Code - 4

Von XSS (Cross Site Scripting) spricht man, wenn es durch Usereingaben möglich ist, bei einer Seite eigenen HTML und JavaScript-Code einzufügen. Das ist insbesondere dann ein Problem, wenn die Seite (auf der selben Domain reicht) in irgendeiner Weise Sessions und Accounts nutzt. Warum? Weil es trivial möglich ist, mit etwas JavaScript-Code das Session-Cookie zu übertragen und somit den Account zu hijacken.

Ein simples Beispiel:
http://www.eplus.de/meta/shopsuche/suche_ausgabe.asp?suchwort="><script>alert(1)</script>

Durch die bloße Eingabe von "><script>alert(1)</script> oder <script>alert(1)</script> lässt sich jedes Formular auf triviale XSS-Probleme checken (einfach mal ausprobieren).

Problemfall Frames: Aufgrund der Tatsache, dass ein bestimmter Framezustand nicht in einer URL festhaltbar ist, haben sich viele Menschen mehr oder weniger sinnvolle Fakes ausgedacht, die dann häufig in der Form http://mydomain.com/framescript?location=siteinframe daherkommen.
Nun kann man sowas ausnutzen, um in einem Frame eine Fremdseite darzustellen. Bis vor kurzem funktionierte dies noch:
http://www.eplus-unternehmen.de/frame.asp?go=http://www.google.de/
Kurze Zeit später wurde selbiges gefiltert, mit folgendem kam man aber immer noch weiter:
http://www.eplus.de/frame.asp?go=http://www.eplus.de@www.google.de
http://www.eplus.de/frame.asp?go=http://www.eplus.dedomain.com
http://www.eplus.de/frame.asp?go=http://www.eplus.de.mydomain.com
Gehen inzwischen alle nicht mehr.
Problem? Phishing. Funktioniert selbiges bei einer Bank oder einem sonstigen Unternehmen, bei dem größere Beträge eine Rolle spielen, ist es für Phisher attraktiv, unbedarften Menschen eine Nachricht zu schicken, die eine echt aussehende URL des Unternehmens enthält.

Was bei obriger URL nach wie vor funktioniert, ist eine etwas trickreichere JavaScript-Injection:
http://www.eplus.de/frame.asp?go=http://www.eplus.de/');alert(1);document.write('
http://www.eplus.de/frame.asp?go=');alert('
Das schöne hierbei ist, dass die Variable direkt in bereits bestehenden JavaScript-Code eingefügt wird.

Desweiteren hat eplus noch mehr Domains und anderswo funktioniert es noch:
http://www.eplus-unlimited.de/3_1_jingles/index.jsp?toLoad=http://www.google.de//

E-Plus wurde vor über einem Monat mit den ersten Lücken kontaktiert. Die Schließung erfolgte schleppend, weswegen mir die Veröffentlichung hier angemessen erscheint. Die Veröffentlichung wurde vor einer Woche angekündigt. Es wurden keine Lücken publiziert, von denen E-Plus nicht schon mindestens vor einer Woche bescheid wusste.

Credits gehen vor allem an Alexander Brachmann.

In aller Regel betreibe ich Responsible Disclosure: Vor einer öffentlichen Publizierung wird der Anbieter oder Autor der Software mit Vorlauf informiert.

Heut abend beim Webmontag gibt's ne Kurz-Präsentation.

A thing that people often ask in the free software world: I can't program but I want to help out somewhere.

Theres one thing that's very simple to do for everyone using Linux. We have two tools called lspci and lsusb that look on the pci/usb-bus for installed devices. Each device has an ID, consisting of a vendor ID and a product ID. Everyone can check the own hardware if everything is detectet. For lspci, first run update-pciids, then lspci -v. Each »Unknown« represents some ID that's not in pci.ids. Report the exact device model name to the interface on http://pciids.sourceforge.net/.
For lsusb, run update-usbids and attach all usb devices you can find. lsusb doesn't show Unknown, if after a device number there's only a vendor name, then the ID is unknown. The usb.ids database is much more incomplete than the pci database. They don't have such a fancy interface as pciids, just send it to the current maintainer (listed in the file usually at /usr/share/misc/usb.ids or /usr/share/usb.ids).

