Web-Sicherheit: Kein fauler Zauber?! Kai Jendrian.

Größe: px
Ab Seite anzeigen:

Download "Web-Sicherheit: Kein fauler Zauber?! Kai Jendrian. "

Transkript

1 <Seminartitel> <Seminartitel> Web-Sicherheit: Kein fauler Zauber?! Security Consulting GmbH, Karlsruhe Seite 1

2 Security Consulting GmbH, Karlsruhe Seite 2

3 Security Consulting GmbH, Karlsruhe Seite 3

4 Security Consulting GmbH, Karlsruhe Seite 4

5 Security Consulting GmbH, Karlsruhe Seite 5

6 OWASP Top Security Consulting GmbH, Karlsruhe Seite 6

7 Top 10-4 Security Consulting GmbH, Karlsruhe Seite 7

8 Top 10: Unvalidated Redirects and Forwards Bsp.: ToDo: Keine Redirects und Forwards verwenden! Security Consulting GmbH, Karlsruhe Seite 8

9 Top 10: Unvalidated Redirects and Forwards Bsp.: ToDo: Keine Redirects und Forwards verwenden! Top 9: Insufficient Transport Layer Protection Bsp.: Kein SSL, "schlechte" Zertifikate ToDo: SSL verwenden! SSL richtig verwenden! Siehe: OWASP Transport Layer Protection Cheat Sheet Security Consulting GmbH, Karlsruhe Seite 9

10 Top 10: Unvalidated Redirects and Forwards Bsp.: ToDo: Keine Redirects und Forwards verwenden! Top 9: Insufficient Transport Layer Protection Bsp.: Kein SSL, "schlechte" Zertifikate ToDo: SSL verwenden! SSL richtig verwenden! Siehe: OWASP Transport Layer Protection Cheat Sheet Top 8: Failure to Restrict URL Access Bsp.: Zugriffskontrolle durch "Ausblenden" von Links ToDo: Jeder Zugriff muss authentifiziert und autorisiert sein! Siehe: OWASP Authentication Cheat Sheet Security Consulting GmbH, Karlsruhe Seite 10

11 Top 10: Unvalidated Redirects and Forwards Bsp.: ToDo: Keine Redirects und Forwards verwenden! Top 9: Insufficient Transport Layer Protection Bsp.: Kein SSL, "schlechte" Zertifikate ToDo: SSL verwenden! SSL richtig verwenden! Siehe: OWASP Transport Layer Protection Cheat Sheet Top 8: Failure to Restrict URL Access Bsp.: Zugriffskontrolle durch "Ausblenden" von Links ToDo: Jeder Zugriff muss authentifiziert und autorisiert sein! Siehe: OWASP Authentication Cheat Sheet Top 7: Insecure Cryptographic Storage Bsp.: Unsichere Speicherung vertraulicher Daten (Kreditkarten, Passwörter) ToDo: Durchgängige verschlüsselte Speicherung ALLER vertraulicher Daten Security Consulting GmbH, Karlsruhe Seite 11

12 Top 6: Security Misconfiguration Bsp.: Nutzung von Frameworks mit Sicherheitsproblemen Bsp.: Keine Anpassung von Standardkonten und -passwörtern Bsp.: Keine Anpassung von Grundkonfigurationen ToDo: Festlegung und Umsetzung von Härtungsprozessen! Security Consulting GmbH, Karlsruhe Seite 12

13 Top 6: Security Misconfiguration Bsp.: Nutzung von Frameworks mit Sicherheitsproblemen Bsp.: Keine Anpassung von Standardkonten und -passwörtern Bsp.: Keine Anpassung von Grundkonfigurationen ToDo: Festlegung und Umsetzung von Härtungsprozessen! Top 5: Cross Site Request Forgery Initiierung unerwünschter Aktionen durch Dritte (in Verbindung mit Social Engineering) Bsp.: ToDo: Bindung einer Aktion an einen vorhergehenden Request! Nutzung eines Tokens Siehe: OWASP CSRF Prevention Cheat Sheet Security Consulting GmbH, Karlsruhe Seite 13

14 Top 6: Security Misconfiguration Bsp.: Nutzung von Frameworks mit Sicherheitsproblemen Bsp.: Keine Anpassung von Standardkonten und -passwörtern Bsp.: Keine Anpassung von Grundkonfigurationen ToDo: Festlegung und Umsetzung von Härtungsprozessen! Top 5: Cross Site Request Forgery Initiierung unerwünschter Aktionen durch Dritte (in Verbindung mit Social Engineering) Bsp.: ToDo: Bindung einer Aktion an einen vorhergehenden Request! Nutzung eines Tokens Siehe: OWASP CSRF Prevention Cheat Sheet Top 4: Insecure Direct Object References Direkter Zugriff auf Informationen, die als Parameter spezifiziert werden Bsp.: Zugriff auf Dateien oder Datenbankeinträge ToDo: Nutzung indirekter Referenzen Keine echten Dateinamen, keine direkten Indizes ToDo: Prüfung der Berechtigungen bei jedem Zugriff! Security Consulting GmbH, Karlsruhe Seite 14

15 Top 3 Security Consulting GmbH, Karlsruhe Seite 15

16 Broken Authentication and Session Management Ich darf das - ehrlich! Security Consulting GmbH, Karlsruhe Seite 16

17 Unbefugter Zugriff auf Webanwendung Security Consulting GmbH, Karlsruhe Seite 17

18 Unbefugter Zugriff auf Webanwendung Highlights: Zugangsdaten sind ungesichert gespeichert Security Consulting GmbH, Karlsruhe Seite 18

19 Unbefugter Zugriff auf Webanwendung Highlights: Zugangsdaten sind ungesichert gespeichert Zugangsdaten können geraten oder vorhergesagt werden Security Consulting GmbH, Karlsruhe Seite 19

20 Unbefugter Zugriff auf Webanwendung Highlights: Zugangsdaten sind ungesichert gespeichert Zugangsdaten können geraten oder vorhergesagt werden Session-IDs sind Bestandteil der URL Security Consulting GmbH, Karlsruhe Seite 20

21 Unbefugter Zugriff auf Webanwendung Highlights: Zugangsdaten sind ungesichert gespeichert Zugangsdaten können geraten oder vorhergesagt werden Session-IDs sind Bestandteil der URL Sessions verfallen nicht Security Consulting GmbH, Karlsruhe Seite 21

22 Unbefugter Zugriff auf Webanwendung Highlights: Zugangsdaten sind ungesichert gespeichert Zugangsdaten können geraten oder vorhergesagt werden Session-IDs sind Bestandteil der URL Sessions verfallen nicht Keine neue Session-ID bei Zustandswechsel Security Consulting GmbH, Karlsruhe Seite 22

