nicht angemeldet
Hi,
Ist es denn überhaupt möglich - mit welchem Programm auch immer -
Aus einem Forum, Daten anderer User "auszulesen"?
doch nicht, oder?
Jein.
Das hängt vom Forum ab.
Das Javascript stammt vom Angreifer, läuft beim Benutzer und wird vom Forumsserver geliefert. (Das heißt, dass es nur auf die Daten zugreifen kann, die auch der Forumsserver kennt. Da sind aber evtl. interesannte Dinge für den Angreifer drunter.)
Funktioniert die Anmeldung (Username und Passwort) bei dem Forum mittels Sessions (Cookie oder per URL) dann kann das Javascript auf diese Daten zugreifen und sie an einen beliebigen anderen Server im Internet übertragen.
Mit diesen Daten ist es dann möglich diese Session von einem anderen Rechner (typischerweise von dem des Angreifers) aus zu benutzen. Der Angreifer 'klaut' dir sozusagen deine Anmeldung beim Forumsserver.
Funktioniert die Anmeldung mit HTTP-Auth (wie hier im Forum z.b.) dann geht _das_ jedoch nicht.
Gruss,
Carsten