Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen. OWASP Nürnberg,
|
|
|
- Jörg Bretz
- vor 8 Jahren
- Abrufe
Transkript
1 AppSec Germany 2009 AppSec Germany 2009 Conference Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen Nürnberg, Sebastian Schinzel Virtual Forge GmbH Copyright The Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the License. The Foundation
2 AppSec Germany 2009 SAP in a Nutshell Weltweit führendes Unternehmen für Geschäftssoftware Sitz in Walldorf Praktisch alle SAP-Installationen einzigartig Geschäftsanwendungen zunehmend über Web Frontends erreichbar Geschäftsanwendungen in Java oder ABAP geschrieben (plus C-API, PHP, ) AppSec Germany 2009 Conference 2
3 AppSec Germany 2009 ABAP in a Nutshell Existiert seit ~30 Jahren COBOL-ähnliche Syntax gewachsene Sprache mehrere Programmierparadigmen vermengt DB-unabhängiger SQL-Dialekt ist integriert Code liegt selbst in Datenbank Entwicklungsumgebung ebenfalls in ABAP entwickelt AppSec Germany 2009 Conference 3
4 AppSec Germany 2009 ABAP und Open Source Quellcode liegt vollständig vor Kunden können Code ändern Code kopieren, umbenennen und abändern Direkt SAP-Standard-Coding ändern ABAP enthält diverse Entwicklungsframeworks Kunden erweitern Code (Customizing) Eigenentwicklungen für Geschäftsprozesse Entwicklungen von Drittanbietern AppSec Germany 2009 Conference 4
5 AppSec Germany 2009 Frontend-Technologien Dynpro: In ABAP geschrieben Benötigt eigenen Viewer (SAP GUI) Funktionsweise ähnlich wie X11 Internet Transaction Server (ITS) Erste Web-Technologie von SAP Noch zahlreich in Betrieb, kaum noch aktive Entwicklung AppSec Germany 2009 Conference 5
6 AppSec Germany 2009 Frontend-Technologien Business Server Pages (BSP) In HTML eingebettetes ABAP (ähnlich zu JSP) Mehrere Programmierparadigmen Breite Installationsbasis, auch weiterhin Neu- Entwicklungen von Kunden Web Dynpro (ABAP/Java) UI-unabhängiges Framework Entwickler kann kein eigenes HTML/JavaScript einbetten Entwickler kann typische Web-Schwachstellen weder verhindern noch verursachen AppSec Germany 2009 Conference 6
7 AppSec Germany 2009 Frontend-Technologien Web GUI HTML-Version von normalen Dynpros (SAP GUI) Früher im Internet Transaction Server, heute als Plugin zum SAP Web Application Server externe Systeme, Flash, Silverlight. AppSec Germany 2009 Conference 7
8 AppSec Germany 2009 SAP Web Server SAP Web Application Server (Web AS): Unterstützt Single Sign On (SSO) SSO-Ticket in Cookie (MYSAPSSO2) standardmäßig für Pfad / und domain.tld ausgestellt standardmäßig weder httponly, noch secure Entwicklung eigener HTTP-Handler möglich BSP, Web Dynpro, WebGUI sind HTTP-Handler Konfiguration über Profilparameter (Programm RZ11) und Transaktion SICF Blacklist-Filter filtert z.b. <script und alert( :-) AppSec Germany 2009 Conference 8
9 AppSec Germany 2009 Agenda ABAP/BSP vs. Top 10 Business Server Pages Inline ABAP in HTML Die HTMLB-Tag-Bibliothek Open SQL Dynamisches Open SQL SQL-Injections Summary AppSec Germany 2009 Conference 9
10 AppSec Germany 2009 Business Server Pages (BSP) BSP im Internet erkennen: AppSec Germany 2009 Conference 10
11 AppSec Germany 2009 Business Server Pages (BSP) mentor.com erco.org sap-ag.de beiersdorfgroup.com mybayerjob.de heraeus.com wacker.com heidelberg.com knorr-bremse.com ottopersonalsysteme.de skyguide.ch eads.com bsr.de kuka.de kpmg.de daad.de euhreka.com vodafone.com iom.int wlw.de erecruiting-randstad.de lieferantensuchmaschine.com audi.de blanco.de festo.com vhv.de otto.de abb.de ruv.de holcim.com mannheim.cde gesobau.de softsurvey.de umdasch.com celesio.com pflegedienst-navigator.de oebb.at salzburg-ag.at whirlpool.com volkswagen.de pharma.com wa.gov brucepower.com jetblue.com suzukiautoco.com singaporepower.com kaufland.de clavis-bonn.de albatha.ae AppSec Germany 2009 Conference 11
12 AppSec Germany 2009 Business Server Pages (BSP) Top 10 A1 - Cross Site Scripting (XSS) A2 - Injection Flaws A3 - Malicious File Execution A4 - Insecure Direct Object Reference A5 - Cross Site Request Forgery (CSRF) A6 - Information Leakage and Improper Error Handling A7 - Broken Authentication and Session Management - A8 - Insecure Cryptographic Storage A9 - Insecure Communications A10 - Failure to Restrict URL Access Potentiell anfällig? Ja Ja Ja Ja Ja Ja Ja Ja Ja AppSec Germany 2009 Conference 12
13 AppSec Germany 2009 Business Server Pages Verhindern von Cross Site Scripting durch Encoding/Escaping in Plain-HTML-Seiten ABAP-Encoding-Funktionen (CL_HTTP_UTILITY) BSP-Seitenattribut (forceencode) in Seiten mit HTMLB-Taglib Tag-Attribut (forceencode) AppSec Germany 2009 Conference 13