23 Unbefugter Zugriff auf Webanwendung Highlights: Zugangsdaten sind ungesichert gespeichert Zugangsdaten können geraten oder vorhergesagt werden Session-IDs sind Bestandteil der URL Sessions verfallen nicht Keine neue Session-ID bei Zustandswechsel Transport von Zugangsdaten und Session-IDs über ungesicherte Verbindungen Security Consulting GmbH, Karlsruhe Seite 23

24 Was tun? Security Consulting GmbH, Karlsruhe Seite 24

25 Was tun? Zentrale Authentifizierung und Session-Management Security Consulting GmbH, Karlsruhe Seite 25

26 Was tun? Zentrale Authentifizierung und Session-Management Nutzung geprüfter Frameworks wie ESAPI Security Consulting GmbH, Karlsruhe Seite 26

27 Was tun? Zentrale Authentifizierung und Session-Management Nutzung geprüfter Frameworks wie ESAPI Durchgängige Verwendung von SSL/TLS Security Consulting GmbH, Karlsruhe Seite 27

28 Was tun? Zentrale Authentifizierung und Session-Management Nutzung geprüfter Frameworks wie ESAPI Durchgängige Verwendung von SSL/TLS Sichere Speicherung von Zugangsdaten Security Consulting GmbH, Karlsruhe Seite 28

29 Was tun? Zentrale Authentifizierung und Session-Management Nutzung geprüfter Frameworks wie ESAPI Durchgängige Verwendung von SSL/TLS Sichere Speicherung von Zugangsdaten Blick ins "OWASP Authentication Cheat Sheet" Security Consulting GmbH, Karlsruhe Seite 29

30 Was tun? Zentrale Authentifizierung und Session-Management Nutzung geprüfter Frameworks wie ESAPI Durchgängige Verwendung von SSL/TLS Sichere Speicherung von Zugangsdaten Blick ins "OWASP Authentication Cheat Sheet" Umsetzung der Sicherheitsanforderungen zu Authentifizierung und Session-Management aus "OWASP Application Security Verification Standard" Security Consulting GmbH, Karlsruhe Seite 30

31 Top 2 Security Consulting GmbH, Karlsruhe Seite 31

32 Cross-Site Scripting Ich habe mal kurz Ihren Rechner benutzt... Security Consulting GmbH, Karlsruhe Seite 32

33 Ausführung bösartiger Scripte im Browser Security Consulting GmbH, Karlsruhe Seite 33

34 Ausführung bösartiger Scripte im Browser Problem: Daten enthalten HTML-Tags Security Consulting GmbH, Karlsruhe Seite 34

35 Ausführung bösartiger Scripte im Browser Problem: Daten enthalten HTML-Tags und werden ungefiltert ausgegeben! Security Consulting GmbH, Karlsruhe Seite 35

36 Ausführung bösartiger Scripte im Browser Problem: Daten enthalten HTML-Tags und werden ungefiltert ausgegeben! $name = "foo<script>alert('xss');</script>"; Security Consulting GmbH, Karlsruhe Seite 36

37 Ausführung bösartiger Scripte im Browser Problem: Daten enthalten HTML-Tags und werden ungefiltert ausgegeben! $name = "foo<script>alert('xss');</script>"; Und? Security Consulting GmbH, Karlsruhe Seite 37

38 Ausführung bösartiger Scripte im Browser Problem: Daten enthalten HTML-Tags und werden ungefiltert ausgegeben! $name = "foo<script>alert('xss');</script>"; Und? Sagen Ihnen die Begriffe "BeEF" und "Drive-by-Download" etwas? Security Consulting GmbH, Karlsruhe Seite 38

39 Was tun? Security Consulting GmbH, Karlsruhe Seite 39

40 Was tun? Passendes Escaping von Daten vor der Ausgabe je nach Kontext (BODY, CSS, URL,...) Security Consulting GmbH, Karlsruhe Seite 40

41 Was tun? Passendes Escaping von Daten vor der Ausgabe je nach Kontext (BODY, CSS, URL,...) Blick ins "OWASP XSS Prevention Cheat Sheet" Security Consulting GmbH, Karlsruhe Seite 41

42 Was tun? Passendes Escaping von Daten vor der Ausgabe je nach Kontext (BODY, CSS, URL,...) Blick ins "OWASP XSS Prevention Cheat Sheet" Nutzung der Mozilla Content Security Policy Security Consulting GmbH, Karlsruhe Seite 42

43 Was tun? Passendes Escaping von Daten vor der Ausgabe je nach Kontext (BODY, CSS, URL,...) Blick ins "OWASP XSS Prevention Cheat Sheet" Nutzung der Mozilla Content Security Policy Umsetzung der Sicherheitsanforderungen zu Output Encoding aus "OWASP Application Security Verification Standard" Security Consulting GmbH, Karlsruhe Seite 43

44 Top 1 Security Consulting GmbH, Karlsruhe Seite 44

45 SQL-Injection Security Consulting GmbH, Karlsruhe Seite 45

46 Bösartige Veränderung von SQL-Queries Security Consulting GmbH, Karlsruhe Seite 46

47 Bösartige Veränderung von SQL-Queries Problem: Daten enthalten Zeichenketten, die Anfragen an Datenbanken verändern! Security Consulting GmbH, Karlsruhe Seite 47

48 Bösartige Veränderung von SQL-Queries Problem: Daten enthalten Zeichenketten, die Anfragen an Datenbanken verändern! $user = "foo"; $password = "bar' OR '1'='1"; $sql = "SELECT COUNT(*) FROM USERS WHERE USER='$user' AND PWD='$password'"; Security Consulting GmbH, Karlsruhe Seite 48

49 Bösartige Veränderung von SQL-Queries Problem: Daten enthalten Zeichenketten, die Anfragen an Datenbanken verändern! $user = "foo"; $password = "bar' OR '1'='1"; $sql = "SELECT COUNT(*) FROM USERS WHERE USER='$user' AND PWD='$password'"; Und? Bei SQL-Injection gehört die Datenbank dem Angreifer! Injection ist auch ein Problem für andere nachgelagerte Systeme! Security Consulting GmbH, Karlsruhe Seite 49

50 Was tun? Security Consulting GmbH, Karlsruhe Seite 50

51 Security Consulting GmbH, Karlsruhe Seite 51

52 Was tun? Konsequente Eingabeprüfung aller Eingaben Security Consulting GmbH, Karlsruhe Seite 52

53 Was tun? Konsequente Eingabeprüfung aller Eingaben Nutzung von typsicheren Datenbankabfragen (Prepared Statements) Security Consulting GmbH, Karlsruhe Seite 53

54 Was tun? Konsequente Eingabeprüfung aller Eingaben Nutzung von typsicheren Datenbankabfragen (Prepared Statements) Blick ins "OWASP SQL Injection Prevention Cheat Sheet" Security Consulting GmbH, Karlsruhe Seite 54

