1. Mit Frames

Beim Site-Phising wird eine Lücke im Browser so ausgenutzt, dass Html-Code von einer nicht vertrauenswürdigen Site in einem Frame einer vertrauenswürdigen Site angezeigt wird. Dies funktioniert auch bei zertifizierten https-Seiten, so dass der Angreifer das Vertrauen in das Zertifikat nutzen kann.

Dabei wird der Code des Angreifers über eine später geladene Seite in die vertraunswürdige Seite eingeschleusst. Angreifern wäre es möglich Links so zu gestalten, dass der Benutzer unbemerkt auf eine Seite mit vertrauenswürdiger Adresse und Zertifikat aber gefälschtem Inhalt geleitet wird.

Es ist daher empfehlenswert vertrauenswürdige Websites nicht über einen (möglicherweise manipulierten) Link aufzurufen sondern die Adresse direkt in den Browser einzugeben. Zudem empfiehlt es sich keine weiteren fremden Seiten nebenher zu öffnen.

Für eine Demonstration siehe unter http://www.heise.de/security.

2. Mit Fenstern

Eine neue Variante ist das Site-Phising mittels Fenstern anstelle von Frames. Hier wartet ein Javascript einer angreifenden Website in seinem Fenster bis von einem anderen Fenster ein weiteres Fenster mit bestimmten Namen geöffnet wird. Wird dieses Fenster geöffnet platziert das Javasript der angreifenden Site einen eigenen Inhalt in das Fenster, und greift die Daten ab, die der Anwender in hier eingibt.

Beispiel: User D ruft, ohne Kenntnis vom gefährlichen Inhalt, die manipulierte Seite von Angreifer B auf, die vordergründig Handy-Klingeltöne zum Download anbietet. Parallel dazu will er seine Bankgeschäfte tätigen und ruft daher die Seite der P-Bank auf. Zum Einloggen öffnet die P-Bank ein extra Fenster. Das erkennt das Javascript der Seite von B, die noch im Hintergrund liegt und platziert eine Kopie der Loginseite der P-Bank in dieses Fenster. User D gibt nun gutgläubig in dieses Fenster seine Anmeldedaten (Kennummer und PIN) ein. Diese Daten werden nun nicht an den Server der P-Bank, sondern an den Server des Angreifers B geschickt, der diese dann für seine Zwecke missbrauchen kann.

Vereinfachen kann der Angreifer das Verfahren wenn er Javascript und Link zur betroffenen Bank zusammen auf einer Seite platziert, da so sichergestellt wird, dass das angreifende Fenster zum Zeitpunkt des Aufrufs der Banke-Seite offen ist.