Stefan Niggemeier

21 Replies to “we.bild.de?”

  4. Nochmal zur Bestätigung: http://www.bild.t-online.de/BTO/tipps-trends/reise/wetter/wetter.html lädt etliche Elemente von we.bild.de. Das scheint mir der Server zu sein, über den — hinter dem Lastverteiler Akamai — die Daten von Weathernews.com verarbeitet werden.

    Was den Bildblog-Link angeht, kann ich nur herumspekulieren: Jemand hat den Server auch noch für etwas anderes verwendet? Oder der Referrer täuscht (da war doch mal dieses Mozilla-Problem mit Referrern aus der Sidebar)?

  5. Das Sidebar-Problem würde kaum die Zahl von 994 Usern über den Link erklären.
    Vielleicht ist es der manuell gesetzte Referrer für alle Links aus dem Bild-Intranet? Dann müsste die url aber eigentlich noch öfter auftauchen (google, yahoo etc.), was sie aber nicht tut.

  6. Reine Spekulation: Jemand hat eine Cross-Site-Skripting-Lücke in dem Wetter-Baustein gefunden und etwas damit rumgespielt und so die Referrer erzeugt.

    Eine konkrete Lücke habe ich jetzt noch nicht in dem Baustein gefunden. Eine Seite weiter kann man aber schönes Frame-Spoofing betreiben:

    [Link nachträglich entfernt]

  8. [Link nachträglich entfernt]
    Müsste aber eigentlich einen anderer Referrer ergeben…trotzdem lustig :D

  13. Weil mir die Sache rechtlich zu heikel ist, bitte ich alle, davon abzusehen, hier lustige Links zu posten, die zeigen, wie man eine eventuelle Sicherheitslücke auf we.bild.de ausnutzen kann. Danke!

  14. BILD präsentiert Alan Poseners Text “Wir sind Papst” via Turi2…

    Hier im Pottblog hatte ich es noch nicht thematisiert, aber in zahlreichen Blogs kann man davon lesen.
    Kurzfassung: Ein Kommentator der Zeitung Welt am Sonntag schreibt in seinem Blog einen äußerst kritischen und scharf formulierten Eintrag &…

  15. Hallo Stefan,

    es handelt sich hier um zwei unterschiedliche Dinge. Der Referrer kommt (wie oben schon erwähnt wurde) von einem unserer Partner. Was genau da mit dessen .asp-Seite angestellt wurde kann ich im Moment noch nicht sagen, werde das morgen allerdings mal überprüfen lassen.

    Wie das Laden von Drittanbieter-Content in iFrames läuft, dürfte nun ja auch geklärt sein. Ich sah das bis dato als unproblematisch an. Das werden wir jetzt wohl auf Partner-URLs beschränken müssen … besser ist das.

    Danke für den Hinweis …

  16. Das war schön, ich konnte eine Freundin durch eine Einbindung einer Seite auf meinem Server dazu bringen, zu glauben, Tom von Tokio Hotel (sie hasst Tokio Hotel) behaupte, sie sei seine neue Freundin. Habe einen hübschen Bild-Teaser gebastelt. Da die Seite aber Wetter im Titel trägt, habe ich einen Link zur Wetterseite erstellt und darunter sozusagen als neuesten Klatsch und Tratsch einen Bereich mit diesen „Breaking News“ eingerichtet. Am Ende glaubte sie, das dürfe doch nicht wahr sein, das auf dem Bild sei bestimmt jemand anders, die Mund- und Kinnpartie stimme gar nicht überein.
    Nach dem ersten Schock habe ich ihr dann aber alles erklärt, und zukünftig wird sie sicherlich aufmerksamer im Netz unterwegs sein.
    Danke, Stefan A und bild.t-online.de!

  20. es ist einfach eine Subdomain – und warum so viel Aufregung? Es ist alles gaaaanz harmlos – also die Vorratsspeicherung ist noch nicht im Kraft…

Comments are closed.