55 Security Consulting GmbH, Karlsruhe Seite 55

56 Bildquellen: Folie 01: [2006] Stephen Coburn, bigstockphoto.com Folie 02: [2010] Scott Griessel, bigstockphoto.com Folie 05: [2011] Aleksandar Kosev, bigstockphoto.com Folie 06: [2010] Dmitriy Shironosov, bigstockphoto.com Folie 07: [2007] Vincent Giordano, bigstockphoto.com Folie 16: [2005] Jamie Duplass, bigstockphoto.com Folie 32: [2010] Ron Sumners, bigstockphoto.com Folie 39: [2006] Jon Helgason, bigstockphoto.com Folie 45: [2009] Mau Kae Horng, bigstockphoto.com Folie 51: [2011] Folie 55: [2008] Edgard Rodriguez, bigstockphoto.com Folie 56: [2006] Jon Helgason, bigstockphoto.com Security Consulting GmbH, Karlsruhe Seite 56

Secure Programming vs. Secure Development

Secure Programming vs. Secure Development Secure Programming vs. Secure Development Niklaus Schild Senior Consultant Niklaus.schild@trivadis.com Zürich, 10.Juni 2010 Basel Baden Bern Lausanne Zürich Düsseldorf Frankfurt/M. Freiburg i. Br. Hamburg

Mehr

Warum werden täglich tausende von Webseiten gehackt? 16.10.2012

Warum werden täglich tausende von Webseiten gehackt? 16.10.2012 Warum werden täglich tausende von Webseiten gehackt? 16.10.2012 Vorstellung 8com GmbH & Co. KG Tobias Rühle Information Security Consultant Aufgaben Penetrationstests Sicherheit in Funktechnologien Information

Mehr

am Beispiel - SQL Injection

am Beispiel - SQL Injection am Beispiel - SQL Injection Einführung Warum ist Sicherheit ein Software Thema? Sicherheit in heutigen Softwareprodukten & Trends OWASP Top 10 Kategorien Hacking Demo SQL Injection: der Weg zu den Daten

Mehr

Echte Zauberei oder billige Tricks?

Echte Zauberei oder billige Tricks? ? 3. Tag der IT-Sicherheit Kai Jendrian + Klaus J. Mueller Angriffe auf Webanwendungen sind allüberall gegenwärtig. Handelt es sich hierbei um echte Zauberei, gegen die kein Kraut gewachsen ist oder sind

Mehr

am Beispiel - SQL Injection

am Beispiel - SQL Injection am Beispiel - SQL Injection Einführung } Warum ist Sicherheit ein Software Thema? } Sicherheit in heutigen Softwareprodukten & Trends } OWASP Top 10 Kategorien Hacking Demo } SQL Injection: der Weg zu

Mehr

Abbildung der Gefährdungen der WASC und OWASP auf die Gefährdungen und Maßnahmenempfehlungen des IT-Grundschutz-Bausteins B 5.

Abbildung der Gefährdungen der WASC und OWASP auf die Gefährdungen und Maßnahmenempfehlungen des IT-Grundschutz-Bausteins B 5. Abbildung der Gefährdungen der WASC und OWASP auf die Gefährdungen und Maßnahmenempfehlungen des IT-Grundschutz-Bausteins B 5.21 Die Zusammenstellung der Gefährdungen für den Baustein 5.21 bediente sich

Mehr

IT-Sicherheit Angriffsziele und -methoden Teil 2

IT-Sicherheit Angriffsziele und -methoden Teil 2 Karl Martin Kern IT-Sicherheit Angriffsziele und -methoden Teil 2 http://www.xkcd.com/424/ Buffer Overflows 2 Buffer Overflows Ausnutzen unzureichender Eingabevalidierung Begrenzter Speicherbereich wird

Mehr

itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 2013 OneConsult GmbH www.oneconsult.com

itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 2013 OneConsult GmbH www.oneconsult.com itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 13.03.2013 Agenda Vorstellung Open Web Application Security Project (OWASP) Die OWASP Top 10 (2013 RC1) OWASP Top 3 in der

Mehr

Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10

Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10 The OWASP Foundation http://www.owasp.org Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10 Tobias Glemser tobias.glemser@owasp.org tglemser@tele-consulting.com Ralf Reinhardt

Mehr

FileBox Solution. Compass Security AG. Cyber Defense AG Werkstrasse 20 Postfach 2038 CH-8645 Jona

FileBox Solution. Compass Security AG. Cyber Defense AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Compass Security Cyber Defense AG Werkstrasse 20 T +41 55 214 41 60 F +41 55 214 41 61 admin@csnc.ch FileBox Solution Name des Dokumentes: FileBox_WhitePaper_de.doc Version: v2.0 Autor: Ivan Bütler Unternehmen:

Mehr

Netzwerksicherheit Übung 9 Websicherheit

Netzwerksicherheit Übung 9 Websicherheit Netzwerksicherheit Übung 9 Websicherheit David Eckhoff, Tobias Limmer, Christoph Sommer Computer Networks and Communication Systems Dept. of Computer Science, University of Erlangen-Nuremberg, Germany

Mehr

Secure Webcoding for Beginners

Secure Webcoding for Beginners Secure Webcoding for Beginners $awareness++ Florian Brunner Florian Preinstorfer 09.06.2010 Hacking Night 2010 Vorstellung Florian Brunner Software Engineer CTF-Team h4ck!nb3rg Student sib08 Florian Preinstorfer

Mehr

Unix Friends and User Campus Kamp Aktuelle Angriffstechniken auf Web-Applikationen

Unix Friends and User Campus Kamp Aktuelle Angriffstechniken auf Web-Applikationen Unix Friends and User Campus Kamp Aktuelle Angriffstechniken auf Web-Applikationen Steffen Tröscher cirosec GmbH, Heilbronn Steffen Tröscher Dipl.-Informatiker (FH) IT-Sicherheitsberater Tätigkeitsschwerpunkte:

Mehr

Baustein Webanwendungen. Stephan Klein, Jan Seebens

Baustein Webanwendungen. Stephan Klein, Jan Seebens Baustein Webanwendungen Stephan Klein, Jan Seebens Agenda Bedrohungslage für Webanwendungen Baustein Webanwendungen 1) Definition und Abgrenzung 2) Goldene Regeln 3) Spezifische Gefährdungen 4) Spezifische

Mehr

OpenWAF Web Application Firewall

OpenWAF Web Application Firewall OpenWAF Web Application Firewall Websecurity und OpenWAF in 60 Minuten Helmut Kreft Fuwa, 15.11.2010 Agenda Webapplikationen? Furcht und Schrecken! OWASP Top 10 - Theorie und Praxis mit dem BadStore Umgang

Mehr

Agenda. Agenda. Web Application Security Kick Start. Web Application Security Kick Start. OWASP Top Ten meets JSF. OWASP Top Ten meets JSF

