Re: ebay-kleinanzeigen suspekte Antwort

Marco Moock

unread,

Dec 2, 2021, 2:26:48 PM12/2/21

to

Am 02 Dec 2021 20:18:00 +0100
schrieb christian_...@soemtron.de (Christian @Soemtron):

> Manchmal erscheint als Antwort auf eine Anfrage an
> ebay-kleinanzeigen.de nur eine leere Seite.
Betrifft das nur die Website oder auch die E-Mail, die dann verschickt
wird?
Ich mache das ausschließlich per E-Mail und muss mich daher mit der
Website nicht so rumschlagen.

Christoph Schneegans

unread,

Dec 3, 2021, 5:06:04 AM12/3/21

to

Christian @Soemtron schrieb:

> Manchmal erscheint als Antwort auf eine Anfrage an ebay-kleinanzeigen.de

Christoph Schneegans

unread,

Dec 3, 2021, 5:16:44 AM12/3/21

to

Andreas Kohlbach schrieb:

> Alles was ich habe, ist der Text in HTML-Entities, wie <HTML>
> aber auf die Schnelle kein Tool, das HTML draus zu basteln.

https://dpaste.com/CWMG3GYAZ maskiert beim Klick auf "COPY TO CLIPBOARD"
unsinnigerweise den Code. Verwende stattdessen "RAW TEXT".

--
<https://schneegans.de/windows/no-8.3/> · Windows ohne PROGRA~1

Mike Grantz

unread,

Dec 3, 2021, 10:40:27 PM12/3/21

to

On 04.12.2021 01:27, Andreas Kohlbach wrote:

> Das hört sich paranoid an. Wenn Du e-k nicht traust, besuche sie
> nicht. Ohne aktiviertes Javascript dürfte das WWW aber sehr arm aussehen.
>
> Für FX und Co. gibt es Skript-Blocker. Ich verwende keine, sodass andere
> vielleicht die eine oder andere Empfehlung geben können.

Da ich grad sehr auf das Datenvolumen achten muss, habe ich alle Bilder
und Videos blockiert. Da die übertragene Datenmenge trotzdem noch
WEIT!!! über dem tatsächlich zu lesenden Text liegt (dutzende Bibeln für
ein paar Buchseiten Text), habe ich auch mal versucht, Script global zu
deaktivieren.

Das macht echt keinen Spass.

Christoph Schneegans

unread,

Dec 4, 2021, 4:15:09 AM12/4/21

to

Christian @Soemtron schrieb:

> Christoph Schneegans <chri...@schneegans.de> schrieb:

>
>> Ich habe den Code spaßeshalber in einer Wegwerf-VM ausgeführt (und
>> vorher den Wert von "seed" durch einen zufälligen String ersetzt,
>> um etwaige Rückschlüsse auf deine Person auszuschließen).
>

> Danke, die Gefahr bestand wohl nicht.

Wenn du einverstanden bist, wiederhole ich den Test gerne nochmal mit
dem originalen "seed".

Christoph Schneegans

unread,

Dec 4, 2021, 6:40:20 AM12/4/21

to

Andreas Kohlbach schrieb:

> On Fri, 3 Dec 2021 11:16:42 +0100, Christoph Schneegans wrote:
>
>> https://dpaste.com/CWMG3GYAZ maskiert beim Klick auf "COPY TO CLIPBOARD"
>> unsinnigerweise den Code. Verwende stattdessen "RAW TEXT".
>

> Weder noch geht. Das Tab im Browser "friert ein"; ich kann es nur beenden.

Auch mein Chrome muss (auf einem Ryzen 5 3600, der sich bei der "single
thread performance" nicht zu verstecken braucht) kurz kämpfen, um
initial die irrsinnig langen Zeilen (40.000 Zeichen) zu rendern, die
https://dpaste.com/CWMG3GYAZ produziert. Ggf. musst du etwas warten.

Bei https://dpaste.com/CWMG3GYAZ.txt gibt es dieses Problem aber
bestimmt nicht.

Peter J. Holzer

unread,

Dec 4, 2021, 2:25:40 PM12/4/21

to

On 2021-12-02 19:18, Christian @Soemtron <christian_...@soemtron.de> wrote:
> Manchmal erscheint als Antwort auf eine Anfrage an ebay-kleinanzeigen.de
> nur eine leere Seite. Der Quelltext ist dann ein einziges Javascript-
> Kauderwelsch, Bsp. (JS-Text): https://dpaste.com/CWMG3GYAZ

Den Code habe ich mir nicht angesehen, meine Antwort ist ganz allgemein.

> Ausgeführt wird es nicht, da JS bei mir standardmäßig deaktiviert ist.
> Das sieht für einen Laien irgendwie nach code-obfuscation aus, was
> seriöse Seiten doch nicht tun oder ist das üblich?

