Evaluation geeigneter Plugins im Bereich Web Application Vulnerabilities für die Integration ins ASTF

Größe: px
Ab Seite anzeigen:

Download "Evaluation geeigneter Plugins im Bereich Web Application Vulnerabilities für die Integration ins ASTF"

Transkript

1 Evaluation geeigneter Plugins im Bereich Web Application Vulnerabilities für die Integration ins ASTF Seminararbeit Eingereicht bei Dr. Marc Rennhard Kevin Denver Winterthur, 20. November 2008

2 Abstract Dieser Bericht wurde im Rahmen einer Seminarbeit für das MSE Studium am Institut für Angewandte Wissenschaften (InIT) geschrieben. Das Automated Security-Testing Framework (ASTF), welches im Rahmen eines KTI-Projekts am InIT entwickelt wurde, vereinigt verschiedene Security Testing- Tools, um Online-Applikationen konsequent und reproduzierbar bezüglich Sicherheit zu testen. Ein Bereich, der momentan nur ungenügend abgedeckt ist, ist die Detektion von typischen Web Application Vulnerabilities wie Cross-Site Scripting, SQL Injection etc. Dies soll im Rahmen dieser Seminararbeit untersucht werden. Es wurden 13 Vulnerability Scanner evaluiert und getestet, wobei kommerzielle wie auch OpenSource Produkte berücksichtigt wurden. Die Tools wurden anhand einer auf PHP und MySQL basierenden Versuchsanordnung getestet. Die identifizierten Kandidaten wurden am Schluss an einer Rich Internet Application nochmals getestet. Folgende drei OpenSource Produkte haben alle Anforderungen erfüllt und würden sich für die Integration ins ASTF eignen: w3af, wapiti und sqlmap. Bei w3af und wapiti handelt es sich um Frameworks, die nicht nur auf die Detektierung von Cross-Site Scripting und SQL-Injections ausgelegt sind. Sqlmap ist sehr stark in der Erkennung von Blind-SQL Injection Schwachstellen. i

3 Abstract This report was written at the Institut für angewandte Informationstechnologie (InIT) as a seminary work. The Automated Security Testing Framework (ASTF) which has been developed at the InIT as part of a KTI-Project, combines different security testing tools. ASTF is used to audit the security of online applications. The detection of typical web application vulnerabilities like Cross-Site Scripting and SQL Injection etc. is not optimally covered. The goal of this report is to identify commercial or free available web vulnerability scanner which can be integrated into ASTF. This report covers 13 web vulnerability scanners which have been tested using three rich internet applications and testcases solely written for this purpose. Following candidates have been identified to find most vulnerabilities: w3af, wapiti and sqlmap. These are all OpenSource products which can be integrated into ASTF. ii

4 Kontakt Zürcher Hochschule Winterthur c/o Institut für angewandte Informationstechnologie InIT Steinberggasse 13 Postfach 805 CH-8401 Winterthur Tel.: Fax: Name Kürzel Funktion Denver Kevin denk Student Rennhard Marc rema Betreuer & Advisor iii

5 Inhaltsverzeichnis 1 Einleitung Einführung und Motivation Ziel der Arbeit ASTF Plugin-System Wrapper-Klasse Technische Details zu Web Vulnerability Scanner Übersicht Fuzz Testing Webcrawler Detektierung von Schwachstellen Evaluation Bewertungskriterien Vorgehensweise Versuchsanordnung Dateistruktur Cross-Site Scripting (SS) SQL Injection Blind-SQL Injection wapiti w3af sqlmap Paros Proxy OWASP WebScarab Grendel-Scan Burp-Suite BSQL-Hacker iv

6 Inhaltsverzeichnis 3.12 Syhunt Sandcat Acunetix WVS Hewlett-Packard Scrawlr Milescan Web Security Auditor IBM Rational AppScan Standard Edition Testergebnisse Details zum Testergbniss von Syhunt Sandcat Details zum Testergbniss von Milescan Web Security Auditor Auswertung & Fazit Auswertung Test der Kandidaten an einer Rich Internet Application Unkonforme HTML Formulare Anhang 30 Abbildungsverzeichnis Tabellenverzeichnis Listings Literaturverzeichnis A Originale Aufgabenstellung 34 v