Agenda. Agenda. Web Application Security Kick Start. Web Application Security Kick Start. OWASP Top Ten meets JSF. OWASP Top Ten meets JSF Andreas Hartmann OWASP Top 10: Scanning JSF Principal Software Engineer E-Mail hartmann@adesso.de Andreas Hartmann Tätigkeitsschwerpunkte: Konzeption und von Softwarearchitekturen und Frameworks auf Basis

Mehr

business.people.technology.

business.people.technology. business.people.technology. OWASP Top 10: Scanning JSF Andreas Hartmann 18.06.2010 2 OWASP Top 10: Scanning JSF 18.06.2010 Was ist Application Security? Application Security umfasst alle Maßnahmen im Lebenszyklus

Mehr

Web Application Security

Web Application Security Web Application Security Was kann schon schiefgehen. Cloud & Speicher Kommunikation CMS Wissen Shops Soziale Netze Medien Webseiten Verwaltung Chancen E-Commerce Kommunikation Globalisierung & Digitalisierung

Mehr

Sicherheit von Webapplikationen Sichere Web-Anwendungen

Sicherheit von Webapplikationen Sichere Web-Anwendungen Sicherheit von Webapplikationen Sichere Web-Anwendungen Daniel Szameitat Agenda 2 Web Technologien l HTTP(Hypertext Transfer Protocol): zustandsloses Protokoll über TCP auf Port 80 HTTPS Verschlüsselt

Mehr

OWASP Top 10. Agenda. Application Security. Agenda. Application Security. OWASP Top Ten meets JSF. Application Security Komponente

OWASP Top 10. Agenda. Application Security. Agenda. Application Security. OWASP Top Ten meets JSF. Application Security Komponente Agenda OWASP Top 10 Andreas Hartmann Komponente Startup 04.04.2013 04.04.2013 2 OWASP Top 10 Agenda Komponente Startup Was ist umfasst alle Maßnahmen im Lebenszyklus von Software, die geeignet sind, sicherheitskritische

Mehr

Web 2.0-Hacking Live Vorführung. Philipp Rocholl, Secaron AG Proseminar "Network Hacking und Abwehr", 27.01.2011

Web 2.0-Hacking Live Vorführung. Philipp Rocholl, Secaron AG Proseminar Network Hacking und Abwehr, 27.01.2011 Web 2.0-Hacking Live Vorführung Philipp Rocholl, Secaron AG Proseminar "Network Hacking und Abwehr", 27.01.2011 Übersicht Vorstellung Motivation Penetrationstests Schwachstellenklassen im Webumfeld Live

Mehr

V10 I, Teil 2: Web Application Security

V10 I, Teil 2: Web Application Security IT-Risk-Management V10 I, Teil : Web Application Security Tim Wambach, Universität Koblenz-Landau Koblenz, 9.7.015 Agenda Einleitung HTTP OWASP Security Testing Beispiele für WebApp-Verwundbarkeiten Command

Mehr

Wie steht es um die Sicherheit in Software?

Wie steht es um die Sicherheit in Software? Wie steht es um die Sicherheit in Software? Einführung Sicherheit in heutigen Softwareprodukten Typische Fehler in Software Übersicht OWASP Top 10 Kategorien Praktischer Teil Hacking Demo Einblick in die

Mehr

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH Dr. Stefan Schlott, BeOne Stuttgart GmbH ABOUT.TXT Stefan Schlott, BeOne Stuttgart GmbH Java-Entwickler, Scala-Enthusiast, Linux-Jünger Seit jeher begeistert

Mehr

IHK: Web-Hacking-Demo

IHK: Web-Hacking-Demo sic[!]sec, Achim Hoffmann IHK: Web-Hacking-Demo, Bayreuth 1. April 2014 1 von 34 IHK: Web-Hacking-Demo Achim Hoffmann Achim.Hoffmann@sicsec.de Bayreuth 1. April 2014 sic[!]sec GmbH spezialisiert auf Web

Mehr

BSI IT-Grundschutztag, 13.06.2013, Regensburg 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.

BSI IT-Grundschutztag, 13.06.2013, Regensburg 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec. 1 BSI Grundschutzbaustein Webanwendungen Absicherung von Webanwendungen in der Praxis - Highlights aus den OWASP Top 10 Ralf Reinhardt 13.06.2013, 13:30 Uhr BSI IT-Grundschutztag Tagungs- und Besucherzentrum

Mehr

Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen

Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen Ralf Reinhardt 28.11.2013, 16:40 Uhr Roadshow Sicheres Internet aiti-park Werner-von-Siemens-Str. 6 86159 Augsburg 1 Hacker-Tool Browser Über

Mehr

Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen

Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen Sebastian Schinzel Virtual Forge GmbH University of Mannheim SAP in a Nutshell Weltweit führendes Unternehmen für

Mehr

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH Dr. Stefan Schlott, BeOne Stuttgart GmbH ABOUT.TXT Stefan Schlott, BeOne Stuttgart GmbH Java-Entwickler, Scala-Enthusiast, Linux-Jünger Seit jeher begeistert

Mehr

OWASP Top 10 Wat nu? The OWASP Foundation http://www.owasp.org. OWASP Stammtisch. GUUG-Treffen. Dirk Wetter

OWASP Top 10 Wat nu? The OWASP Foundation http://www.owasp.org. OWASP Stammtisch. GUUG-Treffen. Dirk Wetter OWASP Top 10 Wat nu? Dirk Wetter OWASP Stammtisch GUUG-Treffen Dr. Wetter IT-Consulting & -Services mail bei drwetter punkt eu dirk punkt wetter bei owasp punkt org +49-(40)-2442035-1 Copyright The OWASP

Mehr

OWASP Top 10 Was t/nun? OWASP Nürnberg, 20.10.2010. The OWASP Foundation http://www.owasp.org. Dirk Wetter

OWASP Top 10 Was t/nun? OWASP Nürnberg, 20.10.2010. The OWASP Foundation http://www.owasp.org. Dirk Wetter Top 10 Was t/nun? Nürnberg, 20.10.2010 Dirk Wetter Dr. Wetter IT-Consulting & -Services mail bei drwetter punkt eu dirk punkt wetter bei owasp punkt org +49-(40)-2442035-1 Copyright The Foundation Permission

Mehr

FileBox Solution. Compass Security AG Glärnischstrasse 7 Postfach 1628 CH-8640 Rapperswil

FileBox Solution. Compass Security AG Glärnischstrasse 7 Postfach 1628 CH-8640 Rapperswil Compass Security AG Glärnischstrasse 7 CH-8640 Rapperswil T +41 55 214 41 60 F +41 55 214 41 61 admin@csnc.ch www.csnc.ch FileBox Solution Name des Dokumentes: FileBox_WhitePaper_V1.1.doc Version: v1.1