14 AppSec Germany 2009 Business Server Pages Plain HTML 1 <%@page language= abap %> 2 <% DATA: name TYPE string. 3 name = request->get_form_field( 'name' ). 4 %> 5 <html> 6 <head><title>beispiel owasp.htm</title></head> 7 <p>hello <%= name %> </p> 8 <body> 9 </body></html> AppSec Germany 2009 Conference 14
15 AppSec Germany 2009 Business Server Pages Plain HTML 1 <html> 2 <head><title>beispiel owasp.htm</title></head> 3 <body> 4 <p>hello Open Web Application Security Project!</p> 5 </body> 6 </html> AppSec Germany 2009 Conference 15
16 AppSec Germany 2009 Business Server Pages Plain HTML Cross Site Scripting Schwachstelle: src= onerror= alert(document.cookie); > 1 <html> 2 <head><title>beispiel owasp.htm</title></head> 3 <p>hello <img src= onerror= alert(document.cookie); > </p> 4 <body> 5 </body></html> AppSec Germany 2009 Conference 16
17 AppSec Germany 2009 Business Server Pages Plain HTML 1 <%@page language= abap %> 2 <% DATA: name TYPE string. 3 name = request->get_form_field( 'name' ). 4 name = CL_HTTP_UTILITY=>escape_html( name ). 4 %> 5 <html> 6 <head><title>beispiel owasp.htm</title></head> 7 <p>hello <%= name %> </p> 8 <body> 9 </body></html> AppSec Germany 2009 Conference 17
18 AppSec Germany 2009 Business Server Pages Plain HTML Verhinderte Cross Site Scripting Schwachstelle: src= onerror= alert(document.cookie); > 1 <html> 2 <head><title>beispiel owasp.htm</title></head> 3 <p>hello <img src= onerror= alert(document.cookie); > </p> 4 <body> 5 </body></html> AppSec Germany 2009 Conference 18
19 AppSec Germany 2009 Business Server Pages Plain HTML Enkodierung von Daten über CL_HTTP_UTILITY=>escape_html( ) CL_HTTP_UTILITY=>escape_javascript( ) CL_HTTP_UTILITY=>escape_url( ) Pro: Verhindert XSS-Schwachstellen Contra: Jede einzelne Ausgabe muss entsprechend dem HTML-Kontext enkodiert werden Aufwändig, fehleranfällig AppSec Germany 2009 Conference 19
20 AppSec Germany 2009 Business Server Pages Plain HTML 1 <%@page language= abap forceencode= html 2 DATA: name TYPE string. 3 name = request->get_form_field( 'name' ). 4 %> 5 <html> 6 <head><title>beispiel owasp.htm</title></head> 7 <p>hello <%= name %> </p> 8 <body> 9 </body></html> AppSec Germany 2009 Conference 20
21 AppSec Germany 2009 Business Server Pages Plain HTML Verhindern von Cross Site Scripting durch <%page forceencode= {html url javascript} > Globales Encoding über Seitenattribut Alle Ausgaben werden gleich enkodiert, keine Unterscheidung zwischen HTML-Kontexten (JavaScript, URL,...) Gegenbeispiel: <a href= <%= request->get_form_field( 'user' ). %> > Link</a> AppSec Germany 2009 Conference 21
22 AppSec Germany 2009 Business Server Pages HTMLB 1 <%@page language="abap" %> 2 <%@extension name="htmlb" prefix="htmlb" %> 3 <% DATA: name TYPE string. 4 name = request->get_form_field( 'name' ). %> 5 <htmlb:content design="design2003"> 6 <htmlb:page title = "HTMLB mit forceencode"> 7 <htmlb:form> 8 <htmlb:textview text = "Hello <%= name %>" 9 design = "EMPHASIZED" /> 10 </htmlb:form> 11 </htmlb:page> 12 </htmlb:content> AppSec Germany 2009 Conference 22
23 AppSec Germany 2009 Business Server Pages HTMLB name=<img src= onerror= alert(document.cookie); > AppSec Germany 2009 Conference 23
24 AppSec Germany 2009 Business Server Pages HTMLB 1 <%@page language="abap" %> 2 <%@extension name="htmlb" prefix="htmlb" %> 3 <% DATA: name TYPE string. 4 name = request->get_form_field( 'name' ). %> 5 <htmlb:content design="design2003" forceencode="enabled"> 6 <htmlb:page title = "HTMLB mit forceencode"> 7 <htmlb:form> 8 <htmlb:textview text = "Hello <%= name %>" 9 design = "EMPHASIZED" /> 10 </htmlb:form> 11 </htmlb:page> 12 </htmlb:content> AppSec Germany 2009 Conference 24
25 AppSec Germany 2009 Business Server Pages HTMLB name=<img src= onerror= alert(document.cookie); > AppSec Germany 2009 Conference 25
26 AppSec Germany 2009 Business Server Pages Verhindern von Cross Site Scripting in Plain-HTML Enkoding über Methoden (CL_HTTP_UTILITY) Aufwändig, Fehleranfällig Enkoding über Seitenattribut (forceencode) Nicht HTML-Kontext-spezifisch, daher fehleranfällig Verhindern von Cross Site Scripting in HTMLB Tag-Attribut forceencode standardmäßig ausgeschaltet, muss explit aktiviert werden AppSec Germany 2009 Conference 26
27 AppSec Germany 2009 Agenda ABAP/BSP vs. Top 10 Business Server Pages Inline ABAP in HTML Die HTMLB-Tag-Bibliothek Open SQL Dynamisches Open SQL SQL-Injections Summary AppSec Germany 2009 Conference 27
28 AppSec Germany 2009 Open SQL Open SQL eingebettet in ABAP Wird intern in Prepared Statements umgewandelt SQL-Statement und Benutzerdaten sauber getrennt, keine SQL-Injection möglich 1 SELECT * FROM ZCCINFO 2 INTO l_zccinfo 3 WHERE uname = l_uname 4 AND ta_date = l_date. AppSec Germany 2009 Conference 28
