Discord Start

Schickt den Browser zu Discord. Nur aus dem Formular der Zustimmungsseite.

─── Warum POST und nicht GET ──────────────────────────────────────────

Als GET war das hier ein Link — und ein Link laesst sich verschicken. Die erste Fassung band den Rueckweg per Keks an den Browser und hielt den Angriff damit fuer erledigt; er brauchte nur einen anderen Link:

Der Angreifer meldet per offener Registrierung einen Client mit seiner eigenen Rueckkehradresse an und schickt dem Opfer nicht den discord.com-Link, sondern DIESEN Startpunkt. Der Browser des Opfers setzt sich den Keks dann selbst, laeuft zu Discord, kommt zurueck — Keks und Nonce passen zusammen, weil beide aus demselben Browser stammen — und der Code fuer die Identitaet des Opfers geht an die Adresse des Angreifers. Der Link zeigte dabei auf die echte Notoq-Domain, war also glaubwuerdiger als der vorige.

Ein POST ist kein Link. Und ein Formular auf einer fremden Seite hilft nicht: der Keks traegt samesite=lax, und bei einem Cross-Site-POST geht er nicht mit. Wer hier ankommt, hat die Zustimmungsseite gesehen — mit dem Namen des Clients und der Liste dessen, was er darf.