7 KAPITEL 1 Einleitung Dieses erste Kapitel soll die Motivation, Idee und das Ziel dieses Berichtes wiedergeben. Anschliessend wird das Plugin-System des ASTF Frameworks erläutert und die Anforderungen beschrieben, welche das Framework an Plugins stellt. 1.1 Einführung und Motivation Das Automated Security-Testing Framework (ASTF), welches im Rahmen eines KTI-Projekts am InIT entwickelt wurde, vereinigt verschiedene Security Testing-Tools, um Online-Applikationen konsequent und reproduzierbar bezüglich Sicherheit zu testen. Ein Bereich, der momentan nur ungenügend abgedeckt ist, ist die Detektion von typischen Web Application Vulnerabilities wie Cross-Site Scripting, SQL Injection etc. Dies soll im Rahmen dieser Seminararbeit untersucht werden. 1.2 Ziel der Arbeit Dieser technische Bericht evaluiert mögliche Applikationen, welche als Erweiterungen in das ASTF Framework integriert werden können. Die Applikationen werden auf ihre Funktionalität und Tauglichkeit untersucht. Dieser Bericht dient dem projektinternen Gebrauch und verzichtet deswegen auf die Erklärung von technischen Details bezüglich Cross-Site Scripting und SQL Injection Vulnerabilities. Weiterführende Literatur ist im Anhang angegeben. Kapitel 1. Einleitung 1

8 1.3 ASTF Plugin-System Das ASTF Framework ist in der Lage, externe Applikationen anzusprechen und deren Resultate in den vom ASTF Framework generierten Report einfliessen zu lassen. Damit das ASTF Framework eine Applikation integrieren bzw. als Plugin verwenden kann, muss diese vier Bedingungen erfüllen: Automatisierter Aufruf ohne Benutzerinteraktion Reproduzierbarkeit der Tests Erstellung eines Berichts / Reports Lauffähig unter Linux Kann je nach Installationsort variieren Das ASTF Framework verwendet eine in Java geschriebene Wrapper-Klasse, um eine externe Applikation als Plugin zu integrieren. Diese Wrapper-Klasse vereinheitlicht den Zugriff auf externe Applikationen und stellt nützliche Methoden und Funktionen bereit. Abbildung 1.1 verdeutlicht diesen Sachverhalt. Abbildung 1.1: ASTF Plugin System Sobald ein Testlauf durchgeführt wird, werden die gewünschten Plugins ausgeführt. Die von den Plugins erstellten Berichte bzw. Reports werden mit der Wrapper-Klasse in ein ASTF kompatibles Format konvertiert. Erstellt eine Applikation keinen Report bzw. generiert nur Konsolen-Output, kann dieser Output mit ein wenig Implementationsaufwand innerhalb des Wrappers abgefangen und konvertiert werden. Kapitel 1. Einleitung 2

9 1.3.1 Wrapper-Klasse Wie bereits erwähnt, stellt die Klasse mit dem Namen: com.privasphere.astf.plugin. ASTFPlugin nützliche Funktionen bereit, die von den pluginspezifischen Wrapper-Klassen geerbt werden können (siehe Abbildung 1.2). Da die run Methode abstrakt definiert wurde, muss diese Methode als einzige überschrieben werden, um ein neues Plugin anzusprechen. Durch den Abstraktionslayer mit der ASTFPlugin Klasse, wird der Zugriff auf die Plugins vereinheitlicht und sauber modeliert. Abbildung 1.2: ASTF Plugin Wrapper-Klasse Um ein Plugin vollends in das ASTF Framework zu integrieren, sind noch zwei ML Dateien mit Konfigurationsanweisungen zu erstellen. Weitere Details zur Konfiguration und Ausführung von Plugins können in der technischen Dokumentation des ASTF Frameworks nachgelesen werden (siehe [ASTF, 2008]). Kapitel 1. Einleitung 3