Mehr

HACK YOUR OWN WEBSITE! WEB SECURITY IM SELBSTVERSUCH. Stefan Schlott @_skyr

HACK YOUR OWN WEBSITE! WEB SECURITY IM SELBSTVERSUCH. Stefan Schlott @_skyr HACK YOUR OWN WEBSITE! WEB SECURITY IM SELBSTVERSUCH Stefan Schlott @_skyr DIE OWASP TOP-10 Alpha und Omega der Security-Talks :-) TOP 10 VON 2013 1. Injection 2. Broken Authentication/Session Management

Mehr

OWASP Top 10. im Kontext von Magento. Mittwoch, 21. November 12

OWASP Top 10. im Kontext von Magento. Mittwoch, 21. November 12 OWASP Top 10 im Kontext von Magento 1 Ich Fabian Blechschmidt (@Fabian_ikono) blechschmidt@fabianblechschmidt.de PHP seit 2004 Freelancer seit 2008 Magento seit 2011 Certified Magento Developer spielt

Mehr

OWASP Top 10: Scanning JSF. Andreas Hartmann & Stephan Müller

OWASP Top 10: Scanning JSF. Andreas Hartmann & Stephan Müller OWASP Top 10: Scanning JSF Andreas Hartmann & Stephan Müller 07.04.2011 Andreas Hartmann (Principal Software Engineer): Leichtgewichtige Softwarearchitekturen und Frameworks auf Basis der JEE Plattform

Mehr

Aktuelle Bedrohungen im Internet

Aktuelle Bedrohungen im Internet Aktuelle Bedrohungen im Internet Max Klaus, MELANI Bedrohungen von Webanwendungen Reto Inversini, BIT Botnetze webreaders.de/wp-content/uploads/2008/01/botnetz.jpg ISB / NDB Melde- und Analysestelle Informationssicherung

Mehr

Aktuelle Angriffstechniken auf Web-Applikationen. Andreas Kurtz cirosec GmbH, Heilbronn

Aktuelle Angriffstechniken auf Web-Applikationen. Andreas Kurtz cirosec GmbH, Heilbronn Aktuelle Angriffstechniken auf Web-Applikationen Andreas Kurtz cirosec GmbH, Heilbronn Gliederung Schwachstellen-Überblick Präsentation aktueller Angriffstechniken XPath-Injection Cross-Site Request Forgery

Mehr

Einführung in Web-Security

Einführung in Web-Security Einführung in Web-Security Alexander»alech«Klink Gulaschprogrammiernacht 2013 Agenda Cross-Site-Scripting (XSS) Authentifizierung und Sessions Cross-Site-Request-Forgery ([XC]SRF) SQL-Injections Autorisierungsprobleme

Mehr

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen FAEL-Seminar Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen Prof. Dr. Marc Rennhard Institut für angewandte Informationstechnologie InIT ZHAW Zürcher Hochschule für Angewandte

Mehr

Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen. OWASP Nürnberg, 13.10.09

Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen. OWASP Nürnberg, 13.10.09 AppSec Germany 2009 AppSec Germany 2009 Conference http://www.owasp.org/index.php/germany Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen Nürnberg, 13.10.09 Sebastian

Mehr

Datensicherheit. Vorlesung 7: 29.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter

Datensicherheit. Vorlesung 7: 29.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter Datensicherheit Vorlesung 7: 29.5.2015 Sommersemester 2015 h_da Heiko Weber, Lehrbeauftragter Inhalt 1. Einführung & Grundlagen der Datensicherheit 2. Identitäten / Authentifizierung / Passwörter 3. Kryptografie

Mehr

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen Dr. Marc Rennhard Institut für angewandte Informationstechnologie Zürcher Hochschule Winterthur marc.rennhard@zhwin.ch Angriffspunkt

Mehr

Welche Gefahren gehen vom Firmenauftritt im Internet aus?

Welche Gefahren gehen vom Firmenauftritt im Internet aus? Die Webseite als Eintrittspunkt Welche Gefahren gehen vom Firmenauftritt im Internet aus? Bekannt gewordene Schwachstellen & Angriffe Bekannt gewordene Schwachstellen & Angriffe Quelle: http://www.vulnerability-db.com/dev/index.php/2014/02/06/german-telekom-bug-bounty-3x-remote-vulnerabilities/

Mehr

HISOLUTIONS - SCHWACHSTELLENREPORT

HISOLUTIONS - SCHWACHSTELLENREPORT HISOLUTIONS - SCHWACHSTELLENREPORT Eine Analyse der identifizierten Schwachstellen in Penetrationstests MOTIVATION HiSolutions führt jedes Jahr eine große Anzahl von unterschiedlichen Penetrations- und

Mehr

Sicherheit Web basierter Anwendungen

Sicherheit Web basierter Anwendungen Sicherheit Web basierter Anwendungen IT Sicherheit Dozent: Prof. Dr. Stefan Karsch Enriko Podehl 13.02.2008 Einleitung it Web basierte basierte Anwendungen Teil unseres Alltags Geben dabei persönliche

Mehr

Online-Portale 2.0: Security ist auch ein Web-Design-Thema

Online-Portale 2.0: Security ist auch ein Web-Design-Thema Online-Portale 2.0: Security ist auch ein Web-Design-Thema Dirk Reimers Bereichsleiter Pentest / Forensik secunet Security Networks AG +49 201 54 54-2023 dirk.reimers@secunet.com Vorstellung Dirk Reimers

Mehr

Hacker-Methoden in der IT- Sicherheitsausbildung. Dr. Martin Mink

Hacker-Methoden in der IT- Sicherheitsausbildung. Dr. Martin Mink Hacker-Methoden in der IT- Sicherheitsausbildung Dr. Martin Mink Hacker-Angriffe 3.11.2010 Hacker-Methoden in der IT-Sicherheitsausbildung Dr. Martin Mink 2 Typische Angriffe auf Web- Anwendungen SQL Injection

Mehr

Aktuelle Sicherheitsprobleme im Internet

Aktuelle Sicherheitsprobleme im Internet Herbst 2014 Aktuelle Sicherheitsprobleme im Internet Wirtschaftsinformatik: 5. Semester Dozenten: Rainer Telesko / Martin Hüsler Fachhochschule Nordwestschweiz FHNW / Rainer Telesko - Martin Hüsler 1 Inhalt

Mehr

Hacking Day 2011. Application Security Audit in Theorie und Praxis. Jan Alsenz & Robert Schneider. 2011 OneConsult GmbH www.oneconsult.