29 AppSec Germany 2009 Open SQL AppSec Germany 2009 Conference 29
30 AppSec Germany 2009 Dynamisches Open SQL - Beispiel AppSec Germany 2009 Conference 30
31 AppSec Germany 2009 Dynamisches Open SQL Interpretiert String-Literal als SQL-Statement Keine Enkodierungsfunktionen vorhanden Benutzerdaten können nicht sauber von SQL- Kommandos getrennt werden SQL-Injection wahrscheinlich, wenn Benutzerdaten in dynamisches SQL-Statement gelangen 1 SELECT (l_felder) FROM (l_table) 2 INTO l_zccinfo 3 WHERE (l_where). AppSec Germany 2009 Conference 31
32 AppSec Germany 2009 Dynamisches Open SQL - Beispiel AppSec Germany 2009 Conference 32
33 AppSec Germany 2009 Dynamisches Open SQL - Beispiel AppSec Germany 2009 Conference 33
34 AppSec Germany 2009 Dynamisches Open SQL AppSec Germany 2009 Conference 34
35 AppSec Germany 2009 Zusammenfassung Open SQL Dynamisches Open SQL führt leicht zu SQL- Injection-Schwachstellen Keine Enkodierungsfunktion vorhanden Prepared-Statement-Injection Vermeiden Sie dynamisches Open SQL in ABAP wenn immer möglich! AppSec Germany 2009 Conference 35
36 AppSec Germany 2009 Zusammenfassung Top 10 TODO A1 - Cross Site Scripting (XSS) A2 - Injection Flaws A3 - Malicious File Execution X A4 - Insecure Direct Object Reference X A5 - Cross Site Request Forgery (CSRF) X A6 - Information Leakage and Improper Error Handling X A7 - Broken Authentication and Session Management - A8 - Insecure Cryptographic Storage X A9 - Insecure Communications X A10 - Failure to Restrict URL Access X AppSec Germany 2009 Conference 36
37 AppSec Germany 2009 Zusammenfassung SAP-Web-Frontends weit verbreitet und prozessieren meist unternehmenskritische Daten Weitere SAP-Web-Frontend-Technologien: Business Server Pages (BSP) X Web Dynpro X Internet Transaction Server X Eigene HTTP-Handler... BSP verlangt viel Eigenleistung für sichere Entwicklung AppSec Germany 2009 Conference 37
38 AppSec Germany 2009 Literatur Sichere ABAP-Programmierung - SAP Press, Wiegenstein, Schumacher, Schinzel, Weidemann SAP Documentation Secure Programming ABAP - SAP AG Security Scanner für ABAP - Vmovie: Security Knowledge on Stage Top 10 AppSec Germany 2009 Conference 38
Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen
Sichere Entwicklung und gängige Schwachstellen in eigenentwickelten SAP-Web- Anwendungen Sebastian Schinzel Virtual Forge GmbH University of Mannheim SAP in a Nutshell Weltweit führendes Unternehmen für
Secure Programming vs. Secure Development
Secure Programming vs. Secure Development Niklaus Schild Senior Consultant Niklaus.schild@trivadis.com Zürich, 10.Juni 2010 Basel Baden Bern Lausanne Zürich Düsseldorf Frankfurt/M. Freiburg i. Br. Hamburg
Web-Sicherheit: Kein fauler Zauber?! Kai Jendrian. <Seminartitel> <Seminartitel>
Web-Sicherheit: Kein fauler Zauber?! Security Consulting GmbH, Karlsruhe Seite 1 Security Consulting GmbH, Karlsruhe Seite 2 Security Consulting GmbH, Karlsruhe Seite 3 Security
am Beispiel - SQL Injection
am Beispiel - SQL Injection Einführung } Warum ist Sicherheit ein Software Thema? } Sicherheit in heutigen Softwareprodukten & Trends } OWASP Top 10 Kategorien Hacking Demo } SQL Injection: der Weg zu
Warum werden täglich tausende von Webseiten gehackt? 16.10.2012
Warum werden täglich tausende von Webseiten gehackt? 16.10.2012 Vorstellung 8com GmbH & Co. KG Tobias Rühle Information Security Consultant Aufgaben Penetrationstests Sicherheit in Funktechnologien Information
am Beispiel - SQL Injection
am Beispiel - SQL Injection Einführung Warum ist Sicherheit ein Software Thema? Sicherheit in heutigen Softwareprodukten & Trends OWASP Top 10 Kategorien Hacking Demo SQL Injection: der Weg zu den Daten
Web Application Security
Web Application Security Was kann schon schiefgehen. Cloud & Speicher Kommunikation CMS Wissen Shops Soziale Netze Medien Webseiten Verwaltung Chancen E-Commerce Kommunikation Globalisierung & Digitalisierung
Design Bugs OWASP The OWASP Foundation Alexios Fakos Senior Security Consultant n.runs AG
Design Bugs 13.10.2009 Alexios Fakos Senior Security Consultant n.runs AG alexios.fakos@nruns.com Copyright The Foundation Permission is granted to copy, distribute and/or modify this document under the
Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte
Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte Web 2.0 (In)Security - Themen Alte Freunde SQL Injections, Code Executions & Co. Cross Site Scripting Cross Site Scripting in der Praxis JavaScript
Georg Heß. Grünes Licht für verlässlichere Online- Services WEB APPLICATION SECURITY. Deutschland sicher im Netz e.v. Köln, 24.01.
