GET / POST

[wahsaga]

hi,

ok, der "böse" Mensch geht auf meine Seite, hängt an der URL z.B ein bösen JavaScript code an und drückt enter. Aber dann wird doch der böse code bei ihm ausgeführt, sehe ich das richtig?

Der böse Mensch verlinkt irgendwo im WWW oder einer E-Mail auf diesen URL, der arglose Nutzer denkt sich wenig dabei (denn dieser meist auch noch kodierte "URL"-Kram sagt ihm ja sowieso wenig) und klickt drauf - wähnt sich auf der wie gewohnt funktionierenden Seite, loggt sich dort in den internen Bereich ein - und schwupps, sind seine Zugangsdaten abgephisht.

gruß,
wahsaga