{"id":41594,"date":"2017-05-27T23:39:50","date_gmt":"2017-05-27T21:39:50","guid":{"rendered":"https:\/\/clubcomputer.at\/?p=41594"},"modified":"2021-05-17T17:31:48","modified_gmt":"2021-05-17T15:31:48","slug":"relay-aspx-ein-praktischer-trojaner","status":"publish","type":"post","link":"https:\/\/clubcomputer.at\/2017\/05\/27\/relay-aspx-ein-praktischer-trojaner\/","title":{"rendered":"relay.aspx, ein praktischer Trojaner"},"content":{"rendered":"<p style=\"text-align: center;\"><span style=\"color: #ff6600;\"><em>[Achtung, nicht alle Objekte auf dieser Seite sind im Sinne des https-Protokolls von sicheren Quellen.]<\/em><\/span><\/p>\n<p>Ein elektromechanisches Relais steuert indirekt fremde Stromkreise. Eine Relais-Station (siehe Beitragsbild) arbeitet \u00e4hnlich und vermittelt Information in gro\u00dfem Stil. \u00a0Im Englischen ist <em>&#8222;relay&#8220;<\/em> auch der Staffellauf, in dem ein Staffelholz \u00fcbergeben wird; auch eine Art &#8222;Relais&#8220;. In diesem Beitrag geht es um das Programm <code>relay.aspx<\/code>, das in der Lage ist, beliebige Seiten im Internet zu holen und in verschiedenen Formaten auszugeben. Man kann das Programm zwar \u00fcber das Internet aufrufen und es liefert dann nur einen Hilfetext. Damit sind die direkten Aufrufm\u00f6glichkeiten schon zu Ende, denn eigentlich wird das Programm im Zuge der Adressangabe in Webseiten angewendet. An jeder Stelle in einem HTML-Dokument, wo <code>src=\"...\"<\/code> oder <code>href=\"...\"<\/code> steht, kann die dortige Adresse <code>...<\/code> durch den Vorsatz von <code>\/relay.aspx?target=<\/code> modifiziert werden.<\/p>\n<p>In den Beitr\u00e4gen &#8222;<a href=\"https:\/\/clubcomputer.at\/2017\/05\/23\/mit-fremden-federn\/\" target=\"_blank\" rel=\"noopener noreferrer\">Mit fremden Federn<\/a>&#8220; und &#8222;<a href=\"https:\/\/clubcomputer.at\/2017\/05\/25\/syntax-highlighting\/\" target=\"_blank\" rel=\"noopener noreferrer\">Syntax Highlighting<\/a>&#8220; wurde gezeigt, wie das Programm <code>relay.aspx<\/code> angewendet werden kann. Jetzt wollen wir die Eigenschaften des Programms n\u00e4her kennen lernen. So wie im folgenden Frame meldet sich das Programm, wenn man es ohne Parameter aufruft:<br \/>\n<code>https:\/\/clubcomputer.at\/relay.aspx<\/code><\/p>\n<p><iframe src=\"https:\/\/billing.clubcomputer.at\/buero\/relay.aspx\" width=\"700\" height=\"550\"><\/iframe><\/p>\n<p>Grunds\u00e4tzlich liefert das Programm den Inhalt von Webdateien. Diese Dateien k\u00f6nnen am eigenen Server sein oder von anderen Server stammen. Zur Sicherheit kann das Programm ausschlie\u00dflich von jenem Server aufgerufen werden, auf dem es gespeichert ist; es ist also ein Relais &#8211; aber nur &#8222;f\u00fcr Befugte&#8220;; es widersetzt sich Aufrufen von au\u00dfen.<\/p>\n<p>Technisch gesehen handelt es sich um ein C#-Programm, das inline in einer ASPX-Datei eingebettet ist. Das hat den Vorteil, das diese eine Datei gen\u00fcgt, um das Programm zu installieren, \u00e4hnlich, wie das bei JavaScript oder bei PHP der Fall ist. Im Unterschied zu diesen Sprachen wird aber das vorliegende Programm am Server vollautomatisch kompiliert und erst das Kompilat ausgef\u00fchrt. Um diesen Meachnimus muss man sich nicht k\u00fcmmern, der Server kann das.