Sicherheit von W eb- Applikationen Grünes Licht für verlässlichere Online- Services Deutschland sicher im Netz e.v. Köln, 24.01.2008 Georg Heß Agenda Kurzprofil der art of defence GmbH Sicherheitsleck
Secure Network Communications (BC-SEC-SNC)
Secure Network Communications (BC-SEC-SNC) HELP.BCSECSNC Release 4.6C SAP AG Copyright Copyright 2001 SAP AG. Alle Rechte vorbehalten. Weitergabe und Vervielfältigung dieser Publikation oder von Teilen
Zusammenfassung Web-Security-Check ZIELSYSTEM
Zusammenfassung Web-Security-Check ZIELSYSTEM für KUNDE (nachfolgend Auftraggeber genannt) von secudor GmbH Werner-von-Siemensstraße 6 Gebäude 9 86159 Augsburg (nachfolgend Auftragnehmer genannt) Inhalt
IAC-Programmierung HELP.BCFESITSIACPROG. Release 4.6C
IAC-Programmierung HELP.BCFESITSIACPROG Release 4.6C IAC-Programmierung SAP AG Copyright Copyright 2001 SAP AG. Alle Rechte vorbehalten. Weitergabe und Vervielfältigung dieser Publikation oder von Teilen
itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 2013 OneConsult GmbH www.oneconsult.com
itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 13.03.2013 Agenda Vorstellung Open Web Application Security Project (OWASP) Die OWASP Top 10 (2013 RC1) OWASP Top 3 in der
Der Application Security Verification Standard (ASVS) OWASP 10/2010. The OWASP Foundation http://www.owasp.org. AppSec Germany 2010
Der Application Security Verification Standard (ASVS) 10/2010 Matthias Rohr SEC Consult Deutschland Senior Security Consultant m.rohr@sec-consult.com Copyright The Foundation Permission is granted to copy,
Measuring the Security of Web Applications. OWASP Frankfurt, 25.11.08. The OWASP Foundation http://www.owasp.org
Germany 2008 Conference http://www.owasp.org/index.php/germany Measuring the Security of Web Applications Sebastian Schinzel Virtual Forge GmbH Frankfurt, 25.11.08 +49 622 1 868 900 Copyright The Foundation
WMAP Metasploit 3.2 Module für Pentester von Webapplikationen. OWASP Frankfurt, 25.11.08. The OWASP Foundation http://www.owasp.
Germany 2008 Conference http://www.owasp.org/index.php/germany WMAP Metasploit 3.2 Module für Pentester von Webapplikationen Frankfurt, 25.11.08 Hans-Martin Münch it.sec GmbH & Co KG mmuench@it-sec.de
Sicherheit Web basierter Anwendungen
Sicherheit Web basierter Anwendungen IT Sicherheit Dozent: Prof. Dr. Stefan Karsch Enriko Podehl 13.02.2008 Einleitung it Web basierte basierte Anwendungen Teil unseres Alltags Geben dabei persönliche
Sicherheit in Webanwendungen CrossSite, Session und SQL
Sicherheit in Webanwendungen CrossSite, Session und SQL Angriffstechniken und Abwehrmaßnahmen Mario Klump Die Cross-Site -Familie Die Cross-Site-Arten Cross-Site-Scripting (CSS/XSS) Cross-Site-Request-Forgery
GuiXT und mysap ERP. Regensdorf, April 2004 Dr.Gerhard Rodé, Synactive GmbH
GuiXT und mysap ERP Regensdorf, April 2004 Dr.Gerhard Rodé, Synactive GmbH Hinweis: Einige Aussagen und Diagramme zu den SAP Produkten in dieser Präsentation stammen aus den von SAP im Internet zur Verfügung
6.9 Java Server Pages
DocumentCollection dc = db.ftsearch(abfrage); Document d = dc.getfirstdocument(); while (d!= 0) { String Name = db.gettitle(); out.println(name + ""); d = dc.getnextdocument(); catch (NotesException
Benchmark: Sicherheitslücken & Compliance-
Peter Werner TITEL bearbeiten Dr. Markus Schumacher Benchmark: Sicherheitslücken & Compliance- Risiken Click to im edit ABAP-Code Master text styles von SAP-Anwendungen 2011 2012 Virtual Forge GmbH www.virtualforge.com
Datensicherheit. Vorlesung 7: 29.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter
Datensicherheit Vorlesung 7: 29.5.2015 Sommersemester 2015 h_da Heiko Weber, Lehrbeauftragter Inhalt 1. Einführung & Grundlagen der Datensicherheit 2. Identitäten / Authentifizierung / Passwörter 3. Kryptografie
Sicherheit von Webapplikationen Sichere Web-Anwendungen
Sicherheit von Webapplikationen Sichere Web-Anwendungen Daniel Szameitat Agenda 2 Web Technologien l HTTP(Hypertext Transfer Protocol): zustandsloses Protokoll über TCP auf Port 80 HTTPS Verschlüsselt
7HVWHQYRQ6$3$QZHQGXQJHQPLWGHP([WHQGHG &RPSXWHU$LGHG7HVW7RROH&$77
7HVWHQYRQ6$3$QZHQGXQJHQPLWGHP([WHQGHG &RPSXWHU$LGHG7HVW7RROH&$77 (LQOHLWXQJ Mit der SAP Testworkbench und dem Testtool ecatt können Anwender von SAP Software auf Basis des SAP Web Application Servers ab
OpenWAF Web Application Firewall
OpenWAF Web Application Firewall Websecurity und OpenWAF in 60 Minuten Helmut Kreft Fuwa, 15.11.2010 Agenda Webapplikationen? Furcht und Schrecken! OWASP Top 10 - Theorie und Praxis mit dem BadStore Umgang
OWASP Stammtisch München Sep 2014 XSS und andere Sicherheitslücken aus der Perspektive des Programmcodes
OWASP Stammtisch München Sep 2014 XSS und andere Sicherheitslücken aus der Perspektive des Programmcodes 1 XSS: Cross-Site Scripting 1.) Es gelangen Daten in den Web-Browser, die Steuerungsinformationen
Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10
The OWASP Foundation http://www.owasp.org Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10 Tobias Glemser tobias.glemser@owasp.org tglemser@tele-consulting.com Ralf Reinhardt
Secure Coding & Live Hacking von Webapplikationen. Conect Informunity 8.3.2011
Secure Coding & Live Hacking von Webapplikationen Conect Informunity 8.3.2011 Dr. Ulrich Bayer Security Research Sicherheitsforschung GmbH Motivation Datendiebstahl über (Web)-Applikationen passiert täglich
ZSDGMDZFGW... Zehn Sicherheitsprobleme, die gerne mit dem ZendFramework gebaut werden. Ben Fuhrmannek #phpug-köln 2.10.2009
ZSDGMDZFGW Zehn Sicherheitsprobleme, die gerne mit dem ZendFramework gebaut werden Ben Fuhrmannek #phpug-köln 2.10.2009 Über mich Informatiker Entwickler IT Security 2 TOC Aufbau ZF Problem 1 bis 10 3
Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen
FAEL-Seminar Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen Prof. Dr. Marc Rennhard Institut für angewandte Informationstechnologie InIT ZHAW Zürcher Hochschule für Angewandte
Web Applications Vulnerabilities
Bull AG Wien Web Applications Vulnerabilities Philipp Schaumann Dipl. Physiker Bull AG, Wien www.bull.at/security Die Problematik Folie 2 Der Webserver ist das Tor zum Internet auch ein Firewall schützt
Aktuelle Angriffstechniken auf Web-Applikationen. Andreas Kurtz cirosec GmbH, Heilbronn
Aktuelle Angriffstechniken auf Web-Applikationen Andreas Kurtz cirosec GmbH, Heilbronn Gliederung Schwachstellen-Überblick Präsentation aktueller Angriffstechniken XPath-Injection Cross-Site Request Forgery
Schwachstellenanalyse 2012
Schwachstellenanalyse 2012 Sicherheitslücken und Schwachstellen in Onlineshops Andre C. Faßbender Schwachstellenforschung Faßbender 13.01.2012 Inhaltsverzeichnis 1. Abstract... 3 2. Konfiguration der getesteten
OWASP Top 10 Was t/nun? OWASP Nürnberg, The OWASP Foundation AppSec Germany Dirk Wetter
Top 10 Was t/nun? Nürnberg, 20.10.2010 Dirk Wetter Dr. Wetter IT-Consulting & -Services mail bei drwetter punkt eu dirk punkt wetter bei owasp punkt org +49-(40)-2442035-1 Copyright The Foundation Permission
C O C O O N. Wo ist Cocoon in die Apache Projekte einzureihen?
