Web-Anwendungen: Kontrollfluss-Probleme

Question 1

Kontrollfluss bei Web-Applikationen

Answer 1

• bestimmt durch Abfolge der HTTP-Requests und -Responses
• Form und Reihenfolge der HTTP-Requests der Serverseite ergeben sich aus Aktionen im User-Interface
• Logik der Applikation ist auf erwartetes Schema programmiert

Question 2

Manipulierte Requests (request tampering)

Answer 2

• Angreifer kann ausgehende HTTP-Requests kontrollieren

Verwundbarkeit: Sicherheitseigenschaften werden direkt von HTTP-Parametern des eingehenden Requests abgeleitet

Question 3

Erzwungenes surfen (forced browsing)

Answer 3

• Geheimpfade und direkter Zugriff auf Objekte ohne Berechtigungsprüfung
  Verwundbarkeit: Angreifer greift nur auf die URLS zu, die im UI auftauchen

Question 4

HTTP Verb-Tampering

Answer 4

• beliebige andere Wörter als GET oder POST

- schlimmster Fall Applikationsserver: Default authorization: ALLOW

Question 5

Fehlende Kontrollfluss-Integrität

Answer 5

• bei fehlender Workflow-Integrität kann Angreifer von Schritt a nach c springen (Beispiel: Webshop und Preismanipulation)
• besonders schwer, wenn sich Kontrollfluss über mehrere Parteien erstreckt
• realisiert mit mehreren Redirects zwischen Parteien

Question 6

Lösungsansätze Kontrollflussintegrität

Answer 6

• digitale Signaturen von Anbieter und Zahlungsdienstleister
• Kontrollfluss muss serverseitig vorgegeben und kontrolliert werden

Question 7

Nebenläufigkeiten (Race Conditions)

Answer 7

• jeder HTTP-Request ist ein Thread
• Threads teilen sich Ressourcen (Filesystem, Datenbank..)
• Web-Applikationen müssen Atomizität bieten
• sorgfältige Bedrohungsmodellierung wichtig

Question 8

Hochladen von Dateien (File Uploads): Sicherheitsprobleme

Answer 8

• Dateien vom Angreifer kontrolliert
• Datei wird nach Hochladen auf Server verarbeitet und evtl. sogar ausgeführt (wurde eingeschleust)
• Mediendaten können JavaScript-Code enthalten (XSS)
• Dateien können mehr enthalten, als sie vorgeben (backdoored image files)

Question 9

File Uploads: Tipps

Answer 9

• Dateiinhalt gründlich prüfen
• evtl. als BLOB in Datenbank speichern
• Dateigröße beschränken
• Bilddateien reformatieren
• Benutzer darf Filenamen nicht wählen (passwd)