Hacking Day 2011. Application Security Audit in Theorie und Praxis. Jan Alsenz & Robert Schneider. 2011 OneConsult GmbH www.oneconsult. Hacking Day 2011 Application Security Audit in Theorie und Praxis Jan Alsenz & Robert Schneider 16. Juni 2011 Agenda Vorstellung Application Security Audit Optimaler Zeitpunkt Testansatz Schlussbericht

Mehr

Sicherheit in Webanwendungen CrossSite, Session und SQL

Sicherheit in Webanwendungen CrossSite, Session und SQL Sicherheit in Webanwendungen CrossSite, Session und SQL Angriffstechniken und Abwehrmaßnahmen Mario Klump Die Cross-Site -Familie Die Cross-Site-Arten Cross-Site-Scripting (CSS/XSS) Cross-Site-Request-Forgery

Mehr

Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte

Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte Web 2.0 (In)Security - Themen Alte Freunde SQL Injections, Code Executions & Co. Cross Site Scripting Cross Site Scripting in der Praxis JavaScript

Mehr

Schwachstellen in Web- Applikationen: Was steckt dahinter und wie nutzt man sie aus?

Schwachstellen in Web- Applikationen: Was steckt dahinter und wie nutzt man sie aus? Schwachstellen in Web- Applikationen: Was steckt dahinter und wie nutzt man sie aus? Prof. Dr. Marc Rennhard Institut für angewandte Informationstechnologie InIT ZHAW Zürcher Hochschule für Angewandte

Mehr

HISOLUTIONS - SCHWACHSTELLENREPORT

HISOLUTIONS - SCHWACHSTELLENREPORT HISOLUTIONS - SCHWACHSTELLENREPORT Eine Analyse der identifizierten Schwachstellen in Penetrationstests des Jahres 2014 MOTIVATION HiSolutions führt jedes Jahr eine große Anzahl von unterschiedlichen Penetrations-

Mehr

HISOLUTIONS SCHWACHSTELLENREPORT 2013

HISOLUTIONS SCHWACHSTELLENREPORT 2013 HISOLUTIONS SCHWACHSTELLENREPORT 2013 Eine Analyse der identifizierten Schwachstellen in Penetrationstests MOTIVATION HiSolutions führt jedes Jahr eine große Anzahl von unterschiedlichen Penetrations-

Mehr

IT SICHERHEITS-AUDITOREN

IT SICHERHEITS-AUDITOREN PenTest-Module Produktportfolio UNABHÄNGIGE, ZUVERLÄSSIGE UND ERFAHRENE IT SICHERHEITS-AUDITOREN Blue Frost Security PenTest-Module Blue Frost Security 1 Einführung Konsequente Penetration Tests, regelmäßige

Mehr

Datensicherheit. Vorlesung 4: 14.12.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter

Datensicherheit. Vorlesung 4: 14.12.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter Vorlesung 4: Sommersemester 2015 h_da, Lehrbeauftragter Teil 2: Themenübersicht der Vorlesung 1. Einführung / Grundlagen der / Authentifizierung 2. Kryptografie / Verschlüsselung und Signaturen mit PGP

Mehr

Security im E-Commerce

Security im E-Commerce Tobias Zander Security im E-Commerce Absicherung von Shopsystemen wie Magento, Shopware und OXID schnell+kompakt Tobias Zander Security im E-Commerce Absicherung von Shopsystemen wie Magento, Shopware

Mehr

Web Application {Security, Firewall}

Web Application {Security, Firewall} Web Application {Security, Firewall} Mirko Dziadzka mirko.dziadzka@gmail.com http://mirko.dziadzka.de 18.1.2011 / IEEE SB Passau Alle Abbildungen aus http://www.heise.de/newsticker/archiv/ Inhalt Kurze

Mehr

Hacking. InfoPoint 07.12.2005. Jörg Wüthrich

Hacking. InfoPoint 07.12.2005. Jörg Wüthrich Hacking InfoPoint 07.12.2005 Jörg Wüthrich Inhalte Rund um das Thema Hacking Angriffs-Techniken Session Handling Cross Site Scripting (XSS) SQL-Injection Buffer Overflow 07.12.2005 Infopoint - Hacking

Mehr

Money for Nothing... and Bits4free

Money for Nothing... and Bits4free Money for Nothing... and Bits4free 8.8.2011 Gilbert Wondracek, gilbert@iseclab.org Hacker & Co Begriff hat je nach Kontext andere Bedeutung, Ursprung: 50er Jahre, MIT Ausnutzen von Funktionalität die vom

Mehr

Was ist bei der Entwicklung sicherer Apps zu beachten?

Was ist bei der Entwicklung sicherer Apps zu beachten? Was ist bei der Entwicklung sicherer Apps zu beachten? Ein Leitfaden zur sicheren App 1 Über mich Consultant für Information Security Studium der Wirtschaftsinformatik an der Hochschule München Entwicklung

Mehr

Audit von Authentifizierungsverfahren

Audit von Authentifizierungsverfahren Audit von Authentifizierungsverfahren Walter Sprenger, Compass Security AG Compass Security AG Glärnischstrasse 7 Postfach 1628 CH-8640 Rapperswil Tel +41 55-214 41 60 Fax +41 55-214 41 61 team@csnc.ch

Mehr

web2py - Web-Framework mit didaktischem Hintergrund Nik Klever Hochschule Augsburg

web2py - Web-Framework mit didaktischem Hintergrund Nik Klever Hochschule Augsburg web2py - Web-Framework mit didaktischem Hintergrund Nik Klever Hochschule Augsburg web2py ein modernes Python-Application-Framework, dessen Ausrichtung ursprünglich auf die Ausbildung von Studierenden

Mehr

XSS for fun and profit

XSS for fun and profit 5. Chemnitzer Linux-Tag 1.-2.- März 2003 XSS for fun and profit Theorie und Praxis von Cross Site Scripting (XSS) Sicherheitslücken, Diebstahl von Cookies, Ausführen von Scripten auf fremden Webservern,

Mehr

Zusammenfassung Web-Security-Check ZIELSYSTEM

Zusammenfassung Web-Security-Check ZIELSYSTEM Zusammenfassung Web-Security-Check ZIELSYSTEM für KUNDE (nachfolgend Auftraggeber genannt) von secudor GmbH Werner-von-Siemensstraße 6 Gebäude 9 86159 Augsburg (nachfolgend Auftragnehmer genannt) Inhalt

Mehr

Advanced Web Hacking. Matthias Luft Security Research mluft@ernw.de

Advanced Web Hacking. Matthias Luft Security Research mluft@ernw.de Advanced Web Hacking Matthias Luft Security Research mluft@ernw.de ERNW GmbH. Breslauer Str. 28. D-69124 Heidelberg. www.ernw.de 6/23/2010 1 ERNW GmbH Sicherheitsdienstleister im Beratungs- und Prüfungsumfeld

Mehr

Carsten Eilers. Ajax Security. Sichere Web-2.0-Anwendungen. ntwickier

Carsten Eilers. Ajax Security. Sichere Web-2.0-Anwendungen. ntwickier Carsten Eilers Ajax Security Sichere Web-2.0-Anwendungen ntwickier Ajax, aber sicher! Geschichte Der Aufbau des Buchs Danksagung und Widmung Der Autor Ajax - Grundlagen Vom Web 1.0 zum Web 2.0 XMLHttp