C O C O O N ein Web-Framework der Apache Software Foundation http://www.apache.org Wo ist Cocoon in die Apache Projekte einzureihen? Apache Server sehr leistungsfähiger HTTP-Server Tomcat Server Referenzimplementierung
Technik der SAP-Anbindung Christian Aigner Team Entwicklung, Kranzberg
Christian Aigner Team Entwicklung, Kranzberg Inhalt Schnell- und Kürzestübersicht über SAP Architektur Inhalt, Login, Session SapGUI Workbench,Editor,Explorer Mechanismen Die Gemeinsamkeiten: nutzbare
Dynamisches SQL. Folien zum Datenbankpraktikum Wintersemester 2009/10 LMU München
Kapitel 4 Dynamisches SQL Folien zum Datenbankpraktikum Wintersemester 2009/10 LMU München 2008 Thomas Bernecker, Tobias Emrich unter Verwendung der Folien des Datenbankpraktikums aus dem Wintersemester
Silverstripe CMS und das Sapphire Framework
Silverstripe CMS und das Sapphire Framework kurz über mich... Seit 2002 mit PHP Typo3, Wordpress, Radiant (RoR) reingeschaut: Symfony, Zend Seit 2009 Webentwicklung mit SilverStripe Geschichte von SilverStripe
Fussball.de JavaScript
Fussball.de JavaScript - larsp_fussballde_js Fussball.de JavaScript Fussball.de JavaScript Extension Key: larsp_fussballde_js Language: de Keywords: Fussball.de Ergebnisse Tabelle Spielplan Bundesliga
Die aktuelle Version des SPIEGEL-Bestseller-Widgets können Sie auf unserer Website unter Entwicklertools herunterladen.
Technische Dokumentation Hier finden Sie die technische Dokumentation für die Einbindung des Bestseller-Widgets. Die Dokumentation soll als Hilfestellung dienen und kann keinen Anspruch auf Vollständigkeit
Benutzerhandbuch bintec R4100 / R4300 Configuration Management. Copyright 17. Juli 2006 Funkwerk Enterprise Communications GmbH Version 1.
Benutzerhandbuch bintec R4100 / R4300 Configuration Management Copyright 17. Juli 2006 Funkwerk Enterprise Communications GmbH Version 1.0 Ziel und Zweck Haftung Marken Copyright Richtlinien und Normen
Vergleich von ERPConnect Services (ECS) gegenüber Duet Enterprise for Microsoft SharePoint and SAP
Vergleich von ERPConnect Services (ECS) gegenüber Duet Enterprise for Microsoft SharePoint and SAP Stand: Mai 2014 Fähigkeiten Duet Enterprise ERPConnect Services Anbindung an existierende SAP Business
Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen
Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen Ralf Reinhardt 28.11.2013, 16:40 Uhr Roadshow Sicheres Internet aiti-park Werner-von-Siemens-Str. 6 86159 Augsburg 1 Hacker-Tool Browser Über
Einführung in Web-Security
Einführung in Web-Security Alexander»alech«Klink Gulaschprogrammiernacht 2013 Agenda Cross-Site-Scripting (XSS) Authentifizierung und Sessions Cross-Site-Request-Forgery ([XC]SRF) SQL-Injections Autorisierungsprobleme
Lokale Installation von DotNetNuke 4 ohne IIS
Lokale Installation von DotNetNuke 4 ohne IIS ITM GmbH Wankelstr. 14 70563 Stuttgart http://www.itm-consulting.de Benjamin Hermann hermann@itm-consulting.de 12.12.2006 Agenda Benötigte Komponenten Installation
1 Allgemeines 4 1.1 Ziel des Dokument... 4 1.2 Name des Dokuement... 4 1.3 Version... 4 1.4 Allgemein... 4 1.5 Status... 4 1.6 Empfänger...
Inhaltsverzeichnis 1 Allgemeines 4 1.1 Ziel des Dokument.............................. 4 1.2 Name des Dokuement............................. 4 1.3 Version..................................... 4 1.4 Allgemein...................................
