Skip to main content
Fachgebiete
Automobil + Motoren Bauwesen + Immobilien Business IT + Informatik Elektrotechnik + Elektronik Energie + Nachhaltigkeit Finance + Banking Management + Führung Marketing + Vertrieb Maschinenbau + Werkstoffe Versicherung + Risiko
DE
EN
Bücher
Zeitschriften
Themenseiten
Organisationspsychologie Projektmanagement Marketing Smart Manufacturing
Weitere Formate
Podcasts Webinare Technik Webinare Wirtschaft Kongresse Veranstaltungskalender Awards
Jetzt Einzelzugang starten
Zugang für Unternehmen
Referenzkunden
SLX-Digitalkonferenz: Zukunftswerkstatt 2024

Mehr Umsatz mit Top-Kontakten

Am 7. Mai erfahren Sie, wie Vertriebsteams Leadgenerierung, Leadnurturing und Leadstrategien effizient steuern können.
Erweiterte Suche
Anmelden
nach oben
Erschienen in:
Einleitung Kapitel lesen Erstes Kapitel lesen

2018 | OriginalPaper | Buchkapitel

2. Bedrohungen für Webanwendungen

verfasst von : Matthias Rohr

Erschienen in: Sicherheit von Webanwendungen in der Praxis

Verlag: Springer Fachmedien Wiesbaden

Einloggen

Aktivieren Sie unsere intelligente Suche, um passende Fachinhalte oder Patente zu finden.

search-config
loading …

Zusammenfassung

In diesem Kapitel werden zentrale Angriffe und Schwachstellen für Webanwendungen erläutert, deren Verständnis die Grundlage für die anschließende Diskussion von Maßnahmen darstellt.

Sie haben noch keine Lizenz? Dann Informieren Sie sich jetzt über unsere Produkte:

Springer Professional "Wirtschaft+Technik"

Online-Abonnement

Mit Springer Professional "Wirtschaft+Technik" erhalten Sie Zugriff auf:

  • über 102.000 Bücher
  • über 537 Zeitschriften

aus folgenden Fachgebieten:

  • Automobil + Motoren
  • Bauwesen + Immobilien
  • Business IT + Informatik
  • Elektrotechnik + Elektronik
  • Energie + Nachhaltigkeit
  • Finance + Banking
  • Management + Führung
  • Marketing + Vertrieb
  • Maschinenbau + Werkstoffe
  • Versicherung + Risiko

Jetzt Wissensvorsprung sichern!

Jetzt informieren

Springer Professional "Technik"

Online-Abonnement

Mit Springer Professional "Technik" erhalten Sie Zugriff auf:

  • über 67.000 Bücher
  • über 390 Zeitschriften

aus folgenden Fachgebieten:

  • Automobil + Motoren
  • Bauwesen + Immobilien
  • Business IT + Informatik
  • Elektrotechnik + Elektronik
  • Energie + Nachhaltigkeit
  • Maschinenbau + Werkstoffe




 

Jetzt Wissensvorsprung sichern!

Jetzt informieren

Springer Professional "Wirtschaft"

Online-Abonnement

Mit Springer Professional "Wirtschaft" erhalten Sie Zugriff auf:

  • über 67.000 Bücher
  • über 340 Zeitschriften

aus folgenden Fachgebieten:

  • Bauwesen + Immobilien
  • Business IT + Informatik
  • Finance + Banking
  • Management + Führung
  • Marketing + Vertrieb
  • Versicherung + Risiko




Jetzt Wissensvorsprung sichern!

Jetzt informieren
Vorheriges Kapitel Einleitung
Nächstes Kapitel Technische Sicherheitsmaßnahmen
Fußnoten
2
Ein Angriffsvektor (oder einfach „Vektor“) beschreibt einen konkreten technischen Weg, über den ein Angriff durchgeführt wird. Im Fall der Ermittlung einer Session-ID besteht ein Angriffsvektor etwa in der Ausnutzung einer Cross-Site-Scripting-Schwachstelle, ein anderer im Auslesen der ID aus einer Logdatei.
 