Now, if you've been on the internet a bit longer, you may remember those sites at the end of the 90s telling you that they're »best viewed with a resolution of 1024x768 and the Microsoft Internet Explorer version 6.0". Luckily, most of those pages disappeared with the upcoming success of Mozilla Firefox and others (oh, there are still some, e. g. the cinema in my home town, but ie6 runs on wine).

As you may know, I'm a happy KDE user and have been using Konqueror as my everyday browser for some time now. Recently, I discovered more and more pages I couldn't use any more. I had to start this thing called Firefox. I don't like it, but that is not the point here.
I even noticed today that ebay has a new interface that konqueror doens't like.

This is a result of the more and more upcoming AJAX/JavaScript-stuff, which is often nice, I saw a lot of well designed web applications lately (ok, I saw a lot of crap, too). I'm not enough into JavaScript to know if it's the lack of support by Konqueror or the pages. I just hope that people will come together and find solutions for that. I remember that there was some discussion about using webcore (the khtml-fork used by apples safari) for konqueror, don't know if that would make it better, maybe some users of this drm-crippled system could comment on that.

Die endlose Geschichte der Wahlmaschinen nimmt erneut skurrilste Wendungen. Da ich gerade auch im Rahmen meines Studiums mit dem Thema befasst bin, wird's hierzu sicher in nächster Zeit öfters was geben.

Kleiner Abriss, was bisher geschah: Nach diversen Absonderlichkeiten um den US-Wahlmaschinen-Hersteller Diebold, der etwa kritischen Wissenschaftlern qua Copyright untersagen will, die Funktionsweise der Maschinen näher unter die Lupe zu nehmen, wurden bei der Bundestagswahl 2005 auch in Deutschland an manchen Orten Wahlmaschinen eingesetzt.
Das BMI antwortete auf eine Anfrage nach dem Informationsfreiheitsgesetz über die Funktionsweise der Wahlcomputer mit der bemerkenswerten Aussage, dass "Der Schutz der Betriebsgeheimnisse der Firma Nedap müsse auch insbesondere deshalb vorgehen, weil die Geheimhaltung der Betriebsgeheimnisse zusammen mit anderen Faktoren zur Sicherheit des Wahlgerätes und damit der Wahl beiträgt".
Nun würde man jedem Besucher einer Computersicherheitsvorlesung nach der zweiten Woche für solch eine Aussage einen anderen Studiengang empfehlen, bzw. wahlweise 50.000 mal Kerkhoffs Prinzip aufsagen lassen.

Den meisten sicher schon bekannt, starteten einige dem CCC-Umfeld zuzurechnenden Menschen eine Petition an den Bundestag. Eine kritische Grenze für eine derartige Petition sind 50.000 Stimmen, ab deren Erreichen erhält die Petition besondere Aufmerksamkeit (die Details sind etwas komplexer, netzpolitik hat sich das genau angeschaut).
Nun verwundert zuerst einmal die etwas komische Adresse itc.napier.ac.uk. Grund hierfür ist, dass offensichtlich die Technik-Abteilung des deutschen Bundestages nicht in der Lage ist, selbst ein System für derartige Petitionen zu erstellen und man deshalb auf die professionellen Dienste der Napier University in Edinburgh zurückgreifen musste. Man könnte natürlich, trotz dieser Umstände, fragen, wieso es die gemeintschaftliche Kompetenz der Napier University und des Deutschen Bundestages nicht schafft, einen DNS-Alias, etwa petition.bundestag.de, zu setzen, aber über solche Kleinigkeiten wollen wir mal hinwegsehen.

Interessant ist u. U. auch die Tatsache, dass die Abgabe einer Stimme bei der Petition vollkommen unverschlüsselt geschieht. Die Einrichtung eines SSL-Zertifikats scheint die Experten der Napier University ebenfalls zu überfordern. Dass ich, um eine Petition unterstützen zu können, bereit sein muss, fahrlässig meine Daten unverschlüsselt an eine mir nicht bekannte Universität zu senden, scheint mir leicht mit meinem recht auf informationelle Selbstbestimmung zu kollidieren.

