cookie ausspionieren?

Gast #1244520 
Hi,
ich logge mich regelmäßig auf einer Webseite mit Benutzernamen und 
Passwort ein. Da mir das eintippen meist zu umständlich ist, lasse ich 
einen cookie setzten - wenn ich nun das nächste mal die Seite aufrufe 
bin ich dann schon eingeloggt - soweit is ja alles klar!


Wenn ich jetzt theoretisch auf eine phishing-seite stoße die vorgibt, 
oben genannte Webseite zu sein, wäre es doch möglich dass diese 
Betrugseite den cookie anfrägt, Firefox antwortet und sagt "hey ha, ich 
bin eingeloggt den ich hab einen cookie - schau hier!" und dieses 
phishingseite speichert dann dieses cookie ab - ist das möglich?

dann müsste jemand doch einfach den cookie bei sich in den browser 
kopieren und kann sich mit meiner Identität auf dieser Webseite 
aufhalten, oder?

Ich hab keine Ahnung ob das möglich ist - habe aber so einen Verdacht 
und würde nun gerne wissen ob das technisch möglich wäre!
Antwort Zitieren Bearbeiten Thread verschieben Thread sperren Langsamer Modus Anmeldepflicht aktivieren Anpinnen Thread löschen Thread mit anderem zusammenführen Melden Danke
Persönliche Seite 
Nur, wenn der Webbrowser einen Fehler enthält, der es möglich macht, daß 
die Fishing-Seite dem Browser gegenüber vorgaukeln kann, die 
cookiespendende Seite zu sein.

Das ist leider kein rein theoretisches Problem; halte Deinen Browser mit 
Sicherheitsupdates aktuell, und sieh Dir einfach keine phishing-Seiten 
an.
Antwort Zitieren Bearbeiten Löschen Melden Danke
Gast 
ja das geht du musst nur dafür sorgen das die phishing-seite die gleiche 
Domaine hat. (Was recht schwer wird wenn es nicht gerade ein netzt ist, 
welche von dir administriert wird)
Antwort Zitieren Bearbeiten Löschen Melden Danke 
cookie mit Schokolade wrote:
> beim (aktuellen) Firefox 3.0.10 düfte dieses Problem aber nicht
> bestehen, oder?

Viele der Bugs/Sicherheitslücken, die den Cookie-Klau erlauben, sind 
Problem der Webseiten, und müssen von deren Webmaster repariert werden. 
Stichwort XSS.

Da hilft erstmal nur, Javascript abzustellen, und Ausnahmen für 
Vertrauenswürdige(*) Seiten zu machen (->NoScript Plugin für Firefox).
Beim Internet Explorer musst du zusätzlich noch das Darstellen von 
Bildern abschalten.

*) Web-2.0-Seiten, bei denen andere User Content einstellen können, sind 
das nicht.
Antwort Zitieren Bearbeiten Löschen Melden Danke 
Letztenendes kann man es auch Browserunabhängig betreiben, indem 
irgendwo bei der Anfrage von dir "Wo ist Server www.blablubb.de?" 
irgendjemand irgendwie eine falsche Adresse unterjubelt.

Dein Computer denkt nun "Für blablubb.de habe ich ein Cookie" und sendet 
es an den (falschen) Server.

Um so tief ins Internet eingreifen zu können muss man allerding ein 
guter Hacker oder beim BKA (Die Sperre von KiPo-Seiten funktioniert so) 
sein.
Antwort Zitieren Bearbeiten Löschen Melden Danke
Gast 
Daneben kann dem Webseitenbetreiber natürlich auch die Benutzerdatenbank 
verlorengehen...

Die einzige echte Lösung ist, in Foren, Wikis, VZs und anderem Zeug nie 
wirklich sensible Daten zu hinterlegen und vor allem niemals nicht ein 
Passwort zu verwenden, welches du auch noch für was Wichtiges benutzt.
Antwort Zitieren Bearbeiten Löschen Melden Danke
Thread beobachten

Antwort schreiben

Eine eigene Frage? Dieser Thread ist über 17 Jahre alt. Stell sie in einem eigenen Thread – dort lesen mehr Leute mit, und sie wird öfter und schneller beantwortet.

Neuen Thread starten

Eine Lösung, Ergänzung oder Rückmeldung zu diesem Thread? Dann antworte hier.

Formatierung
  • [c]C-Code[/c]
  • [code]Code in anderen Sprachen, ASCII-Zeichnungen[/code]
  • [math]Formel in LaTeX-Syntax[/math]
  • [[Titel]] – Link zu einem Artikel
  • Verweis auf einen anderen Beitrag: Rechtsklick auf dessen Beitrags-ID (#8078628), „Adresse kopieren“, in den Text einfügen

Mehr zur Formatierung

Längeren Sourcecode als Anhang, nicht in den Text. JPG nur für Fotos und Scans; Zeichnungen und Screenshots als PNG oder GIF. Siehe Bildformate.

Dein Name und deine E-Mail-Adresse

Schon registriert? Anmelden

Wird nicht angezeigt. Wir schicken dir einen Link; sobald du damit bestätigst, erscheint dein Beitrag.

Mit dem Abschicken legst du einen kostenlosen Account an und erkennst die Nutzungsbedingungen und die Datenschutzerklärung an.