Web-Anwendungen: Angriffe auf Web-Applikationen

Question 1

Angriffe auf Web-Applikationen

Answer 1

1) Client-seitige Probleme: Cross-Site Scripting

2) Server-seitige Probleme: SQL-Injection, Remote Code Injection, Path Traversal

Question 2

Ungeprüfte Eingaben und Prüfung der Eingaben

Answer 2

• Angreifer manipulieren Teile des HTTP-Requests
• untrusted inputs (Ziel-URL, Parameter, Header) sollen validiert werden anhand Parametern
• niemals dem Client vertrauen (kann unter Kontrolle des Angreifers stehen und manipuliert werden)

Question 3

Don’t Do: Client-seitige Validierung

Answer 3

• Erkennung/Prävention von Injection-Angreifen
• Durchsetzen von Passwort-Vorgaben (können auf Client-Seite unschädlich gemacht werden)
• keine Geheimnisse in versteckten Feldern schreiben

Question 4

SQL-Injection

Answer 4

Injection-Angriff, bei der in existierender Anwendung SQL-Kommandos in die Datenbank-Engine injiziert werden

Question 5

Problem SQL-Injections

Answer 5

• Benutzereingaben in dynamischen Queries und String-Konkatenation
• Einfügen von schadhaften SQL-Befehlen in geeigneten Parameter –> schadhafte Abfrage geht durch
• Hinzufügen von boolschen Werten gewährt Zugriff

Question 6

Lösung: SQL-Injections

Answer 6

• vom Benutzer eingegebene Daten dürfen SQL-Befehle nicht verändern
• Keine bzw. knappe Ausgabe von Debugging- und Fehlermeldungen
• Verbieten von Mehrfachabfragen (erschwert Auskundschaften der DB)
• Escapen von ‘ und “ (verhindert oft SQL-Injection-Angriffe)
• Verwenden von prepared statements (stored procedures) –> keine dynamische String-Concatenation, stattdesse vorgefertigte SQL-Statements mit Platzhaltern (SQL-Syntax ändert Semantik nicht)
• Trennung von Applikation und SQL

Question 7

Blind SQL-Injections

Answer 7

• Trial-and-Error-Ansatz um Feedback von Applikation zu bekommen (Fehlermeldungen kommen ja nicht)
• Hinzufügen von 1=1 ergibt true und derselbe Datensatz wird ausgegeben –> Verwundbarkeit liegt vor

Question 8

Timing basierte Information-Leaks

Answer 8

• Beeinflussen des Antwortverhaltens des Servers
• Query, die entweder sehr schnell oder sehr lange abgearbeitet wird, abhängig von abgefragtem Wert
• durch Messen der Antwortzeit erhält man Informationen über den Wert

Question 9

Falls Prepared-Statements nicht in Frage kommen:

Answer 9

• Validieren von Benutzereingaben
• Entfernen/Escapen von Anführungszeichen in Benutzerdaten
• Größenbeschränkungen von Parametern
• Beschränken der Zugriffsrechte auf DB
• Fehlermeldungen nicht verschicken
• keine eigenen Neuimplementierung (Rad nicht neu erfinden)
• -> Schwachstelle bleibt bestehen, Ausnutzen wird nur erschwert