Dem ganzen die Krone auf setzt nun aber die Tatsache, dass die Petition beim erreichen der magischen 20.000-Marke technischen Schluckauf bekam - die Auflistung der UnterzeichnerInnen war nicht mehr möglich. Es mag zwar vorkommen, dass Systeme, wenn sie weit über die Maßen genutzt werden, nicht ausreichend skalieren. Dass jedoch scheinbar ein Erreichen der 50.000 kritischen Stimmen von den durchführenden Programmierern scheinbar garnicht in Betracht gezogen wurde, lässt einen das ganze doch etwas komisch erscheinen.

Im übrigen möchte ich betonen, dass mir die Verdienste John Napiers für die Entwicklung der Mathematik und Informatik wohl bewußt sind und er schließlich nichts dafür kann, dass eine schottische Universität mit offensichtlich inkompetenten Informatikern seinen Namen trägt.

Achja: Trotz allem natürlich die Petition unterzeichnen!

Die Linkliste auf andere Blogs in meiner Sidebar war mir schon länger ein Dorn im Auge. Irgendwie unflexibel, immer entscheiden, wer jetzt wichtig genug dafür ist, was tun mit Blogs, die nur selten bedient werden. Die naheliegende Variante: Linkliste wird durch ein Planet ersetzt, die obersten Einträge erscheinen in der Sidebar. Hat den Vorteil, dass diejenigen öfters verlinkt werden, die mehr schreiben.
Da mir die originale Planet-Software immer weniger gefallen hat (viel zu oft mysteriöse Ereignisse, plötzlich tauchen uralt-Einträge wieder auf, die alle anderen von oben verdrängen), betreibt Harvester selbigen. Gefällt mir auf den ersten Blick tendenziell besser als Planet, ist in Ruby geschrieben und braucht in der jüngsten Version eine Datenbank als Backend. Upstream sieht hierfür PostgreSQL vor, Bernd hat dankenswerter Weise einen Patch für MySQL geschrieben.
Ein Problem ist im Moment noch, dass jeder HTML-Fehler und insbesondere auch in XHTML 1.1 nicht mehr existente HTML-Kommandos und Entities ständig dazu führen, dass mein Blog nicht mehr validiert. Muss ich mal schaun, im Prinzip kann man ja HTML-Tags rausstrippen und Entities, sowie non-Unicode-Zeichen in UTF-8 konvertieren.

Wer sich nun fragt, warum sein Feed nicht auftaucht, dafür kommen tendenziell folgende Varianten in Frage:
1. Feed kaputt/validiert nicht. Mag Harvester garnicht. Lösung: lynx --source [feed-url] | xmllint --noout - und fixen.
2. Ich kenn Dein Blog nicht. Fix: In den Comments melden.
3. Ich habs vergessen/verpeilt/irgendwann in den endlosen weiten meines Feedreaders verloren gegangen: Try 2.
4. Ich finde Dein Blog langweilig. Vermutlich nicht fixbar.

Zu guter letzt und da ich schon drauf angeprochen worden bin: Aufgeführt im Planet impliziert nicht zwingend inhaltliche Übereinstimmung mit den Schreibenden.

Als nächstes steht dann eine scuttle-basierte Linkliste an.

Okay, I knew PHP isn't the most well-designed language in the world. I knew it grew up from a hobbyist language and that it is used for things today it never was meant for. I knew that it's function names sometimes aren't very intuitive.
But today I started to hate it. Now, beside various other strange things, this one let's me wonder which drugs the person that implemented this was consuming:

PHP is, by design, syntactical similar to C, meaning it has curly brackets, same comment syntax, same syntax for if, for and other basic commands. Now, one would probably think that a function named the same in C and PHP would do the same. Or at least something similar.
Due to the fact that C is very low-level, it has a function called sizeof() that gives you the amount of bytes a variable type uses in memory. E. g., an integer is the basic type of the current architecture, not always the same size (4 byte on i386, 8 byte on amd64). With sizeof() you can get the size of the type.
Now, I was looking for a function to get the number of elements in an array. I searched and found, well, sizeof(). Which I couldn't really believe. Due to the abstract structure of PHP, it seemed quite impossible to me to have something like sizeof() in php. It really gives you the number of elements in an array.