10 KAPITEL 2 Technische Details zu Web Vulnerability Scanner Dieses Kapitel soll eine Einführung in die Funktionsweise von heute aktuellen Web Vulnerability Scanner geben. Ein Schwerpunkt liegt in der Technik, welche die Scanner verwenden, um Schwachstellen in Webapplikationen aufzudecken. 2.1 Übersicht Auf fachbezogenen Webseiten wie SecurityFocus 1 und SecTools 2 findet man eine Vielzahl von verschiedenen Tools, welche die Sicherheit von Webseiten und Webservern überprüfen. Dabei variiert der Fokus dieser Applikationen stark. Grundsätzlich können diese aber in fünf Kategorien eingeteilt werden: 1. Scanner, die den Webserver auf Schwachstellen überprüfen 2. Scanner, die eine Webapplikation auf Cross-Site Scripting überprüfen 3. Scanner, die eine Webapplikation auf SQL Injection überprüfen 4. Tools, die via ein Proxy-Modul manuell Daten über eine Webapplikation sammeln 5. Frameworks, die alle oben genannten Punkte vereinen Nicht nur der Fokus, sondern auch die Qualität der Tools variiert stark. Obwohl kommerzielle Produkte sicherlich qualitativ hochwertig sind, fehlt ihnen der automatisierte Aspekt, der die Integration in das ASTF Framework erlaubt. Die Scanner, welche sich via Proxy zwischen den Browser und der Webapplikation befinden, können nicht genügend automatisiert werden, als dass sie für die Integration in das ASTF Framework in Frage kommen würden. Diese Art von Scanner erwartet, dass ein Benutzer 1 [ ] 2 [ ] Kapitel 2. Technische Details zu Web Vulnerability Scanner 4

11 die Webseite verwendet und der Scanner sammelt dabei die benötigten Daten um nach Schwachstellen zu suchen. Weiter muss erwähnt werden, dass es auch Tools gibt, die zusätzlich zu SQL Injections und SS Schwachstellen auch nach Cross-Site Request Forgery Schwachstellen suchen. 2.2 Fuzz Testing Scanner, welche in die Kategorie 2 und 3 fallen, verwenden meist alle dieselbe Technik, um Schwachstellen in Webapplikationen aufzudecken. Die Technik wird im Fachjargon Fuzz Testing genannt. Dabei werden Eingabefelder von HTML Formularen mit Daten gefüttert. Nach Absenden der Daten analysiert der Scanner das Verhalten der Applikation. Stürzt diese ab oder liefert Fehlermeldungen, so ist dies ein Zeichen, dass die Applikation eine Schwachstelle besitzt, wobei Scanner meist eine vorgefertigte Liste mit funktionierenden SQL- oder JavaScript Befehlen verwenden, um die Applikation auf Schwachstellen zu untersuchen (siehe Listing 2.1). Die Fuzz Testing Technik kann auf jede beliebige Applikation angewendet werden, die eine Art von Benutzereingabe erwartet. Der grosse Nachteil von Fuzz Testing besteht darin, dass nur simple Schwachstellen aufgedeckt werden können. Versteckt eine Applikation jegliche Fehlermeldungen vor dem Benutzer, so hat ein Scanner kaum eine Möglichkeit festzustellen, ob die Seite verwundbar ist. Allenfalls können die vom Webserver gesendeten HTML-Replies als Indiz für eine Schwachstelle verwendet werden. Fuzzer können nur einen Bruchteil der Applikation testen. Für bessere und genauere Tests müssen vorher definierte Testfälle verwendet werden. 1 POST / vuln / s q l / index. php HTTP/ 1. 1 userid=<script>a l e r t 2 ( Bn3khyi1DLRVlD1e)</SCRIPT> 2 POST / vuln / s q l / index. php HTTP/ 1. 1 userid =52" OR "52"="52 3 POST / vuln / s q l / index. php HTTP/ 1. 1 userid =52" AND "52"="53 4 POST / vuln / s q l / index. php HTTP/ 1. 1 userid =52 OR 52 = 52 5 POST / vuln / s q l / index. php HTTP/ 1. 1 userid =52 AND 52 = 53 6 POST / vuln / s q l / index. php HTTP/ 1. 1 userid=52 OR 52=52 7 POST / vuln / s q l / index. php HTTP/ 1. 1 userid=52 AND 52=53 8 POST / vuln / s q l / index. php HTTP/ 1. 1 userid=d z "0 Listing 2.1: Generierter HTTP Traffic eines Vulnerability Scanners 2.3 Webcrawler Manche Scanner kombinieren das Fuzz Testing zusätzlich mit einem Webcrawler. Dies automatisiert die Erkennung von Schwachstellen weiter. Webcrawler sind in der Lage, Strukturen von Webapplikationen zu analysieren. Sie verfolgen dabei Hyperlinks, welche sie auf einem zuvor konfigurierten Startpunkt finden. Die eingesetzten Webcrawler sind für das Auffinden von HTML Formularen optimiert. Die gefundenen Formulare können anschliessend mittels dem Fuzz Testing überprüft werden. Abbildung 2.1 Kapitel 2. Technische Details zu Web Vulnerability Scanner 5

