HTTPLeaks

Was ist das?

Dieses Projekt zielt darauf ab, alle möglichen Wege aufzulisten, auf denen eine Website HTTP-Anfragen leaken kann. In einer einzigen HTML-Datei. Siehe die Datei leak.html (Rohversion) im Stammverzeichnis dieses Repositorys.

Wofür ist es?

Sie können dies verwenden, um Ihren Browser auf CSP-Lecks zu testen, Ihren Web-Mailer auf HTTP-Lecks und alles andere, das keine HTTP-Anfragen an unerwünschte Stellen senden soll.

Mit „HTTP-Leak“ beziehen wir uns im Wesentlichen auf eine Situation, in der eine bestimmte Kombination von HTML-Elementen und -Attributen eine Anfrage an eine externe Ressource auslöst – wenn das nicht passieren sollte. Denken Sie zum Beispiel an den Körper einer HTML-E-Mail, bei der ein HTTP-Leak jemandem da draußen mitteilen würde, dass Sie diese E-Mail gerade gelesen haben. Nicht immer schlecht – aber fast nie gut.

Oder denken Sie an Web-Proxys. Diese Tools versuchen, Ihnen eine Website von einer anderen Domain anzuzeigen, um das zu bieten, was sie „Anonymität“ nennen. Natürlich müssen sie auch alle HTML-Elemente und -Attribute umschreiben, die Ressourcen über HTTP (oder ähnliches) abrufen, und wenn sie etwas vergessen, ist die sogenannte „Anonymität“ dahin.

Und da niemand mehr wirklich weiß, welche Elemente und Attribute externe Ressourcen anfordern können, haben wir beschlossen, dieses Projekt zu erstellen, um den Überblick zu behalten.

Und jetzt?

Das HTML wird erweitert, sobald wir von einem neuen Leck erfahren. Pull-Requests mit zusätzlichen exotischen Quellen für HTTP-Lecks sind sehr willkommen! Ebenfalls willkommen sind Ideen, wie dieser Inhalt sonst präsentiert werden könnte (JSON, HTML, XML, ...).

Danksagungen

Dank an @hasegawayosuke, @masa141421356, @mramydnei, @avlidienbrunn , @orenhafif, @freddyb, @tehjh, @webtonull, @intchloe, @Boldewyn und viele andere für das Hinzufügen von Inhalten und kleinere Korrekturen hier und da!