Gestern abend noch auf die mrmcd101b (metarheinmain chaosdays) gefahren. Ganz nett, bislang deutlich größer als letztes mal in Wiesbaden. WLAN funktioniert nur durchwachsen, dummerweise hab ich kein Wired-Kabel mehr dabei.

Wir machen am Entropia-Stand grad AIGLX/Compiz-Späße, zwei Gentoo-Rechner schon mit versorgt und ein Debian wird grad auf Gentoo umgestellt. Ich halte später auch noch einen Lightning-Talk dazu, wer Lust auf wobbly Windows hat, darf vorbeikommen.

Kurzberichte zu Vorträgen kommen später noch ein paar,

Heute (naja, gestern) wieder Webmontag in Karlsruhe im Kubik. Es gab drei Vorträge, einer davon von mir (ich hab das Gefühl, dass meine Vortragsroutine langsam besser wird), Slides wie immer als OpenDocument und als PDF. Die Leute waren heute sehr diskutierfreudig, weswegen es deutlich länger als geplant ging. Zwar musste natürlich irgendwann der Einwand »Businessmodel« kommen (ich glaub da schreib ich mal was längeres zu), aber insgesamt war's ganz in Ordnung.

Anschließend MNT über Simple Sharing Extensions, scheint ne interessante Sache zu sein, die evtl. einige der Probleme lösen könnte, über die ich mir auch schon Gedanken gemacht hab (wie verknüpf ich indizierte RSS-Elemente wieder mit ihrem Ursprung). Achja: Es ist zwar von Microsoft, aber die Dokumente als CC veröffentlicht.
Problem scheint im Moment zu sein, dass es keine Software dafür gibt.

Dritter und letzter Oliver Gassner, der sich am Begriff (oder, wie er meinte, nicht-Begriff) Web 2.0 störte, weil dieser völlig undefinierbar und unbrauchbar sei. Ich würde jetzt mal wagen, dem vorsichtig zu widersprechen, dass man schon grob einkreisen kann, worum es sich bei Web 2.0 dreht: Im weitesten Sinne offene Kommunikation mit Interaktionsmöglichkeiten, die die Möglichkeit zum reinen Lesen/Konsumieren bietet, aber dem Nutzer auf Wunsch irgendeine Art von Interaktion ermöglicht. Zwar hat Oliver einige Dinge mehr noch erwähnt, die angeblich Web 2.0 seien (Pay per click, kontextsensitive Werbung) und damit nix zu tun haben, ich fand aber unklar, wieso er die jetzt zu Web 2.0 mitzählen will. Alles, was ich allgemein drunter verstehen würde, hat schon dieses Interaktionsmerkmal zu eigen.

Im Anschluss beim Socialing hatten wir noch ne kleine Runde über CAcert (nächstes Mal gibt's glaub von mir dazu n ausführlichen Vortrag, scheint ja doch großes Interesse zu wecken) und eine etwas hitzigere Diskussion über Linux auf dem Desktop. Dabei hab ich gemerkt, dass ich mir in jüngerer Zeit angewöhnt hab, auch die Linux 9.0-Fraktion freundlich zu behandeln.

I'm not yet sure, but it might be that Ruby is becoming my language of choice for the future. It has a very neat syntax.

Do you remember doing findfirst and findnext in whatever stoneage lang it was to parse a directory tree? It's just a simple
Dir[ "#{cur_path}/**/*" ].each { |cur_file|
[some code]
}

Really nice!

Wie bereits angekündigt, treibe ich mich gerade auf den Metarheinmain Chaosdays in Wiesbaden rum. Location ist sehr ansprechend in einem Umfeld von grafittiverzierten, teilweise baufälligen Gebäuden und Kunstinstallationen (leider hat sich das Wetter gerade entschlossen, nicht sehr Foto-freundlich zu agieren und es sieht grad auch nicht so aus, als ob's heut nochmal Sonne gibt).

Aufgrund eines Vortragsausfalls habe ich spontan noch meine von der GPN übrigen Folien über XGL/AIGLX wiederverwertet und somit zwei Vorträge präsentiert.

Xgl-Vortrag das übliche staunende aah und ooh, die leidige Frage, was das bringt etc.