3
Siehe Erklärung in Abschn. 5.​1.​4.
 
5
Näheres hierzu findet sich auf der entsprechenden Wikipedia-Seite: http://​en.​wikipedia.​org/​wiki/​Samy_​(computer_​worm).
 
6
Weiterhin (jedoch weitaus seltener) kann auch die dynamische Evaluierung von Skriptcode (mittels eval()-Aufruf) eine XSS-Schwachstelle erzeugen.
 
7
Allerdings hat die Verwendung einer Content Security Policy (CSP) auch große Auswirkungen auf die Gestaltung der Webseite und ist daher in der Regel nur bei Neuentwicklungen umsetzbar.
 
8
In erster Linie, da CSRF-Angriffe auch gegen nicht angemeldete Benutzer möglich sind. So waren etwa vor einigen Jahren viele DSL-Router mit Standard-Passwörtern ausgestattet. Da zusätzlich die Authentifizierung dort mittels HTTP-Basic erfolgte, konnten Angreifer diese Router häufig darüber angreifen, dass sie Anwendern entsprechende URLs untergeschoben hatten (z. B. http://admin:geheim@192.168.1.1/reset).
 
9
Das Risiko wird hier zumindest dadurch etwas reduziert, dass Referer von den meisten Browsern nur bei übereinstimmenden Schemas übertragen werden. Ist ein Benutzer somit etwa per HTTPS angemeldet und klickt auf einen HTTP-Link, so wird üblicherweise kein Referer an den entsprechenden HTTP Request angehängt.
 
10
In der Praxis braucht ein Angreifer nicht seine eigene Webseite zu verwenden, sondern kann einen völlig anonym verwendbaren Internetdienst nutzen, bei dem sich über einen einzigen URL-Aufruf Daten in eine bereitgestellte Online-Tabelle schreiben und von dort später vom Angreifer abrufen lassen.
 
11
Das „Spoofen“ bezieht sich hierbei auf das Fälschen der Identität des Verfassers der Seiteninhalte.
 
12
Mittels CSS-Anweisung „visibility: hidden“ bzw. „opacity: 0.0“.
 
13
In der Praxis werden viele solcher Drive-by-Infektionen neben dem Einsatz von maliziösem JavaScript auch mit untergeschobenen Installationsprogrammen durchgeführt. Häufige Beispiele sind hier vermeintliche Videoplayer oder Updates des Virenscanners, die ahnungslose Benutzer herunterladen und starten.
 
14
Anfang 2013 wurde ein solcher Angriff gegen Wordpress-Systeme bekannt, bei dem ein Bot-Netzwerk aus geschätzten 100.000 Systemen verwendet wurde.
 
15
Anders als PHP, Java oder .NET sind C und C++ native Programmiersprachen mit Zeigerarithmetik, mit der (auch aufgrund der Performance des mit ihr implementierten Codes) immer noch zahlreiche Bibliotheken sowie Basis- und Systemkomponenten implementiert sind und welche häufig indirekt über Webprogrammiersprachen aufgerufen werden. Eingesetzt werden diese auch bei modernen Anwendungen nicht zuletzt aus Performancegründen.
 
16
Manchmal werden in diesem Zusammenhang auch die beiden englischen Begriffe „Information Leakage“ oder „Information Exposure“ verwendet.
 
Literatur
1.
2.
3.
4.
5.
6.
Litchfield D, Anley C, Heasman J, Grindlay B (2005) The database Hacker’s handbook: defending database servers. Wiley, Hoboken
7.
8.
9.
Watkins P (2001) Cross-site request forgeries (Re: the dangers of allowing users to post images). Bugtraq. Zugegriffen am 26.06.2012
10.
11.
12.
13.
14.
15.
16.
17.
18.
Metadaten
Titel
Bedrohungen für Webanwendungen
verfasst von
Matthias Rohr
Copyright-Jahr
2018
Buch
Sicherheit von Webanwendungen in der Praxis

Print ISBN: 978-3-658-20144-9

Electronic ISBN: 978-3-658-20145-6

Copyright-Jahr: 2018

DOI
https://doi.org/10.1007/978-3-658-20145-6_2