Installation von NetBeans inkl. Glassfish Anwendungs-Server
Installation von NetBeans inkl. Glassfish Anwendungs-Server Diese Anleitung führt Sie Schritt für Schritt durch die Einrichtung der Entwicklungsumgebung NetBeans, angefangen beim Download der benötigten
SAP Anwendungen im Visier von Hackern Angriffsszenarien und Schutzkonzepte
Dr. Markus Schumacher Dr. Markus Schumacher SAP Anwendungen im Visier von Hackern Angriffsszenarien und Schutzkonzepte INHALT SAP Anwendungen im Visier von Hackern 1. Schutz der Kronjuwelen SAP Systeme
OWASP Top 10 Was t/nun? OWASP Nürnberg, 20.10.2010. The OWASP Foundation http://www.owasp.org. Dirk Wetter
Top 10 Was t/nun? Nürnberg, 20.10.2010 Dirk Wetter Dr. Wetter IT-Consulting & -Services mail bei drwetter punkt eu dirk punkt wetter bei owasp punkt org +49-(40)-2442035-1 Copyright The Foundation Permission
Softwarelizenzen und Open Source
02. Februar 2016 Softwarelizenzen und Open Source Juristisches IT-Projektmanagement Vortrag von Michael Woborschil Inhalt 1. Einführung 2. Lizenzen allgemein 3. Open Source 4. Copyleft 4. Beispiele für
Verteidigung gegen SQL Injection Attacks
Verteidigung gegen SQL Injection Attacks Semesterarbeit SS 2003 Daniel Lutz danlutz@watz.ch 1 Inhalt Motivation Demo-Applikation Beispiele von Attacken Massnahmen zur Verteidigung Schlussfolgerungen 2
Web Data Management Systeme
Web Data Management Systeme Seminar: Web-Qualitätsmanagement Arne Frenkel Agenda Einführung Suchsysteme Suchmaschinen & Meta-Suchmaschinen W3QS WebSQL WebLog Information Integration Systems Ariadne TSIMMIS
Windows Small Business Server (SBS) 2008
September 2008 Windows Small Business Server (SBS) 2008 Produktgruppe: Server Windows Small Business Server (SBS) 2008 Lizenzmodell: Microsoft Server Betriebssysteme Serverlizenz Zugriffslizenz () pro
Netzwerksicherheit Übung 9 Websicherheit
Netzwerksicherheit Übung 9 Websicherheit David Eckhoff, Tobias Limmer, Christoph Sommer Computer Networks and Communication Systems Dept. of Computer Science, University of Erlangen-Nuremberg, Germany
web2py - Web-Framework mit didaktischem Hintergrund Nik Klever Hochschule Augsburg
web2py - Web-Framework mit didaktischem Hintergrund Nik Klever Hochschule Augsburg web2py ein modernes Python-Application-Framework, dessen Ausrichtung ursprünglich auf die Ausbildung von Studierenden
8.4 Überblick und Vergleich weiterer ERP-Systeme. G Oracle Applications 11 G PeopleSoft 7 G J.D. Edwards One World G BaanERP
8.4 Überblick und Vergleich weiterer ERP-Systeme G Oracle Applications 11 G PeopleSoft 7 G J.D. Edwards One World G BaanERP Kapitel 8: ERP-Einführung 32 Architektur von Oracle Applications 11 G Logische
RIPS. Automatisierte Schwachstellenerkennung in PHP-Software mittels statischer Quellcode-Analyse. BSI - 12. Deutscher IT-Sicherheitskongress
BSI - 12. Deutscher IT-Sicherheitskongress 10.-12. Mai.2011, Bonn Automatisierte Schwachstellenerkennung in PHP-Software mittels statischer Quellcode-Analyse, Ruhr-Universität Bochum 1 1.1 Motivation Schwachstellen
Open Source als de-facto Standard bei Swisscom Cloud Services
Open Source als de-facto Standard bei Swisscom Cloud Services Dr. Marcus Brunner Head of Standardization Strategy and Innovation Swisscom marcus.brunner@swisscom.com Viele Clouds, viele Trends, viele Technologien
1. Zusammenfassung der letzten Vorlesung
Websiteentwicklung auf Basis vontypo3 TypoScript Unterlagen zur Vorlesung WS 14/15-6- 1. Zusammenfassung der letzten Vorlesung 2. Marker befüllen 3. Bildbearbeitung mit TypoScript 1 Template anlegen Template
SAP NetWeaver Gateway. Connectivity@SNAP 2013
SAP NetWeaver Gateway Connectivity@SNAP 2013 Neue Wege im Unternehmen Neue Geräte und Usererfahrungen Technische Innovationen in Unternehmen Wachsende Gemeinschaft an Entwicklern Ausdehnung der Geschäftsdaten
WEBAPPLIKATIONEN MIT PHP. Wo gibt es Hilfe? Wie fang ich an?
WEBAPPLIKATIONEN MIT PHP Wo gibt es Hilfe? Wie fang ich an? Tools Webapplikationen bestehen aus Textdateien Lassen sich in Texteditoren schreiben Alternativen: Eclipse (PDT) Netbeans (Dynamic Languages)
IT works unlimited GmbH & Co. KG
Müller arbeitet jetzt anders! Social Mobile Cloud: Neue Wege der Zusammenarbeit IT works unlimited GmbH & Co. KG 12.05.2015 - Paderborn 9 Mitarbeiter 1999 gegründet Geschäftssitz in Paderborn Wir über
PHPIDS Vortrag. PHP Usergroup Frankfurt am Main 14. Februar 2008. Autor: Tom Klingenberg. Web & Applikation
PHPIDS Vortrag PHP Usergroup Frankfurt am Main 14. Februar 2008 Autor: Tom Klingenberg Web & Applikation PHP (PHP: Braucht hier nicht erklärt werden.) IDS IDS: Intrusion Detection System Einbruchsmeldesystem
C++ im Web mit Tntnet
C++ im Web mit Tntnet Schneller und sicherer durch compilierten Code im Web Tommi Mäkitalo Was ist Tntnet? Web-Applikations-Server Template-Sprache zum einbetten von C++ in HTML Seiten werden zur Compilezeit
OERA OpenEdge Reference Architecture. Mike Fechner PUG Infotag 19. Mai 05 Frankfurt
OERA OpenEdge Reference Architecture Mike Fechner PUG Infotag 19. Mai 05 Frankfurt Überblick OERA Separated presentation and integration layers Common business logic with advanced models Data access abstracted
Breaking Your SAP in 60 Seconds Sicherheitslücken und Schwachstellen erkennen & beheben
22. und 23. Februar 2012, NürnbergConvention Center Breaking Your SAP in 60 Seconds Sicherheitslücken und Schwachstellen erkennen & beheben 23. Februar 2012, AK Identity Management & Security Dr. Markus
PM/CS - Datenübernahme in Instandhaltung und Kundenservice
PM/CS - Datenübernahme in Instandhaltung und Kundenservice HELP.CAGTFADMPM Release 4.6C PM/CS - Datenübernahme in Instandhaltung und Kundenservice SAP AG Copyright Copyright 2001 SAP AG. Alle Rechte vorbehalten.