12 zeigt wie typische Web Vulnerability Scanner funktionieren und wie sie die beiden oben genannten Techniken einsetzen. Abbildung 2.1: Typische Funktionsweise eines Web Vulnerability Scanners Die Limiten von automatisierten Webcrawlern liegen im sogenannten Deep-Web 3. Als Deep-Web werden diejenigen Webseiten bezeichnet, die erst durch eine Anfrage dynamisch aus Datenbanken generiert werden. Dadurch kann ein Crawler nie alle möglichen Seiten analysieren. Zusätzlich gibt es Bereiche, die durch eine Loginmaske geschützt sind. Ohne Konfiguration können die Scanner diesen Schutzmechanismus nicht überwinden. 2.4 Detektierung von Schwachstellen Scanner verwenden zwei Methoden, um Schwachstellen zu erkennen. Zum einen untersuchen sie die Antwort des Webservers nachdem dieser ein HTML Formular verarbeitet hat. Zum anderen können sie die HTML Status Codes untersuchen, um Abweichungen vom üblichen Verhalten festzustellen. Untersucht ein Scanner die Antwort des Servers, so sucht dieser meist nach bekannten Stichwörtern. Dazu gehören Standard-Fehler-Meldungen der verwendeten Datenbank. Verwendet man MySQL kann solch eine Fehlermeldung wie folgt lauten: You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near at line 1 Werden HTML Status Codes verwendet, so kann ein Scanner unterscheiden, ob sich der Status Code der Server Antwort seit dem letzten Aufruf verändert hat Auch Hidden- oder Invisible Web genannt. 4 siehe RFC 2616 für eine Liste von möglichen HTTP Status Codes Kapitel 2. Technische Details zu Web Vulnerability Scanner 6

13 KAPITEL 3 Evaluation Dieses Kapitel beinhaltet die Evaluation verschiedener Web Vulnerability Scanner. In einem ersten Schritt sollen die wichtigsten Kriterien hervorgehoben werden, die bei der Evaluierung einer Applikation von Bedeutung sind. In einem weiteren Schritt wird die Versuchsanordnung erläutert, die verwendet wurde, um die Scanner zu testen. Anschliessend wird auf jede getestete Applikation ausführlich eingegangen. 3.1 Bewertungskriterien Auf folgende Kriterien wurde bei der Evaluierung geachtet. Umfang der Features Erkennungsrate von Schwachstellen Integrationsaufwand Automatisierung des Audits Kosten 3.2 Vorgehensweise Um mögliche Applikationen für die Evaluation zu finden, wurde hauptsächlich das Internet verwendet. Folgende Webseiten besitzen eine Liste von Web Vulnerability Scanner: Kapitel 3. Evaluation 7

