Der Begriff Web 2.0 ist ein Buzzword, das die meisten Techniker nicht mehr hören können. Vorzugsweise deswegen, weil die meisten Projektleiter und Nutzer nicht wissen, was das überhaupt ist (und dass es die genutzten Mechanismen schon seit längerer Zeit gibt). Grundsätzlich versteht man darunter Ajax (Asynchronous JavaScript and XML), eine Kombination aus Javascript und XML.

Seit einiger Zeit wird diskutiert, ob und inwiefern sich damit Backdoors zur Kompromittierung und Fernsteuerung von Clients umsetzen lassen. Seit Anfang 2008 arbeiten wir an einer Implementierung mit dem Projektnamen Xdoor (XmlHTTP Backdoor). Diese pflegen wir seit Mitte 2008 in unseren Backdoor Tests einzusetzen.

Zu Beginn dieses Jahres haben wir ein Video aufgenommen, welches die Funktionsweise und das Verhalten von Xdoor illustriert. Dieses haben wir nun mitunter auf YouTube online gestellt, um sowohl unseren Kunden als auch technisch Interessierten diese Entwicklung aufzuzeigen. Mit Xdoor ist zur Zeit folgendes möglich:

• Interaktion mit dem Client (Chat)
• Generieren von Fenstern und dynamischen Seiteninhalten (html)
• Zugriffe und Uploads von Dateien
• Starten von Applikationen (ActiveX)
• Einfluss auf Maus und Tastatur (ActiveX)
• Portscanning, Banner-Grabbing, Vulnerability Scanning
• Kompromittierung über Browser-Exploit

Es muss erwähnt bleiben, dass es sich in der im Video gezeigten Version Xdoor 3.0 um eine ältere Implementierung vom 07.01.2009 handelt. Mittlerweile ist Xdoor 4.x im Einsatz, was ein Mehr an Modularität und dedizierte Payloads für browserspezifische Exploits unterstützt.

Über den Autor

Marc Ruef ist seit Ende der 1990er Jahre im Cybersecurity-Bereich aktiv. Er hat vor allem im deutschsprachigen Raum aufgrund der Vielzahl durch ihn veröffentlichten Fachpublikationen und Bücher – dazu gehört besonders Die Kunst des Penetration Testing – Bekanntheit erlangt. Er ist Dozent an verschiedenen Fakultäten, darunter ETH, HWZ, HSLU und IKF. (ORCID 0000-0002-1328-6357)

Links

• http://blogs.sun.com/arungupta/entry/dilbert_web_2_0_or
• https://www.youtube.com/watch?v=0ALwlQm62I8