Jikto: Code des Javascript-Scanners veröffentlicht

Dummheit oder Naivität? Diese Frage stellt sich unweigerlich, wenn man sich vor Augen führt, wie der Code von Jikto an die Öffentlichkeit geraten konnte. Denn bei dessen Präsentation betonte sein Entwickler Hoffman noch, diesen nicht veröffentlichen zu wollen, da dieses Werkzeug in den Händen von Malware-Autoren beträchtlichen Schaden verursachen könnte. Zwar kann das Tool in seiner derzeitigen Version nur nach Schwachstellen wie XSS (Cross-Site-Scripting) suchen, es wäre aber laut Hoffman auch möglich, direkt Exploit-Code in Jikto einzubinden, den das Tool dann gezielt bei lückenhaften Sites anwenden könnte.

Für die Veröffentlichung des Codes verantwortlich waren aber nicht etwa Personen, die sich in die Rechner von Hoffman gehackt haben, sondern ein Teilnehmer der Sicherheitskonferenz Shmoocon. Denn bei der Präsentation von Jikto war kurz die URL zu sehen, von der aus Jikto geladen wurde, wie Hoffman erklärte. Zeit genug für den Teilnehmer Mike Schroll, die URL in sein Notebook zu tippen und Jikto herunter zu laden. Schroll ist Sicherheits-Consultant bei der Firma Security Management Partners.

Danach veröffentlichte Schroll den Code auf seiner Website und reichte einen entsprechenden Link bei Digg.com ein. Nach ein paar Stunden nahm Schroll den Code auf Bitten von Hoffman wieder Offline. In dieser Zeit sei der Code etwa 100 Mal heruntergeladen worden, so Schroll.