<\/p>\n<h3>Parameter <code>target<\/code><\/h3>\n<p>Eine Datei, die gerufen werden soll, erfordert den Parameter <code>target<\/code>. Man kann entweder eine lokale Datei aufrufen oder eine Webdatei.<\/p>\n<ul>\n<li>lokale Datei <code>target=\/pfad\/name.ext<\/code><\/li>\n<li>Webdatei\u00a0<code>target=domain.at\/pfad\/name.ext\u00a0<\/code><br \/>\n<code>http:\/\/<\/code> oder <code>https:\/\/<\/code> kann &#8211; muss aber nicht &#8211; vor <code>domain.at<\/code>\u00a0angegeben sein.<\/li>\n<\/ul>\n<p>In beiden F\u00e4llen wird die Datei so abgeliefert wie sie vom Server geliefert wird. Im Falle einer gesicherten \u00dcbertragung werden aber in einem Html-Kode auch alle Bez\u00fcge zu eventuell unsicheren Inhalten mit derselben Methode automatisch in absolute Pfade mit vorangestelltem <code>\/relay.aspx?target=<\/code> umgewandelt. Das bewirkt, dass man auf einem gesicherten Server (<code>https<\/code> wie es <code>clubcomputer.at<\/code> ist) ausnahmsweise auch mit Dateien arbeiten kann, die auf ungesicherten Servern <code>(http)<\/code> liegen.<\/p>\n<h3>Parameter <code>s<\/code><\/h3>\n<p>Dieser Relais-Funktion wurde durch eine weitere Funktion <code>s<\/code> (f\u00fcr source)erg\u00e4nzt. Man kann die gelieferten Inhalte auch im Quellkode angezeigt bekommen. Das entspricht der Browser-Funktion, sich eine Datei auch im Quellkode anzeigen zu lassen. Damit der Sourcekode auch gut lesbar ist, kann man ihn mit Syntax-Highlighting versehen. Verwendet wurde das Programmpaket von Alex Gorbachev. Damit man das Programmpaket f\u00fcr das Syntaxhighlighting nicht auf dem Produktionsserver <code>clubcomputer.at<\/code> ablegen muss, werden alle zugeh\u00f6rigen Dateien auf <code>buero.clubcomputer.at\/sh\/<\/code>\u00a0abgelegt. Damit das aber auch korrekt auch auf einem<code> https<\/code>-Server &#8211; wie es <code>clubcomputer.at<\/code> ist &#8211; funktioniert, muss man auf die Verweise der Datei mit Highlighting ebenfalls das Programm <code>relay.aspx<\/code> anwenden. Dieser voreingestellte Pfad zu den <code>.js<\/code>&#8211; und <code>.css<\/code>-Dateien kann \u00fcber den zus\u00e4tzlichen Parameter <code>b<\/code> (base) ver\u00e4ndert werden. Die Art der Farbauszeichnung kann man mit dem Parameter <code>t<\/code> (theme) \u00e4ndern.<\/p>\n<h3>Schutz wichtiger Daten<\/h3>\n<p>Das Programm erlaubt die Dokumentation von Source-Kode, sofern sich die zugeh\u00f6rigen Dateien am eignen Server befinden. In diesen Programmen k\u00f6nnten aber Informationen stehen, die nicht sichtbar sein sollen, zum Beispiel Passw\u00f6rter. Um solche Informationen auszublenden, wurde folgender (nicht dokumentierter Mechanismus) eingebaut:<\/p>\n<p>Kodezeilen zwischen <code>\/\/ display-off<\/code> und <code>\/\/display-on<\/code> werden nicht ausgegeben, ebenso Kode zwischen\u00a0<code>\/* display-off *\/<\/code> und <code>\/* display-on *\/.