Mehr

Web Hacking - Angriffe und Abwehr

Web Hacking - Angriffe und Abwehr Web Hacking - Angriffe und Abwehr UNIX-Stammtisch 31. Januar 2012 Frank Richter Holger Trapp Technische Universität Chemnitz Universitätsrechenzentrum Motivation (1): Für uns Lehrveranstaltung: Techniken

Mehr

Sichere Web-Anwendungen

Sichere Web-Anwendungen Sichere Web-Anwendungen Ausarbeitung im Fach Netzwerksicherheit von Daniel Szameitat Matrikelnummer: 35514 HTW Aalen Hochschule für Technik und Wirtschaft UNIVERSITY OF APPLIED SCIENCES Prof. Roland Hellmann

Mehr

Sicherheit in Software

Sicherheit in Software Sicherheit in Software Fabian Cordt und Friedrich Eder 3. Juni 2011 Allgemeines Begriffserklärung Woher Die 19 Todsünden 1 - Teil 2 - Teil 3 - Teil Was kann passieren Probleme beim Porgramm Durch Lücken

Mehr

SAP Anwendungen im Visier von Hackern Angriffsszenarien und Schutzkonzepte

SAP Anwendungen im Visier von Hackern Angriffsszenarien und Schutzkonzepte Dr. Markus Schumacher Dr. Markus Schumacher SAP Anwendungen im Visier von Hackern Angriffsszenarien und Schutzkonzepte INHALT SAP Anwendungen im Visier von Hackern 1. Schutz der Kronjuwelen SAP Systeme

Mehr

PHP-(Un-)Sicherheit. Hacker-Seminar Herbstsemester 2006 Laboratory for Dependable Distributed Systems Universität Mannheim.

PHP-(Un-)Sicherheit. Hacker-Seminar Herbstsemester 2006 Laboratory for Dependable Distributed Systems Universität Mannheim. Hacker-Seminar Herbstsemester 2006 Laboratory for Dependable Distributed Systems Universität Mannheim Tim Weber 9. November 2006 Übersicht 1. Die Sprache PHP 2. Sicherheitslücken und Angriffsszenarien

Mehr

Web Application Security und der Einsatz von Web Application Firewalls

Web Application Security und der Einsatz von Web Application Firewalls Web Application Security und der Einsatz von Web Application Firewalls Philipp Etschel, BSc opennetworks.at fhstp.ac.at 2 Agenda: Warum überhaupt eine WAF einsetzen? Funktionsweise einer WAF Welche Web-

Mehr

PHPIDS Vortrag. PHP Usergroup Frankfurt am Main 14. Februar 2008. Autor: Tom Klingenberg. Web & Applikation

PHPIDS Vortrag. PHP Usergroup Frankfurt am Main 14. Februar 2008. Autor: Tom Klingenberg. Web & Applikation PHPIDS Vortrag PHP Usergroup Frankfurt am Main 14. Februar 2008 Autor: Tom Klingenberg Web & Applikation PHP (PHP: Braucht hier nicht erklärt werden.) IDS IDS: Intrusion Detection System Einbruchsmeldesystem

Mehr

Security for Systems Engineering VO 03: Web Application Security

Security for Systems Engineering VO 03: Web Application Security Security for Systems Engineering VO 03: Web Application Security Florian Fankhauser ESSE INSO Industrial Software Institut für Rechnergestützte Automation Fakultät für Informatik Technische Universität

Mehr

Secure Coding & Live Hacking von Webapplikationen. Conect Informunity 8.3.2011

Secure Coding & Live Hacking von Webapplikationen. Conect Informunity 8.3.2011 Secure Coding & Live Hacking von Webapplikationen Conect Informunity 8.3.2011 Dr. Ulrich Bayer Security Research Sicherheitsforschung GmbH Motivation Datendiebstahl über (Web)-Applikationen passiert täglich

Mehr

Web Application Security Testing

Web Application Security Testing Lehrstuhl für Rechnernetze und Internet Wilhelm-Schickard-Institut für Informatik Universität Tübingen Web Application Security Testing Carl-Daniel Hailfinger Betreuer: Pavel Laskov Ziele des Vortrags

Mehr

Praktische Erfahrungen aus hunderten von Sicherheitsabnahmen German OWASP Day 2014. Dr. Amir Alsbih CISO Haufe Gruppe

Praktische Erfahrungen aus hunderten von Sicherheitsabnahmen German OWASP Day 2014. Dr. Amir Alsbih CISO Haufe Gruppe Praktische Erfahrungen aus hunderten von Sicherheitsabnahmen German OWASP Day 2014 Dr. Amir Alsbih CISO Haufe Gruppe 1 Agenda Hintergrund Zertifizierungen SaaS Service Applikationsentwicklung Summary 2

Mehr

Markus Dopler Rainer Ruprechtsberger. Security und Trust Aspekte in Service-Orientierten Web-Applikationen

Markus Dopler Rainer Ruprechtsberger. Security und Trust Aspekte in Service-Orientierten Web-Applikationen Markus Dopler Rainer Ruprechtsberger Security und Trust Aspekte in Service-Orientierten Web-Applikationen SOSE: Vision Automatische Auswahl und Integration von angebotenen Services Inhalt Beispiel SOA

Mehr

SWAT PRODUKTBROSCHÜRE

SWAT PRODUKTBROSCHÜRE SWAT PRODUKTBROSCHÜRE SICHERHEIT VON WEB APPLIKATIONEN Die Sicherheit von Web Applikationen stellte in den vergangenen Jahren eine große Herausforderung für Unternehmen dar, da nur wenige gute Lösungen

Mehr

7363 - Web-basierte Anwendungen 4750 Web-Engineering

7363 - Web-basierte Anwendungen 4750 Web-Engineering Fachhochschule Wiesbaden - FB Design, Informatik, Medien 7363 - Web-basierte Anwendungen 4750 Web-Engineering Eine Vertiefungsveranstaltung 28.01.2009 2005, 2008 H. Werntges, Studienbereich Informatik,

Mehr

Sichere Softwareentwicklung

Sichere Softwareentwicklung IT-Sicherheit heute - Angriffe, Schutzmechanismen, Umsetzung hans-joachim.knobloch@secorvo.de Security Consulting GmbH, Karlsruhe Seite 1 Inhalt Schwachstellen in Anwendungen Checklisten und Tools Security

Mehr

ZSDGMDZFGW... Zehn Sicherheitsprobleme, die gerne mit dem ZendFramework gebaut werden. Ben Fuhrmannek #phpug-köln 2.10.2009

ZSDGMDZFGW... Zehn Sicherheitsprobleme, die gerne mit dem ZendFramework gebaut werden. Ben Fuhrmannek #phpug-köln 2.10.2009 ZSDGMDZFGW Zehn Sicherheitsprobleme, die gerne mit dem ZendFramework gebaut werden Ben Fuhrmannek #phpug-köln 2.10.2009 Über mich Informatiker Entwickler IT Security 2 TOC Aufbau ZF Problem 1 bis 10 3