Das ist inzwischen ziemlich üblich. JavaScript auf Websites ist oft
nicht mehr handgeschrieben, sondern der Output eines Compilers. Manchmal
wird aus einer nahe verwandten Sprache (z.B. Typescript oder JSX)
manchmal aus einger ganz anderen und manchmal einfach nur aus einer
neueren JavaScript Version übersetzt. Das Ergebnis ist üblicherweise
nicht dafür gedacht, von Menschen gelesen zu werden.

hp

Arno Welzel

unread,

Dec 4, 2021, 6:04:50 PM12/4/21

to

Christian @Soemtron:

> Das ist mein 1. Post in dieser Gruppe. Beim 1. Versuch ging es zwar
> 'raus, landete aber offenbar nicht in der NG. Daher noch einmal.

>
> Manchmal erscheint als Antwort auf eine Anfrage an ebay-kleinanzeigen.de
> nur eine leere Seite. Der Quelltext ist dann ein einziges Javascript-
> Kauderwelsch, Bsp. (JS-Text): https://dpaste.com/CWMG3GYAZ

Was meinst Du mit "Antwort auf eine Anfrage an ebay-kleinanzeigen.de"?

Also was ist "Anfrage an" und was ist "Antwort"?

> Ausgeführt wird es nicht, da JS bei mir standardmäßig deaktiviert ist.
> Das sieht für einen Laien irgendwie nach code-obfuscation aus, was

> seriöse Seiten doch nicht tun oder ist das üblich? Auch das winsock() am
> Ende irritiert. Könnt ihr mehr mit dem Code anfangen?

Der Code ist kaputt. Sieht für mich aber nach Malware aus.

--
Arno Welzel
https://arnowelzel.de

Arno Welzel

unread,

Dec 4, 2021, 6:06:49 PM12/4/21

to

Peter J. Holzer:

Das Ergebnis von Webpack/Encore sieht aber nicht *so* aus. Das ist schon
bewusst so gebaut worden, dass man es nicht mit einfachen Mitteln als
Malware erkennen kann.

Christoph Schneegans

unread,

Dec 5, 2021, 7:23:32 PM12/5/21

to

Christian @Soemtron schrieb:

> Christoph Schneegans <chri...@schneegans.de> schrieb:
>

>> Wenn du einverstanden bist, wiederhole ich den Test gerne nochmal
>> mit dem originalen "seed".
>

> Gerne.

Beim (völlig unsystematischen) Debuggen hat mir Chrome manchmal
Variablen angezeigt, die lesbaren Text enthielten:

u3: "getContext{GET{callPhantom{spawn{decleations{fetch{charAt{$cdc_asdj
flasutopfhvcZLmcfl_{res: {open{body{__driver_evaluate{toString{
{window.navigator.webdriver{parentNode{webgl{script{toLowerCase{-{split{
sending > 7060ac..{responseType{data{phantom{loopcalc
hashcash{setRequestHeader{running
{;$(hash);_xcalc(arguments.calle);{JSON{XMLHttpRequest{document{_Seleniu
m_IDE_Recorder{withCredentials{navigator.languages{call{\n{stack{Content
-Type{indexOf{orientation{old browsers
pollyfill{url{rbzns{__webdriver_script_functi"

L7: "loopcalc hashcash"

1638749558233: "old browsers pollyfill"

1638749558234: "browser properties mapping"

Hashcash könnte auf Krypto-Mining hindeuten, aber dazu passt der Rest
nicht. Auffällig sind die Rechtschreibfehler in "pollyfill" und
"decleations".

Maik Koenig

unread,

Dec 5, 2021, 8:42:11 PM12/5/21

to

Am 04.12.2021 um 20:25 schrieb Peter J. Holzer:

> Das ist inzwischen ziemlich üblich. JavaScript auf Websites ist oft
> nicht mehr handgeschrieben, sondern der Output eines Compilers.

Grundsätzlich: Ja. Aber der vorliegende Code braut z.B. Strings aus
Einzelteilen zusammen um die eigentliche Funktion zu verschleieren. DAS
alleine schreit "Malware".

Greetz,
MK
--
Kopp-Verlag-Gläubige, Religionsdeppen, rechte Vollidioten
und ähnlicher Bio-Abfall werden ohne Hinweis ignoriert!
Ich lese die Gruppen in denen ich schreibe: KEINE Mailkopie.