1CONFIGURATION MANAGEMENT
1CONFIGURATION MANAGEMENT Copyright 11. April 2005 Funkwerk Enterprise Communications GmbH Bintec Benutzerhandbuch - X2250 Version 1.0 Ziel und Zweck Haftung Marken Copyright Richtlinien und Normen Wie
Innovative Use Cases & User Interfaces mit SAP Fiori & SAPUI5
PLEASE USE YOUR INDIVIDUAL PICTURE Innovative Use Cases & User Interfaces mit SAP Fiori & SAPUI5 Regensdorf, 2. Dezember 2014 Sirko Pelzl 1 arvato Systems S4M December 11, 2014 Gliederung Über mich Entwicklung
Herzlich willkommen zur Kurzvorlesung: Die häufigsten Fehlerquellen bei der Erstellung von Webapplikationen. Udo H. Kalinna. Nürnberg, den 10.10.
Herzlich willkommen zur Kurzvorlesung: Die häufigsten Fehlerquellen bei der Erstellung von Webapplikationen Udo H. Kalinna Nürnberg, den 10.10.2013 AGENDA Kein Tag ohne Hack! Sind diese Schwachstellen
Betroffene Produkte: Alle Versionen von Oracle Forms (3.0-10g, C/S und Web), Oracle Clinical, Oracle Developer Suite
Zusammenfassung: Alle Oracle Forms Anwendungen sind per Default durch SQL Injection angreifbar. Oracle Applications >=11.5.9 ist davon nicht betroffen, da hier standardmäßig der Wert FORMSxx_RESTRICT_ENTER_QUERY
Abbildung der Gefährdungen der WASC und OWASP auf die Gefährdungen und Maßnahmenempfehlungen des IT-Grundschutz-Bausteins B 5.
Abbildung der Gefährdungen der WASC und OWASP auf die Gefährdungen und Maßnahmenempfehlungen des IT-Grundschutz-Bausteins B 5.21 Die Zusammenstellung der Gefährdungen für den Baustein 5.21 bediente sich
Praktische Erfahrungen aus hunderten von Sicherheitsabnahmen German OWASP Day 2014. Dr. Amir Alsbih CISO Haufe Gruppe
Praktische Erfahrungen aus hunderten von Sicherheitsabnahmen German OWASP Day 2014 Dr. Amir Alsbih CISO Haufe Gruppe 1 Agenda Hintergrund Zertifizierungen SaaS Service Applikationsentwicklung Summary 2
TYPO3 Slide 1 www.lightwerk.com 2005 Lightwerk GmbH
TYPO3 Slide 1 Inhaltsverzeichnis Was ist ein CMS Was ist TYPO3 Editier-Möglichkeiten / Frontend-Editieren Slide 2 Was ist ein CMS (WCMS) Ein Web Content Management System (WCMS) ist ein Content-Management-System,
Robuste und Praktikable Ansätze zur Verhinderung von Sicherheitsdefekten. Christoph Kern, Google
Robuste und Praktikable Ansätze zur Verhinderung von Sicherheitsdefekten Christoph Kern, Google Weit verbreitete Sicherheitslücken SQL-injection, XSS, XSRF, etc -- OWASP Top 10 Grundproblem: APIs/Frameworks
Was ist bei der Entwicklung sicherer Apps zu beachten?
Was ist bei der Entwicklung sicherer Apps zu beachten? Ein Leitfaden zur sicheren App 1 Über mich Consultant für Information Security Studium der Wirtschaftsinformatik an der Hochschule München Entwicklung
Mit CodeProfiler effizient und schnell Qualitätsdefizite in Ihrem ABAP Code aufdecken
Dr. Markus Schumacher Dr. Markus Schumacher Mit CodeProfiler effizient und schnell Qualitätsdefizite in Ihrem ABAP Code aufdecken INHALT SAP Anwendungen im Visier von Hackern 1. Schutz der Kronjuwelen
Albert HAYR Linux, IT and Open Source Expert and Solution Architect. Open Source professionell einsetzen
Open Source professionell einsetzen 1 Mein Background Ich bin überzeugt von Open Source. Ich verwende fast nur Open Source privat und beruflich. Ich arbeite seit mehr als 10 Jahren mit Linux und Open Source.
FileBox Solution. Compass Security AG. Cyber Defense AG Werkstrasse 20 Postfach 2038 CH-8645 Jona
Compass Security Cyber Defense AG Werkstrasse 20 T +41 55 214 41 60 F +41 55 214 41 61 admin@csnc.ch FileBox Solution Name des Dokumentes: FileBox_WhitePaper_de.doc Version: v2.0 Autor: Ivan Bütler Unternehmen:
Workflow, Business Process Management, 4.Teil
Workflow, Business Process Management, 4.Teil 24. Januar 2004 Der vorliegende Text darf für Zwecke der Vorlesung Workflow, Business Process Management des Autors vervielfältigt werden. Eine weitere Nutzung
HERZLICH WILLKOMMEN SHAREPOINT 2013 - DEEP DIVE FOR ADMINS 11.09.2012 IOZ AG 2
11.09.2012 IOZ AG 1 HERZLICH WILLKOMMEN SHAREPOINT 2013 - DEEP DIVE FOR ADMINS 11.09.2012 IOZ AG 2 AGENDA Über mich Architekturänderungen Systemvoraussetzungen Migration Fragen 11.09.2012 IOZ AG 3 ÜBER
Allgemeine Informationen
Allgemeine Informationen www.siemens.com/sizer-we Dieses Dokument bietet allgemeine Informationen über die Anwendung SIZER WEB ENGINEERING, inklusive Registrierung. Siemens AG, 2011. All Rights Reserved.
