Australische Regierung prüft XUL-Interface

Also, mit XUL ist es beispielsweise möglich, eine Menüleiste oder ähnliches so nachzubilden, wie es auch im Firefox aussieht. Wenn man jetzt mit JavaScript z.B. die echte Menüleiste ausblendet, oder ein Popup ohne menüleiste öffnet, kann man eben so ne falsche Menüleiste vortäuschen, und damit ziemlichen Unfug anstellen. Das ist schon richtig, jedoch so in jedem anderen Browser möglich (wenn auch vielleicht nicht ganz so einfach).

Um das Problem zu umgehen, muss man jediglich verhindern, dass vorhandene Sachen ausgeblendet werden (das geht in dern Erweiterten JavaScript-Optionen) und man sollte schon einen kritischen Blick darauf werfen, was eine unbekannte Webseite einem vorsetzt.

Es ist aber letzendlich recht unmöglich und auch nicht wirklich sinnvoll, so eine Art des spoofings zu verhindern.

lol, ich kann nicht mehr... :lol:

Erstmal sollte man stets aufs Datum achten und zweitens sollte man nicht nur Überschriften lesen, sondern auch die Details beachten. :roll:

Das ganze gilt nur für Firefox 0.9 ...

Außerdem schaut der Exploit lustig aus: http://www.nd.edu/~jsmith30/xul/test2/
Doppelte Zeilen oben, zwei Statuszeilen... :roll:

Der Bug ist übrigends auch schon Fixed: https://bugzilla.mozilla.org/show_bug.cgi?id=22183

Hi Leutz,

in diesem Zusammenhang (Popups, JavaScript) weise ich mal wieder auf den Thread Verhindern: Popus verändern die Größe des Fenster! *nerv* (Link) hin (entsprechende Hinweise habe ich im Firefox-Wiki leider auf die Schnelle nicht gefunden).

Have fun,
NightHawk

Zitat von Master X

Außerdem schaut der Exploit lustig aus: http://www.nd.edu/~jsmith30/xul/test2/
Doppelte Zeilen oben, zwei Statuszeilen... :roll:

bei mir schaut er etwas anders aus:

XML Parsing Error: undefined entity
Location: http://www.nd.edu/~jsmith30/xul/test2/browser.xul
Line Number 367, Column 7:      <menuitem id="context-setWallpaper"
------^

Wenn man auch versucht, DTDs aus dem Chrome zu laden...

Du bist auch ne Version weiter. Da ist es dann wohl nichtmal mehr im Ansatz möglich.

Sie müssten die DTDs (Sprachdateien) halt auch auf ihren Server laden. Und über den User-Agent herauskriegen, welche sie schicken müssen.

Schließt mal alle Tabs bis auf das hier, Blendet alle Toolbars aus (nicht unbedingt nötig, sieht dann aber besser aus), und klickt dann mal auf folgenden Link:

http://home.arcor.de/jonha/spoof.xml

Sieht recht echt aus, oder?

(Zum Vergleichen könnte ihr gern auch mal das Theme ändern. Die xul-Datei passt sich an.)

Funktioniert bei mir nicht wirklich. Die ganze Toolbar ist weiss (anstatt Windows-grau).

Naja. bei mir gehts. Mein Test ist auch nur ne Arbeit von wenigen Minuten und enthält bestimmt auch noch kleinere Fehler (Vor und Zurück-Buttons fehlen z.B. teilweise)
Es soll nur demonstrieren, dass sowas theoretisch möglich ist.

Ich finde die deutsche Übersetzung absolut liebenswert:
bei obigem Link
"http://home.arcor.de/jonha/spoof.xml "

bekomme ich die Fux-Meldung: Diese Webseite enthält merkwürdige Objekte.

"Merkwürdig" nennt er das. Ist ja richtig süß!
:lol: [/i]

Das ist zwar keine deutsche übersetzung, sondern ein einfaches von mir gebasteltes Beispiel, aber es freut mich, dass du »merkwürdig« suß findest.

Zitat von Orkan

Ist es möglich XUL-Darstellung im eigentlichen Browserbereich zu unterbinden?

Nein. Es wurde von den Mozilla-Entwicklern bereits diskutiert, aber es scheint keine einfach zu realisierende Möglichkeit zu geben und außerdem geht davon keine direkte Gefahr aus. Gut; Das man damit die Benutzeroberfläche nachbilden kann, ist sicherheitsmäßig nicht gerade toll.

Allerdings kann eine Webseite keinen direkten Schaden verursachen, wenn sie XUL einstetzt. Die Webseite sieht dadurch nur wie das Betriebssystem/Die Firefox-Oberfläche aus, Software installieren oder ungewollten Code ausführen geht damit nur so weit, wie es auch bei normalen Webseiten möglich ist. Das abschalten von Javascript reicht in olchen Fällen eigentlich immer aus, um die gefakte Oberfläche wirkungslos zu machen.

du kannst durchaus (zumindest im Firefox 1.5) XUL über die userChrome.css verbieten. Du musst hinter die standardmäßig vorhandene @namespace-Zeile noch das hinzufügen:

@namespace xul url(http://www.mozilla.org/keymaster/gatekeeper/there.is.only.xul);

und dann noch irgendwo drunter das einfügen:

@-moz-document  url-prefix(http://),
               url-prefix(https://),
               url-prefix(ftp://),
               url-prefix(data:),
               url-prefix(wysiwyg:)
{
    xul|* { display: none !important; visibility: collapse; }
}

(Ich hoffe, ich habe kein Protokoll vergessen.)

Wie JonHa schon geschrieben hat ist das aber nicht wirklich

jedenfalls kann man damit lustigen Nonsens machen:
[Blockierte Grafik: http://img476.imageshack.us/img476/5515/unbenannt2oy.th.png]
(Und alle Subbrowser funktionieren vollständig!)

Sorry für Unsinn,
Bazon