Der Vortrag über Passwörter brachte den gewünschten Widerspruch, insbesonder Fukami hielt heftig dagegen und konnte auch einige Dinge anbringen, die ich so noch nicht bedacht hatte, etwa die Frage, was es für Identitätsdiebstahl bedeuten würde, wenn man alle Zugänge per Chipkarten regelt.
Folien: OpenDocument, PDF

Anschließend hatte ich eine kurzweilige einstündige Unterhaltung mit einem Menschen einer wiesbadener Lokalzeitung, der schwer beeindruckt war, was ich ihm alles so erzählte. Insbesondere das »Ich kann deine eMails lesen« schien ihm nachzugehen (mit Live-Präsentation via Wireshark).

I've committed some updates to my xgl/aiglx-overlay. First of all, it now uses a git-ebuild for the xserver, because there have been some improvements (implementation of GLX_MESA_copy_sub_buffer) I wasn't able to backport easily. Then I've added an experimental patch to compiz autodetecting AIGLX, which removes the need for indirect and strict-binding parameters. Some other no longer needed patches removed. Get it with:
svn co http://svn.hboeck.de/xgl-overlay

Or, if you already have it, cd to it and
svn update

To use it properly, you'll need some entries in your /etc/portage/package.unmask (I've put a package.unmask.sample in the overlay root dir) for proper operation of the overlay:
x11-base/xorg-server
media-libs/glitz
x11-libs/cairo
dev-python/pycairo
(no longer needed)

Enjoy!

Just a very short note, we managed to finish our gpn5-project for creating an asmsource to find the entry-points of preloaded libraries.
More doc and details to follow, just get it for now: smallelf-0.1.tar.bz2

Erster Rückblick auf zwei bislang recht erfolgreiche Tage GPN5. Nebst einigen netten Begegnungen lief mein Workshop zu Linux & 4k-Intros sehr gut, nach einer Einführung über momentane Methoden auf unterschiedlichen Systemen arbeiteten wir in kleiner Gruppe relativ effektiv und ich geh im Moment davon aus, dass wir bis zum Ende einiges an funktionierendem Code fertig haben.

Mein (gnadenlos überzogener) Lightning-Talk zu XGL & AIGLX kam ganz gut an (Slides ODP, Slides PDF), danach gab es noch einen Haufen anderer recht spannender Vorträge (falls ich es noch richtig zusammenkriegen, Dvorak, Gameboy-Hacking, Cross-Site-Authentication, chinesisches Schach, Webhosting-Anwendungen, Spam in Blogs, qemu).

Gerade Lesung von Daniel Kulla, DON'T SPREAD THE WORD - CUT-UP & CODE!

Achja: Das ganze hier ist erfreulich WM-frei. Fotos gibt's von mir diesmal keine, weil Canon meine Cam gerade auf Garantie repariert.

planet is a famous python software to combine the feeds of various blogs (or other feed-sources) to one website. It's used by various free software projects, organizations etc.

While thinking about creating a planet karlsruhe, I thought about possible licensing/copyright problems, in theory you would have to ask everyone you aggregate. As there are many blogs using free or semi-free licenses like FDL or Creative Commons that at least allow re-distributing unchanged content if you stick with the license, adding license-data would make it perfectly legal to add those feeds without asking.

planet is already flexible enough to do this, as you can just add additional variables. Change the config.ini to something like this:

[https://blog.hboeck.de/feeds/atom.xml]
name = Hanno Böck
license_name = Creative Commons by-sa
license_link = http://creativecommons.org/licenses/by-sa/2.5/

Add some Code to the template:

<TMPL_IF channel_license_name>
<TMPL_IF channel_license_link><a href="<TMPL_VAR channel_license_link ESCAPE="HTML">"></TMPL_IF>
<TMPL_VAR channel_license_name ESCAPE="HTML">
<TMPL_IF channel_license_link></a></TMPL_IF>
</TMPL_IF>

And you're done.

In a few minutes I'll head off to the Breakpoint in Bingen, one of the biggest events of the demoscene.

This year I'm especially looking forward that there are a couple of interesting seminars, I'll probably write some reports about that. And have a look at their website, I like this years design very much.