<\/code><\/p>\n<p>Wenn also zum Beispiel eine Kodezeile einer Datei am Server lautet:<\/p>\n<pre>string \u00a0Passwort \u00a0= \"123456\";<\/pre>\n<p>muss man es so umschreiben:<\/p>\n<pre>string \u00a0Passwort \u00a0= \/* display-off *\/ \"123456\"\u00a0\/* display-on *\/ \/* hier ist das Passwort einzugeben *\/;\n<\/pre>\n<p>Die Ausgabe dieser Zeile ist dann wie folgt:<\/p>\n<pre>string \u00a0Passwort \u00a0= \/* hier ist das Passwort einzugeben *\/;<\/pre>\n<p>Zum Abschluss hier noch das Programm <code>relay.aspx<\/code>, ausgegeben in einen <code>iframe<\/code> mit <code>src=\"\/relay.aspx?s=s&amp;target=relay.aspx<\/code><\/p>\n<p><iframe src=\"https:\/\/billing.clubcomputer.at\/buero\/relay.aspx?s=s&amp;target=\/relay.aspx\" width=\"650\" height=\"500\"><\/iframe><\/p>\n<p>Bitte bei der Durchsicht dieses und anderer Kodes immer bedenken, dass man nicht alles zu Gesicht bekommt, weil das Programm alle Stellen zwischen <code>display-off<\/code> und<code> display-on<\/code> aus Sicherheitsgr\u00fcnden ausblendet. In diesem konkreten Fall wird jener Kode ausgeblendet, der die Zeilen zwischen den beiden Markierungen ausblendet und ein &#8222;Backdoor&#8220;, das man sich einbaut, um das Programm auch testen zu k\u00f6nnen.<\/p>\n<h3>Beispiele<\/h3>\n<p>Die folgenden Beispiele k\u00f6nnen nur von dieser Seite ausgef\u00fchrt werden oder von einer Seite auf jenem Server, auf dem sich die Datei relay.aspx befindet. Jeder Link \u00f6ffnet in einem neuen Fenster. Man beachte, dass die Adresse immer https:\/\/clubcomputer.at bleibt und sich nicht etwa auf den target-Wert ver\u00e4ndert.<\/p>\n<ul>\n<li>http-Website pcnews.at (http)<br \/>\n<a href=\"https:\/\/clubcomputer.at\/relay.aspx?target=pcnews.at\" target=\"_blank\" rel=\"noopener noreferrer\">https:\/\/clubcomputer.at\/relay.aspx?target=pcnews.at<\/a><\/li>\n<li>http-Website pcnews.at (http) Empfangender-Kode<br \/>\n<a href=\"https:\/\/clubcomputer.at\/relay.aspx?s=s&amp;target=pcnews.at\" target=\"_blank\" rel=\"noopener noreferrer\">https:\/\/clubcomputer.at\/relay.aspx?s=s&amp;target=pcnews.at<\/a><\/li>\n<li>http-Website digisociety.at (https)<br \/>\n<a href=\"https:\/\/clubcomputer.at\/relay.aspx?target=digisociety.at\" target=\"_blank\" rel=\"noopener noreferrer\">https:\/\/clubcomputer.at\/relay.aspx?target=digisociety.at<\/a><\/li>\n<li>http-Website digisociety.at (https) Empfangender-Kode<br \/>\n<a href=\"https:\/\/clubcomputer.at\/relay.aspx?s=s&amp;target=digisociety.at\" target=\"_blank\" rel=\"noopener noreferrer\">https:\/\/clubcomputer.at\/relay.aspx?s=s&amp;target=digisociety.at<\/a><\/li>\n<li>Lokale Datei license.txt<br \/>\n<a href=\"https:\/\/clubcomputer.at\/relay.aspx?s=s&amp;target=license.txt\" target=\"_blank\" rel=\"noopener noreferrer\">https:\/\/clubcomputer.at\/relay.aspx?s=s&amp;target=license.txt<\/a><\/li>\n<\/ul>\n<p>Es ist auch m\u00f6glich, popul\u00e4re Adressen wie wikipedia.org, facebook.com, google.com oder microsoft.com zu verwenden, obwohl das nicht die Absicht des Programms ist.