Frankfurt, 15.05.2012
DOAG SIG Middleware Frankfurt, 15.05.2012 Jan Peter Timmermann PITSS GmbH 1 Copyright 2011 PITSS GmbH www.pitss.com Agenda Motivation für diesen Vortrag Sicherheitsrisiken im Netz Was war bisher möglich
OWASP. Open Web Application Security Project. Dr. Ingo Hanke. IDEAS Information & Design Applications. Dr. Ingo Hanke
OWASP IDEAS Information & Design Applications O WA S P O WA S P WA S ist Web Application Security? Part I: Web Application Security Aufgabe 1 Werte identifizieren Personenbezogene Daten Sachdaten Prozesse
Business-Rule-Management als Instrument des Software-Reengineering
Business-Rule-Management als Instrument des Software-Reengineering Olaf Resch Olaf Resch am 4. Mai 2005 in Bad Honnef 1 Agenda Software und Wissen. Verschmelzung als Evolutionshindernis. Business-Rule-Technologie.
IT-Sicherheit in Unternehmen: Typische Probleme und Lösungsmöglichkeiten OWASP 17.11.2011. The OWASP Foundation http://www.owasp.org.
IT-Sicherheit in Unternehmen: Typische Probleme und Lösungsmöglichkeiten Amir Alsbih 17.11.2011 http://www.xing.com/profile/amir_alsbih http://de.linkedin.com/pub/amiralsbih/1a/19a/b57 Copyright The Foundation
Web Sockets mit HTML5. Quelle: www.html5rocks.com/de
Web Sockets mit HTML5 Quelle: www.html5rocks.com/de Intensive Client-Server-Kommunikation: Beispiele Online-Spiele mit mehreren Mitspielern Chat-Anwendungen Live-Sport-Ticker Echtzeit-Aktualisierungen
EXT: kool_leute. Extension Key: kool_leute Copyright 2008-2009, Renzo Lauper, <renzo.lauper@kircheonline.ch>
EXT: kool_leute Extension Key: kool_leute Copyright 28-29, Renzo Lauper, This document is published under the Open Content License available from http://www.opencontent.org/opl.shtml
Sichere Webapplikationen nach ONR 17700 oder Wer liest meine Emails?
Sichere Webapplikationen nach ONR 17700 oder Wer liest meine Emails? Advisor for your information security. Essen, 10.-13. Oktober 2006 Version 1.0 SEC Consult Advisor for your information security Information
crm-now/ps Webforms Webdesigner Handbuch Erste Ausgabe
crm-now/ps Webforms Webdesigner Handbuch Erste Ausgabe crm-now/ps Webforms: Webdesigner Handbuch Copyright 2006 crm-now Versionsgeschichte Version 01 2006-08-21 Release Version crm-now c/o im-netz Neue
JSP vs. PHP. Ein persönlicher Vergleich. EQUIcon Software GmbH Jena, Jörg Spilling Frankfurter Treffen 2004. Agenda
JSP vs. PHP Ein persönlicher Vergleich Agenda JSP-Ursprung Warum dann noch PHP ansehen? Der erste Eindruck Ein Beispiel in JSP & PHP: mein Flugbuch Der Versuch eines Vergleichs Fazit Bemerkung alles persönliche
MOC 20486 - Entwicklung von ASP.NET MVC 4 Webapplikationen
MOC 20486 - Entwicklung von ASP.NET MVC 4 Webapplikationen Kompakt-Intensiv-Training Diese Schulung bereitet Sie optimal auf die MOC-Zertifzierung vor. Zu Beginn der Schulung erhalten Sie einen Überblick
Baustein Webanwendungen. Stephan Klein, Jan Seebens
Baustein Webanwendungen Stephan Klein, Jan Seebens Agenda Bedrohungslage für Webanwendungen Baustein Webanwendungen 1) Definition und Abgrenzung 2) Goldene Regeln 3) Spezifische Gefährdungen 4) Spezifische
Python SVN-Revision 12
Python SVN-Revision 12 Uwe Ziegenhagen 7. Januar 2012 Vorwort Dieses Skript erhebt keinen Anspruch auf Vollständigkeit oder Richtigkeit. Es wird geschrieben, um mir als Gedächtnisstütze für den Umgang
Faclets. Eine alternative View Technologie um JSF Applikationen OHNE JSP zu entwickeln Wird unter java.net gehostet Open Source, CDDL Lizenz
Facelets Faclets Eine alternative View Technologie um JSF Applikationen OHNE JSP zu entwickeln Wird unter java.net gehostet Open Source, CDDL Lizenz (COMMON DEVELOPMENT AND DISTRIBUTION LICENSE) Von Jacob
Facebook I-Frame Tabs mit Papoo Plugin erstellen und verwalten
Facebook I-Frame Tabs mit Papoo Plugin erstellen und verwalten Seit Anfang Juni 2012 hat Facebook die Static FBML Reiter deaktiviert, so wird es relativ schwierig für Firmenseiten eigene Impressumsreiter
Sage 200 BI Häufige Fehler & Lösungen. Version 15.10.2014
Sage 200 BI Häufige Fehler & Lösungen Version 15.10.2014 Inhaltverzeichnis Sage 200 BI Häufige Fehler & Lösungen Inhaltverzeichnis 2 1.0 Häufige Probleme & Lösungen 3 1.1 Keine Grafiken in SSRS-Auswertungen
Secure Webcoding for Beginners
Secure Webcoding for Beginners $awareness++ Florian Brunner Florian Preinstorfer 09.06.2010 Hacking Night 2010 Vorstellung Florian Brunner Software Engineer CTF-Team h4ck!nb3rg Student sib08 Florian Preinstorfer