Cross Site Scripting                                   

letzte Aktualisierung: 15.04.2009

 

Einige Publikationen der letzten Tage nehmen zum Thema Cross Site Scripting speziell Bezug auf das Gefahrenpotenzial bezüglich Router. Mit Cross Site Scripting wird allgemein eine Methode bezeichnet, über eine entsprechend präparierte Website auf eine andere im Browser bestehende Verbindung Einfluss zu nehmen.

 

Wie funktioniert ein Cross Site Scripting-Angriff?

 

Dazu ein Beispiel: Bei Verwendung eines sicheren Kennwortes ist es nicht möglich, via Webmail direkt auf das Postfach einer Emailadresse zuzugreifen. Ein Benutzer loggt sich nun aber über seinen Webbrowser in sein Postfach ein. Gleichzeitig öffnet er in einem weiteren Browserfenster eine andere Website. Diese schickt Code mit, welcher auf dem Rechner des Benutzers ausgeführt wird und so Zugriff auf das Postfach im anderen Browserfenster erlangt. Der Webmail-Server erkennt diesen unrechtmässigen Zugriff nicht, da er ja über die Verbindung des zuvor korrekt eingeloggten Benutzers erfolgt. Werden Kennwörter für den Zugriff auf eine geschützte Website im Webbrowser gespeichert, besteht sogar die Möglichkeit, neue Verbindungen zu erstellen und automatisch einzuloggen. Ein solcher Angriff muss nicht zwingend von einer dubiosen Website erfolgen. Genau so gut kann dazu eine ansonsten vertrauenswürdige, aber zuvor gehackte Website missbraucht werden.

 

Und was hat das mit meinem Router zu tun?

 

Jedes über den Webbrowser konfigurierbare Gerät enthält einen Webserver und ist somit dem gleichen Risiko ausgesetzt. Alle Router von ZyXEL sind standardmässig so konfiguriert, dass der direkte Zugriff auf die Konfigurationsseiten aus dem Internet nicht möglich sind. Über ein entsprechendes Script könnte aber versucht werden, aus dem lokalen Netzwerk Zugriff auf den Router zu erlangen. Wurde ein sicheres Kennwort eingerichtet, wird der Zugriffsversuch fehlschlagen. Solange das Standard-Kennwort hinterlegt ist, fordert ein ZyXEL-Router daher den Benutzer bei jedem Login auf, das Kennwort anzupassen.

 

Wie kann ich so einen Angriff abwehren?

 

Um zu verhindern, dass eine bereits bestehende Verbindung zum Router ausgespäht werden kann, sollte während der Konfigurationsdauer keine andere Website aufgerufen werden. Sobald die Konfiguration abgeschlossen ist, kann die bestehende Verbindung über Logout beendet werden. Wird der Webbrowser ohne Logout geschlossen, trennt der Router die Verbindung standardmässig nach fünf Minuten. Die direkte Manipulation von Konfigurationseinstellungen ist bei ZyXEL-Routern ohne vorgängige Authentifizierung nicht möglich.

 

Was kann denn durch die Manipulation von Router-Einstellungen erreicht werden?

 

Theoretisch wäre es möglich, Schutzmechanismen wie die Firewall oder den Antivirus-Dienst zu deaktivieren. Oder, wo vom Gerät unterstützt, einen VPN-Tunnel direkt ins Netzwerk des Benutzers zu erstellen. Jeder dieser Schritte ist alleine noch keine wirkliche Gefahr, würde aber weitere Angriffsversuche erleichtern. Das Laden einer mit Schadcode ausgestatteten Firmware ist bei ZyXEL-Produkten aufgrund verschlüsselter Binärdateien nicht möglich. Auch lässt sich kein nicht autorisierter Code auf ein Device laden und ausführen.

 

Fazit

 

Durch folgende Punkte können Cross Site Scripting-Angriffe sicher verhindert werden:

 

- Ändern des Login-Kennworts des Routers

- Während der Konfiguration des Routers parallel keine weiteren Websites besuchen

- Login-Daten (des Routers) nicht im Webbrowser speichern

- Nach der Konfiguration korrekt ausloggen

- Aktuelle Webbrowser verwenden, welche zusätzliche Schutzmechanismen gegen Cross Site Scripting beinhalten

 

Betriebssysteme

Betriebssystem-unabhängig