<iframe> Hackers best Friend

**schmalle** · 01-02-2002, 09:30

vielen dank sagen jetzt alle, die schon immer mal auf daten-klau tour gehen wollten, aber nicht wussten wie

**hand** · 01-02-2002, 09:34

Ein wenig mehr gehört schon dazu um aus diesem Ansatz was zu machen.

Wer will findet Wege, wer nicht will findet Gründe.

**schmalle** · 01-02-2002, 09:36

dann wollen wir mal hoffen, das berni diesen thread nicht liest .... sonst muss ich nämlich auf netscape umsteigen *würg*

**Blaster** · 01-02-2002, 10:06

Hi,

das hängt aber auch stark von den Sicherheitseinstellungen im Browser, OS, Netz, Proxy/Firewall ab, ob du so an client-c kommst.Da gibt heiklere Tricks...

Ein gutes Buch zu diesen Thema ist der "Neue Hackers-Guide" von 'Markt und Technik' 89,- DM.

**admin** · 01-02-2002, 10:07

@schmalle
pech gehabt,pech gehabt hab's gelesen

Deine Dateinen gehören jetzt mit!

Berni

**schmalle** · 01-02-2002, 10:09

hab meiner firewall gerade gesgt: "ignore @berni"

... mal sehen, ob´s hilft

**hand** · 01-02-2002, 10:32

@blaster
Dann stell <iframe> mal beim IExplorer ab!

Damit das eigentliche Auslesen und Übertragen wirklich funktioniert, muß Scripting deaktiviert sein, was aber das Surfen zu enem sehr eingschränkten Unterfangen macht. Eine Firewall kann Dir das nicht blocken, es sei denn Du blockst POST und GET Requests

Wenn Du es geschafft hast <iframe> zu deaktivieren, weil dann kann ja Scripting aktiviert bleiben, gib mir bitte bescheid. Die Lösung würde mich interessieren.

Meine Lösung einstweilen, IExplorer über Personal Firewall blocken

**Tgod** · 04-02-2002, 10:37

So schlimm mit dem Iframe ist doch das auch nicht....

Das ganze mit dem Verzeichnis deiner Platte anschauen, funktioniert ja nur bei lokal ausgeführtem Javascriptbefehl.
Das heisst, nur du kiannst deine Verzeichnisse und Datein sehen. Ein anderer kann diesen Befehl so einfach nicht benutzen, um deine Dateien auszulesen. Der müsste die dann irgendwie speichern in einer Datei oder so...und es dann noch schaffen, diese zu übertragen.

**JoelH** · 04-02-2002, 11:03

hmm,

ich benutz einfach Netscape dann umschiffe ich die ganze Sache.

**hand** · 04-02-2002, 11:43

@Tgod
Das ist ja nur ein Sample! Über <iframe> kann man natürlich auch Fileinhalte auslesen über Javascript in ein Formularfeld laden und wenn man will auch noch ohne daß der Benutzer auf submit drückt an den Server übermitteln.
Aber das habe ich im Einleitungsthread bereits geschrieben, aber nicht beschrieben, das stimmt.
Es ist aber ein Zehnzeiler, inklusive <html> und </html> Tags. Im Prinzip kann man das Fileupload so umgehen und kann, weil das ja bei File unterbunden wird den Filenamen vorbelegen. Es geht im Prinzip nur darum, daß man sich der Möglichkeiten bewußt ist.

Leg ein File test.txt auf C:\ ab un probiers

Code:

<IFRAME ID="I1"></IFRAME> 
<SCRIPT for=I1 event="NavigateComplete2(b)"> 
alert("Here is your file:\n"+b.document.body.innerText); 
</SCRIPT> 
<SCRIPT> 
I1.navigate("file://c:/test.txt"); 
setTimeout('I1.navigate("file://c:/test.txt")',1000); 
</SCRIPT>

Das ganze läuft unter "IE 5 Cross-frame security vulnerability using IFRAME".

**Blaster** · 06-02-2002, 16:29

@hand:
Internetoption->Sicherheit->Stufe anpassen->Programe und Dateien in IFrame starten auf deaktivieren

**hand** · 06-02-2002, 19:47

@Blaster
Genial!

Und wieder habe ich dazugelernt.

**hand** · 07-02-2002, 09:41

Programme und Dateien in eineM IFRAME starten habe ich deaktiviert. Diese Einstellung zieht aber nicht

Wieder was dazugelernt

**Hyper** · 07-02-2002, 19:34

Setzt das nicht voraus, dass der entsprechende nutzer genau die genannte datei besitzen muss? und welche standard datei kann wohl so interessant sein, hmm? Also mir fällt keine ein. Hab auf meiner HP übrigens den Iframe auch, aber das Fileübertragen FUNZT NET... Hab den transfer zwar jetzt auch net mehr drauf, aber funzen tut es nich... Das einzige is der tolle staun-effekt. Denn es ist und bleibt ein lokal ausgeführtes skript.

<iframe> Hackers best Friend