14 Versuchsanordnung Die Versuchsanordnung umfasst mehrere Testfälle. Testfälle mit dem Namen xx_test_1.php erlauben die Ausführung von böswilligem JavaScript- und SQL-Code. Testfälle mit dem Namen xx_test _2.php schützen sich mittels Open Source Bibliotheken gegen diese Code Injection Attacken. Dazu gehört SafeSQL 1 und Inputfilter 2. Die Testfälle im Ordner bsql unterdrücken jegliche Fehlermeldungen, darum handelt es sich bei diesen Fällen um Blind-SQL Injection Schwachstellen. Zusätzlich existiert ein geschützter Bereich login/, der mittels einem Anmeldeformular betreten werden kann. Im geschützen Bereich befinden sich die gleichen Testfälle wie im ungeschützten Bereich. Die Scanner sollen anhand dieser Testfälle miteinander verglichen werden. Die Versuchsanordnung verwendet PHP 5 und MySQL Dateistruktur /vuln sql...sql Injection Test sql_test_1.php sql_test_2.php bsql... Blind-SQL Injection Test bsql_test_1.php bsql_test_2.php xss... SS Test xss_test_1.php xss_test_2.php login...login secured content sql...sql Injection Test sql_test_1.php sql_test_2.php bsql... Blind-SQL Injection Test bsql_test_1.php bsql_test_2.php xss... SS Test xss_test_1.php xss_test_2.php index.php... Login Sitemap index.php...sitemap Abbildung 3.1: Dateistruktur der Versuchsanordnung 1 [ ] 2 [ ] Kapitel 3. Evaluation 8

15 3.3.2 Cross-Site Scripting (SS) Listing 3.1 zeigt den SS Testfall Nummer 1 mit einer SS Schwachstelle. Der Code auf Zeile 3 gibt die Benutzereingaben ohne Überprüfung aus. Dies ermöglicht, fremden JavaScript Code auf der Seite einzubetten. 1 <?php 2 i f ( i s s e t ( $_POST [ value ] ) ) { 3 echo $_POST [ value ]. "<br / >"; 4 } 5?> 6 <!DOCTYPE HTML PUBLIC " //W3C//DTD HTML //EN" " http : / /www. w3. org /TR/ html4/ s t r i c t. dtd"> 7 <html> 8 <head> 9 < t i t l e >SS & SQL I n j e c t i o n Test </ t i t l e > 10 </head> 11 <body> 12 <form method="post " action="index. php" name="xssform"> 13 <input type=" t e x t " name="value " /> 14 <input type="submit " /> 15 </form> 16 </body> 17 </html> Listing 3.1: xss_test_1.php SQL Injection Listing 3.2 zeigt den SQL Injection Testfall Nummer 1. Der Code auf Zeile 6 übernimmt Benutzeringaben ohne Überprüfing in das SQL Query, welches anschliessend an die Datenbank übermittelt wird. Somit kann fremder SQL Code eingebettet werden. 1 <?php 2 i f ( i s s e t ( $_POST [ userid ] ) ) { 3 $ l i n k = mysql_connect ( l o c a l h o s t, vuln, mszsrjfpybm3munt ) ; 4 i f (! $ l i n k ) { die ( mysql_error ( ) ) ; } 5 mysql_select_db ( vuln, $ l i n k ) ; 6 $query = "SELECT username FROM user WHERE userid = ". $_POST [ userid ]. " " ; 7 $ r e s u l t = mysql_query ( $query ) ; 8 i f (! $ r e s u l t ) { die ( mysql_error ( ) ) ; } 9 } 10?> 11 <!DOCTYPE HTML PUBLIC " //W3C//DTD HTML //EN" " http : / /www. w3. org /TR/ html4/ s t r i c t. dtd"> 12 <html> 13 <head> 14 < t i t l e >SS & SQL I n j e c t i o n Test </ t i t l e > 15 </head> 16 <body> 17 <form method="post " action="index. php" name="sqlform"> 18 Enter UserId : <input type=" t e x t " name=" userid " /> Kapitel 3. Evaluation 9

16 19 <input type="submit " /> 20 </form> 21 <?php 22 i f ( i s s e t ( $_POST [ userid ] ) { 23 while ( $row = mysql_fetch_array ( $ r e s u l t ) ) { 24 echo "Username : ". $row [ 0 ] ; echo "<br / >"; 25 } 26 mysql_close ( $ l i n k ) ; 27 } 28?> 29 </body> 30 </html> Listing 3.2: sql_test_1.php Auf den nachfolgenden Seiten werden die einzelnen Tools genauer beschrieben. Die Resultate zu den einzelnen Tools befinden sich im Abschnitt Blind-SQL Injection Bei den Blind-SQL Injection Testfällen handelt es sich um die gleichen Testfälle wie bei den normalen SQL Injection Testfällen. Der einzige Unterschied besteht darin, dass die Fehlermeldungen unterdrückt werden. Kapitel 3. Evaluation 10

