird der JavaScript Code ausgeführt. Je nach hinterlegtem Code kann so von einer Harmlosen Dialogbox bis hin zum Cookie- und somit Accountdiebstahl alles bewerkstelligt werden.

== Exploitcode ==
 "><iframe src=z onload=alert('Demoexploit') <

== Erklärung ==
Bei dieser Lücke wird in erster Linie ausgenutzt, dass ICQ die Profil hinterlegbaren Texte nicht überprüft bzw. Maskiert um eventuelle Codezeichen von der Interpretierung auszunehmen.
Hierdurch kann der auf der Darstellungsseite der HTML Code um neue Tags erweitert werden, welche beim laden der Seite JavaScript Code ausführen.

Um diese neuen HTML Tags valide in dem vorhandenen Code einzubetten wird zunächst der Tag in dem der Schadcode eingefügt wird geschlossen bevor der Schad-Tag beginnen kann. Anschließend muss der Rest des vorangegangenen Tags in einen neu beginnenden Tag gekapselt werden, um validen Code zu erhalten.

= Links =
* http://www.heise.de/security/meldung/ICQ-anfaellig-fuer-Account-Diebstahl-1286014.html
* http://www.golem.de/1107/85326.html
* http://dl.packetstormsecurity.net/1107-exploits/icqcli-xss.txt
* http://de.wikipedia.org/wiki/Exploit