Maik Koenig

unread,

Dec 6, 2021, 5:28:46 PM12/6/21

to

Am 06.12.2021 um 15:51 schrieb Christian @Soemtron:
> Maik Koenig <usene...@maikkoenig.de> schrieb:

>
>> Grundsätzlich: Ja. Aber der vorliegende Code braut z.B. Strings aus
>> Einzelteilen zusammen um die eigentliche Funktion zu verschleieren.
>> DAS alleine schreit "Malware".
>

> Gibt's denn im kommerziellen Bereich auch legitime Anwendungen für dieses
> Vorgehen? Einfaches Grabben von Mailadressen zu verhindern ist wohl eine.
> Wäre es denkbar, daß auch der Hauptinhalt so vor dem automatisierten
> Weiterverarbeiten geschützt werden soll?

Denkbar ist vieles. Auch dass Morgen E.T. vor der Haustür steht und
unser Energieproblem löst. Aber die Wahrscheinlichkeit ist eher gering.

Man müsste den kompletten Code umformen um zu sehen was da genau
passieren soll. Ganz ehrlich: Keine Lust.

Arno Welzel

unread,

Dec 7, 2021, 9:58:38 AM12/7/21

to

Christian @Soemtron:

> Maik Koenig <usene...@maikkoenig.de> schrieb:
>

>> Grundsätzlich: Ja. Aber der vorliegende Code braut z.B. Strings aus
>> Einzelteilen zusammen um die eigentliche Funktion zu verschleieren.
>> DAS alleine schreit "Malware".
>

> Gibt's denn im kommerziellen Bereich auch legitime Anwendungen für dieses
> Vorgehen? Einfaches Grabben von Mailadressen zu verhindern ist wohl eine.

Kaum. Das hält nur ganz dumme Parser ab, die Daten zu lesen.

> Wäre es denkbar, daß auch der Hauptinhalt so vor dem automatisierten
> Weiterverarbeiten geschützt werden soll?

Automatisiert kann man es ja weiterverarbeiten - was ein Computer
zerlegt hat, kann ein anderer auch wieder zusammenbauen.

Peter J. Holzer

unread,

Dec 15, 2021, 7:33:01 AM12/15/21

to

On 2021-12-06 14:51, Christian @Soemtron <christian_...@soemtron.de> wrote:
> Maik Koenig <usene...@maikkoenig.de> schrieb:

>> Grundsätzlich: Ja. Aber der vorliegende Code braut z.B. Strings aus
>> Einzelteilen zusammen um die eigentliche Funktion zu verschleieren.
>> DAS alleine schreit "Malware".
>

> Gibt's denn im kommerziellen Bereich auch legitime Anwendungen für dieses
> Vorgehen?

Kommt darauf an, was Du mit "diesem Vorgehen" meinst.

Code automatisch von einem Compiler generieren lassen, wie ich im
Vorposting geschrieben habe? Ja, absolut. Genauso wie es legitime Gründe
dafür gibt, Assembler nicht von Hand zu schreiben, sondern von einem
Compiler generieren zu lassen, gibt es die auch für JavaScript:

* Man kann eine angenehmere Programmiersprache verwenden, für die der
Compiler bereits beim Compilieren viele Fehler entdecken kann (z.B.
durch statische Deklarationen oder Code-Analyse) oder die einfach nur
für das Problem besser geeignet ist.

* Man kann aus großen Frameworks automatisch nur die Teile einbinden,
die tatsächlich verwendet werden.

* Man kann Code für verschiedene Browser erzeugen.

Etc.

Der Output ist dann allerdings nicht absichtlich "obfuscated" sondern
halt nur deshalb schwer lesbar, weil weder von einem Menschen
geschrieben noch für Menschen gedacht (genauso wie der Maschinencode in
einem EXE-File).

Das scheint hier nicht der Fall zu sein, aber ich wollte darauf
hinweisen, dass grundsätzlich "unleserlicher" JavaScript-Code im Web
ziemlich normal ist.

hp

Arno Welzel

unread,

Dec 18, 2021, 6:09:32 AM12/18/21

to

Peter J. Holzer:

[...]

> Das scheint hier nicht der Fall zu sein, aber ich wollte darauf
> hinweisen, dass grundsätzlich "unleserlicher" JavaScript-Code im Web
> ziemlich normal ist.

Wobei "unleserlich" in der Regel nur "minimiert" meint, weil
Zeileunumbrüche, Einrückungen usw. nur Platz kosten und nicht nötig
sind, um gültigen Code zu haben. Bewusst verschleiert im Sinne dass man
nicht mehr einfach nachvollziehen kann, was der Code macht, wird
üblciherweise *nicht*.

Beispiel:

<https://arnowelzel.de/res-3.2.6/wp-content/plugins/lightbox-photoswipe/assets/scripts.js>

Das Script kann man einfach durch einen "JavaScript Beautifier" jagen,
um es wieder leserlich zu bekommen (z.B. auf <https://beautifier.io>).