17 3.4 wapiti OS: Independent Open Source: Yes Language: Python Version: BETA Focus: SQL Injection & SS URL: Last Release: ASTF integration possible: Yes Beschreibung Wapiti allows you to audit the security of your web applications. It performs black-box scans, i.e. it does not study the source code of the application but will scans the webpages of the deployed webapp, looking for scripts and forms where it can inject data. Once it gets this list, Wapiti acts like a fuzzer, injecting payloads to see if a script is vulnerable. 3 Wapiti ist ein sehr ausgereiftes Tool, welches über einen internen WebCrawler verfügt. Wapiti braucht lediglich eine Start-URL, um die Applikation anschliessend zu testen. Report: Nach Abschluss des Audits erstellt Wapiti einen Report im ML sowie im HTML Format. Login: Damit Wapiti Zugriff auf den geschützten Bereich der Applikation erhält, der durch ein Anmeldeformular gesichert ist, existiert ein zusätzliches Script. Das Script erlaubt es, nach erfolgreicher Benutzerauthentifizierung das vom Webserver gesendete Cookie in eine Text-Datei abzulegen. Das gespeicherte Cookie kann beim tatsächlichen Scan durch einen Kommandozeilen-Parameter übergeben werden. Wapiti erhält somit Zugriff auf den geschützen Bereich. Listing 3.3 verdeutlicht die Anwendung dieses Scripts. Dabei werden die erhaltenen Cookie Informationen in die cookie.txt Datei gespeichert. 1 cmd:> python getcookie. py cookie. t x t http : / / l o c a l h o s t / vuln / l o g i n / index. php 2 Please enter values f o r the f o l l i n g form : 3 u r l = http : / / l o c a l h o s t / vuln / l o g i n / index. php 4 username ( on ) : admin 5 password ( on ) : admin 6 send ( SignOn ) : 7 0 : <Cookie PHPSESSID=e826ee94ba273b93b9a1b94eb51ab2a9 f o r l o c a l h o s t. l o c a l /> Listing 3.3: Wapiti Tool um Session Cookies zu speichern SSL: Den Zugriff auf die Testcases via SSL meisterte Wapiti erfolgreich und lieferte dieselben Ergebnisse wie ohne SSL. 3 [ ] Kapitel 3. Evaluation 11

18 3.5 w3af OS: Independent Open Source: Yes Language: Python Version: beta 7 Focus: Audit & Explotation Framework URL: Last Release: ASTF integration possible: Yes Beschreibung w3af is a Web Application Attack and Audit Framework. The project goal is to create a framework to find and exploit web application vulnerabilities that is easy to use and extend. 4 w3af wird als Metasploit 5 für Webapplikationen beschrieben. w3af besitzt über 130 Plugins, welche eine Applikationen auf Herz und Nieren überprüfen. Dazu gehören Plugins wie die Erkennung von Webserver Schwachstellen mittels Nikto, SS und SQL Injection Plugins. Report: Nach Abschluss des Audits erstellt w3af einen Report im HTML Format. Login: w3af verwendet ein Proxy-Plugin, um Cookies für den geschützten Bereich einer Applikation abzufangen. Dies würde normalerweise die Interaktion eines Benutzers voraussetzen. Mittels curl 6 kann dies aber weiter automatisiert werden. Listing 3.4 verdeutlicht die Anwendung von curl. Dabei werden die zu sendenen POST-Daten über den -F Parameter spezifiziert. 1 cmd:> c u r l. exe F "username=admin&password=admin" proxy : http : / / l o c a l h o s t / vuln / l o g i n / index. php 3 cmd:> c u r l. exe proxy : http : / / / spiderman? terminate Listing 3.4: w3af Automatisierung SSL: Den Zugriff auf die Testcases via SSL meisterte w3af erfolgreich und lieferte dieselben Ergebnisse wie ohne SSL. 4 [ ] 5 [ ] 6 curl is a command line tool for transferring files with URL syntax - [ ] Kapitel 3. Evaluation 12