Mehr

Das digitale Scheunentor

Das digitale Scheunentor Folie 1 "Das digitale Scheunentor" Folie 2 "Das digitale Scheunentor" Das digitale Scheunentor Prüferfahrungen des Landesbeauftragten für den Datenschutz Rheinland-Pfalz aus der Kontrolle von Internetangeboten

Mehr

Angreifbarkeit von Webapplikationen

Angreifbarkeit von Webapplikationen Vortrag über die Risiken und möglichen Sicherheitslücken bei der Entwicklung datenbankgestützter, dynamischer Webseiten Gliederung: Einführung technische Grundlagen Strafbarkeit im Sinne des StGB populäre

Mehr

Ruby on Rails Sicherheit. Heiko Webers 42@rorsecurity.info

Ruby on Rails Sicherheit. Heiko Webers 42@rorsecurity.info Ruby on Rails Sicherheit Heiko Webers 42@rorsecurity.info Heiko Webers Ruby On Rails Security Project: www.rorsecurity.info E-Book Ruby On Rails Security Ruby On Rails Security Audits Webanwendungen Trends

Mehr

Aktuelle Angriffstechniken. Steffen Tröscher cirosec GmbH, Heilbronn

Aktuelle Angriffstechniken. Steffen Tröscher cirosec GmbH, Heilbronn Aktuelle Angriffstechniken Steffen Tröscher cirosec GmbH, Heilbronn Gliederung Angriffe auf Webanwendungen Theorie und Live Demonstrationen Schwachstellen Command Injection über File Inclusion Logische

Mehr

Inhaltsverzeichnis. Einleitung... 11

Inhaltsverzeichnis. Einleitung... 11 Einleitung................................................. 11 1 Sicherheit im Kontext von PHP und Webanwendungen........... 17 1.1 Historie: PHP............................................. 17 1.2 PHP

Mehr

Web Applications Vulnerabilities

Web Applications Vulnerabilities Bull AG Wien Web Applications Vulnerabilities Philipp Schaumann Dipl. Physiker Bull AG, Wien www.bull.at/security Die Problematik Folie 2 Der Webserver ist das Tor zum Internet auch ein Firewall schützt

Mehr

Tobias Wassermann. Sichere Webanwendungen mit PHP

Tobias Wassermann. Sichere Webanwendungen mit PHP Tobias Wassermann Sichere Webanwendungen mit PHP Inhaltsverzeichnis Einleitung 11 i Sicherheit im Kontext von PHP und Webanwendungen 17 I.I Historie: PHP 17 i.2 PHP heute 19 1.3 PHP und Apache 20 1.4 PHP

Mehr

Sebastian. Kübeck. Web-Sicherheit. Wie Sie Ihre Webanwendungen sicher vor Angriffen schützen

Sebastian. Kübeck. Web-Sicherheit. Wie Sie Ihre Webanwendungen sicher vor Angriffen schützen Sebastian Kübeck Web-Sicherheit Wie Sie Ihre Webanwendungen sicher vor Angriffen schützen Einleitung................................................. 11 Teil I Grundlagen der Informationssicherheit......................

Mehr

OWASP Stammtisch München Sep 2014 XSS und andere Sicherheitslücken aus der Perspektive des Programmcodes

OWASP Stammtisch München Sep 2014 XSS und andere Sicherheitslücken aus der Perspektive des Programmcodes OWASP Stammtisch München Sep 2014 XSS und andere Sicherheitslücken aus der Perspektive des Programmcodes 1 XSS: Cross-Site Scripting 1.) Es gelangen Daten in den Web-Browser, die Steuerungsinformationen

Mehr

Datensicherheit. Vorlesung 5: 15.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter

Datensicherheit. Vorlesung 5: 15.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter Datensicherheit Vorlesung 5: 15.5.2015 Sommersemester 2015 h_da, Lehrbeauftragter Inhalt 1. Einführung & Grundlagen der Datensicherheit 2. Identitäten / Authentifizierung / Passwörter 3. Kryptografie 4.

Mehr

Magento Application Security. Anna Völkl / @rescueann

Magento Application Security. Anna Völkl / @rescueann Magento Application Security Anna Völkl / @rescueann Anna Völkl @rescueann Magento Certified Developer PHP seit 2004 Magento seit 2011 IT & Telekommunikation (BSc), IT-Security (MSc) LimeSoda (Wien, AT)

Mehr

!"#$"%&'()*$+()',!-+.'/',

!#$%&'()*$+()',!-+.'/', Soziotechnische Informationssysteme 7. OAuth, OpenID und SAML Inhalte Motivation OAuth OpenID SAML 4(5,12316,7'.'0,!.80/6,9*$:'0+$.;.,&0$'0, 3, Grundlagen Schützenswerte Objekte Zugreifende Subjekte Authentifizierung!

Mehr

Einführung in Security

Einführung in Security Einführung in Security THEMA: OWASP TOP10 einfach erklärt Einführung: Heartbleed Shellshock Poodle Einführung: Heartbleed Sicherheitslücke in der OpenSSL-Implementierung der Heartbeat-Erweiterung für die

Mehr

SQL Injection. Sicherheitslücken in webbasierten DB-Anwendungen. (Und wie man sie schließt!)

SQL Injection. Sicherheitslücken in webbasierten DB-Anwendungen. (Und wie man sie schließt!) T-Systems Multimedia Solutions GmbH Dr. Frank Schönefeld Thomas Haase 152. DB-Stammtisch HTW Dresden 21.04.2010 SQL Injection. Sicherheitslücken in webbasierten DB-Anwendungen. (Und wie man sie schließt!)

Mehr

Um einen neuen Konnektor anzulegen klicken sie in der Liste der Konnektoren auf die Schaltfläche Neue Konfiguration.

Um einen neuen Konnektor anzulegen klicken sie in der Liste der Konnektoren auf die Schaltfläche Neue Konfiguration. Konnektoren Allgemeines zu Konnektoren Die Konnektoren stellen ein Rahmengerüst für den Import und Export von Daten in den Webdesk (bzw. aus dem Webdesk) zur Verfügung. Die Definition von Quellkonnektoren

Mehr

verstehen lernen, wie der Angreifer denkt diese Methoden selbst anwenden Allerdings: Mitdenken, nicht nur blindes ausprobieren Außerdem:

verstehen lernen, wie der Angreifer denkt diese Methoden selbst anwenden Allerdings: Mitdenken, nicht nur blindes ausprobieren Außerdem: !! "!!##$ %& es gibt keine 100 %ige Sicherheit Fehler zu machen ist menschlich man muss es so gut wie möglich machen es ist GROB FAHRLÄSSIG es nicht einmal zu versuchen Ziel: Methoden entwickeln, die Sicherheit

Mehr