Server-seitige Angriffe

Question 1

Angreifer-“Modelle”

Answer 1

• Netzwerk-Angreifer (Man-in-the-middle)
• Entfernter Angreifer (Remote-Angreifer)
• Lokaler Angreifer (Gewinnung von zusätzlichen Rechten)
• Web-Angreifer

Question 2

HTTPS

Answer 2

• Kombination aus HTTPS und SSL (TLS)
• verschlüsselte Kommunikation
• schützt nicht vor Angriffen gegen die Web-Anwendung selbst

Question 3

Angriffe auf Web-Applikationen

Answer 3

Client-seitig:

• Cross-Site Scripting (XSS -> JavaScript)
• Cross-Site Request Forgery (CSRF)

Server-seitig:

• SQL-Injection
• Remote Code Injection
• Path Traversal

Question 3

Untrusted input

Answer 3

• Manipulation des HTTP-Requests zur Umgehung der Sicherheitsmaßnahmen (XSS, SQL-Injection)
• z.B. Ziel-URLs, GET/POST-Parameter, Header, Metadaten
• > nie dem Client vertrauen, keine Client-seitige Validierung
• Input Validation gegen eine “positive” Spezifikation (Datentyp, Zeichenmenge, etc..)

Question 4

SQL-Injection

Answer 4

• Injizierung von SQL-Kommandos in die Datenbank-Engine
• bei Verwendung von Benutzereingaben in dynamischen Queries
• bei Erfolg volle Kontrolle über die Datenbank
• Klassiker: Injzierung beliebiger SQL Syntax durch Anhängen von AND statement: password = ‘x’ or ‘1’ = ‘1’
• Gewinnung von Informationen durch Hinzufügen von Booleschen Bedingungen
• Hinzufügen von Benutzern

Question 5

Gewinnung von Informationen mithilfe von Fehlermeldungen

Answer 5

• unnötige Ausgabe von Debugging oder Fehlermeldungen an den Benutzer -> besser Logfiles
• SQL-Injection auch im Blindflug möglich: Systematischer Trial and Error-Ansatz

Question 6

SQL-Injection Solution

Answer 6

• Trennung der Applikation von SQL durch z.B. Persistenz-Frameworks
• prepared statements auf dem Datenbankserver -> keine dynamische String-Concatenation
• falls prepared-statements nicht gehen: konservative Validierung von Benutzereingaben, Escapen von Anführungszeicen

Question 7

Remote Code Injection

Answer 7

Folge: Injizierung von Code durch den Angreifer

Gegenmaßnahme:

• Validierung und Escaping dynamischer Kommandos
• least privilege
• am besten gar keine Shell-basierte Kommunikation/Ausführung sondern geeignete gekapselte native Bibliotheken

Question 8

Path Traversal

Answer 8

Folge: Information Leakage

Gegenmaßnahme:

• Normalisierung aller Pfade vor Benutzung
• Whitelists
• Sichere Ablage sensibler Daten

Question 9

Nebenläufigkeiten

Answer 9

• Ausnutzung von Ressourcenteilung zur Manipulation

- > sorgfältige Bedrohungsmodellierung