HTML5-Trick kann Festplatte beim Besuch einer Webseite komplett füllen

Feross Aboukhadijeh hat veröffentlicht (der Besuch dieser Seite ist sicher und der Exploit wird nicht ausgeführt) wie man mit einem einfachen Trick die Festplatte eines Anwender komplett zumüllen kann. Der Anwender braucht dazu lediglich eine Webseite mit seinem Browser besuchen.

Der Trick funktioniert, indem man HTML5 localStorage ausnutzt. Das wurde entwickelt, damit man eine größere Anzahl an Daten auf der Fesplatte speichern kann. Das Limit setzt dabei der Browser und bewegt sich pro Domäne zwischen 5 und 10 MByte. localStorage wird von allen modernen Browsern unterstützt.

Eigentlich sollte der Speicherplatz nur pro Domäne zur Verfügung stehen – Subdomänen eingeschlossen. Das Problem ist, dass Chrome, Internet Explorer, Opera und Safari derzeit kein so ein Limit für Sub-Domänen setzen. Wenn das Speicherlimit zum Beispiel 5 MByte beträgt, wären es fü sub1.example.com, sub2.examle.com und so weiter auch wieder jeweils 5 MByte. Per Standard sollte dieses Verhalten eigentlich verboten sein.

Update: In einem Kommentar wurde eben erwähnt, dass Opera nach 85 MByte fragt, ob es noch mehr Speicher zur Verfügung stellen soll. Auch wenn der Exploit im Hintergrund ausgeführt wird, sollte der Anwender den Braten riechen können. Vielen Dank für den Hinweis!!!

Ein Beispiel dafür bietet die Seite FillDisk.com. Ich verlinke mit Absicht nicht darauf, weil die Seite sofort anfängt, den Platz auf der Platte zu beschlagnahmen. Man kann den Wahnsinn zwar per Mausklick beenden, aber es kann, je nach Rechner, sehr schnell gehen. Wenn einer die Seite aufruft und dann zum Essen geht … auf dem Rechner des Finders werden alle 16 Sekunden 1 GByte an Platz gefressen. Das fiese an der Sache ist, dass der Anwender zunächst davon gar nichts mitbekommt. Mit Firefox geht das übrigens nicht.

FillDisk.com mit Firefox 19 …

FillDisk.com mit Chrome 25 …

Der Quellcode für den Trick liegt auf github.com. 32-Bit-Versionen sürtzen wahrscheinlich ab, bevor die Festplatte voll ist …