<br \/>\nwikipedia.org funktioniert fehlerfrei; google.com und facebook.com verlieren die Formatierung und machen Umlautfehler (dem m\u00fcsste man nachgehen);<br \/>\nmicrosoft.com ist cleverer und meint: &#8222;Your current User-Agent string appears to be from an automated process, if this is incorrect, please click this link:United States English Microsoft Homepage&#8220;, Man kann also sehr wohl erkennen, ob die Anforderung von einem Browser stammt oder von einem Programm und man kann sich offenbar auch dagegen sch\u00fctzen.<\/p>\n<p>&#8222;Krieg der Sterne&#8220;, das war einmal, &#8222;Krieg der Server&#8220; sollte es heute hei\u00dfen.<\/p>\n<hr \/>\n<p>Dieses Programm ist nicht als Anleitung zum Aufbau eines Trojaners zu verstehen. Wer aber das Programm versteht, kann sich in der verworrenen Welt der Websprachen, Webkodierugen, Sicherungsmechanismen besser orientieren und versteht auch besser, wie Trojaner funktionieren. Das Programm vertieft das Verst\u00e4ndnis f\u00fcr die Zusammenh\u00e4nge, ist aber nicht wirklich &#8222;angriffsf\u00e4hig&#8220;, weil es sich nicht verbreitet und auch keine R\u00fcckmeldungen &#8222;nach Hause&#8220; sendet uns ihm auch andere wichtige Dinge f\u00fcr die Existenz\u00a0eines wirklichen Trojaners fehlen.<\/p>\n<p>Aber ja, es umgeht einen vom <code>https<\/code>-Protokoll vorgesehenen Mechanismus zur Vermeidung der Einbettung unsicherer Seiten und es kann auch den Inhalt von Server-Dateien sichtbar machen.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>[Achtung, nicht alle Objekte auf dieser Seite sind im Sinne des https-Protokolls von sicheren Quellen.] Ein elektromechanisches Relais steuert indirekt fremde Stromkreise. Eine Relais-Station (siehe Beitragsbild) arbeitet \u00e4hnlich und vermittelt Information in gro\u00dfem Stil. \u00a0Im Englischen ist &#8222;relay&#8220; auch der Staffellauf, in dem ein Staffelholz \u00fcbergeben wird; auch eine Art &#8222;Relais&#8220;. In diesem Beitrag geht [&hellip;]<\/p>\n","protected":false},"author":1193,"featured_media":41596,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"","_et_pb_old_content":"","_et_gb_content_width":"","footnotes":""},"categories":[1233],"tags":[],"class_list":["post-41594","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-aspx"],"jetpack_featured_media_url":"https:\/\/clubcomputer.at\/wp-content\/uploads\/sites\/6\/2017\/05\/transmission-tower.jpg","_links":{"self":[{"href":"https:\/\/clubcomputer.at\/wp-json\/wp\/v2\/posts\/41594","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/clubcomputer.at\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/clubcomputer.at\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/clubcomputer.at\/wp-json\/wp\/v2\/users\/1193"}],"replies":[{"embeddable":true,"href":"https:\/\/clubcomputer.at\/wp-json\/wp\/v2\/comments?post=41594"}],"version-history":[{"count":0,"href":"https:\/\/clubcomputer.at\/wp-json\/wp\/v2\/posts\/41594\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/clubcomputer.at\/wp-json\/wp\/v2\/media\/41596"}],"wp:attachment":[{"href":"https:\/\/clubcomputer.at\/wp-json\/wp\/v2\/media?parent=41594"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/clubcomputer.at\/wp-json\/wp\/v2\/categories?post=41594"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/clubcomputer.at\/wp-json\/wp\/v2\/tags?post=41594"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}