typefreak's blog

Volgens Blackboard mogen 'vertrouwde' gebruikers rustig Cross Site Scripting technieken toepassen op een pagina, zoals te lezen in een e-mail dat ik kreeg na het melden van een lek:

our Engineers have commented that while it is true that instructors can add an announcement containing the <iframe> code as you've reported, this is not deemed a security risk because instructors are considered trusted users. If a regular student were able to create a course announcement, then this would be deemed a security breach.

Ze melden dat 'instructors' gebruik kunnen maken van dit lek, maar studenten niet. Vrij scheve redenatie, zeker als je weet dat ik (als student) het lek wist te vinden. Dat iemand 'instructor' is bij een course betekend niet automatisch dat hij/zij geen student is. Bovendien kunnen instructors andere instructors benoemen. Hoe ver rijkt het vertrouwen?

Overigens was het iframe lang niet het enige, met src="javascript:" kon veel meer worden uitgehaald.

Voor de volledigheid: Zit je ergens op blackboard, en kun je in een course een mededeling (announcement) plaatsen, dan werkt het volgende:

<iframe src="javascript:window.alert(document.cookie);">

1
2
3
4
5
6
7
8
9
10
11

if(useragent == SafariForMac)
{
    // Uber OS, can't fail!
}
else // must be Windows
{
    if(itsActuallyLinux())
    {
        FAIL("You messed up! Do it right next time!");
    }
}