19 3.6 sqlmap OS: Independent Open Source: Yes Language: Python Version: Focus: Known SQL Injection Bug Explotation URL: Last Release: ASTF integration possible: Yes (with configuration) Beschreibung sqlmap is an automatic SQL injection tool developed in Python. Its goal is to detect and take advantage of SQL injection vulnerabilities on web applications. Once it detects one or more SQL injections on the target host, the user can choose among a variety of options to perform an extensive back-end database management system fingerprint, retrieve DBMS session user and database, enumerate users, password hashes, privileges, databases, dump entire or user s specific DBMS tables/columns, run his own SQL SELECT statement, read specific files on the file system and much more. 7 sqlmap gehört nicht zu der Kategorie von Scannern, die einen WebCrawler besitzen. Deswegen ist sqlmap nicht in der Lage, eine Applikation automatisiert nach SQL-Injection Schwachstellen abzusuchen. Jedoch liegen die Stärken von sqlmap in der Detektierung von Blind-SQL Injection Schwachstellen, sobald ein Benutzer genügend Informationen liefert. 1 cmd:>sqlmap current db t a b l e s D vuln method POST data=" userid =1" 2 u http : / / l o c a l h o s t / vuln / bsql / index. php 3 back end DBMS: MySQL >= current database : vuln 5 Database : vuln 6 [2 t a b l e s ] products 9 user Listing 3.5: Funktionsweise von sqlmap 7 [ ] Kapitel 3. Evaluation 13

20 3.7 Paros Proxy OS: Independent Open Source: Yes Language: Java Version: Focus: Web Application Assessment URL: Last Release: ASTF integration possible: Yes Beschreibung We wrote a program called "Paros"for people who need to evaluate the security of their web applications. It is free of charge and completely written in Java. Through Paros s proxy nature, all HTTP and HTTPS data between server and client, including cookies and form fields, can be intercepted and modified. 8 Paros ist als Proxy konzipiert, wobei gewisse Funktionen auch über die Kommando-Zeile ausgeführt werden können, dazu gehört auch eine WebCrawler Komponente, welche der Automatisierung der Scans dient. Report: Nach Abschluss des Audits erstellt Paros einen Report im HTML Format. Login: Den geschützen Bereich der Testfälle konnte Paros nur durch manuelles ausfüllen der Loginmaske erreichen. Die Ausführung über die Kommando-Zeile stellt nicht genügend Parameter zur Verfügung, um eine Session-ID bzw. Cookie mitzugeben. 1 cmd:> j a v a j a r paros. j a r newsession t e s t. session spider 2 seed http : / / l o c a l h o s t / vuln / index. php scan l a s t _ s c a n _ r e p o r t report Listing 3.6: Funktionsweise von paros 8 [ ] Kapitel 3. Evaluation 14

21 3.8 OWASP WebScarab OS: Independent Open Source: Yes Language: Java Version: Focus: Web Application Assessment URL: Last Release: ASTF integration possible: No Beschreibung WebScarab is a framework for analysing applications that communicate using the HTTP and HTTPS protocols. It is written in Java, and is thus portable to many platforms. WebScarab has several modes of operation, implemented by a number of plugins. In its most common usage, WebScarab operates as an intercepting proxy, allowing the operator to review and modify requests created by the browser before they are sent to the server, and to review and modify responses returned from the server before they are received by the browser. WebScarab is able to intercept both HTTP and HTTPS communication. The operator can also review the conversations (requests and responses) that have passed through WebScarab. 9 WebScarab ist ein sehr ausgereiftes OpenSource Produkt mit vielen Features. Was WebScarab hingegen fehlt ist eine automatisierte Scan-Funktion, die über die Kommandozeile gestartet werden kann. Aus diesem Grund kann WebScarab nicht in das ASTF Framework integriert werden. 9 [ ] Kapitel 3. Evaluation 15

22 3.9 Grendel-Scan OS: Independent Open Source: Yes Language: Java Version: 1.0 Focus: Web Application Assessment URL: Last Release: ASTF integration possible: Yes (Version >= 1.1) Beschreibung Grendel-Scan is an open-source web application security testing tool. It has automated testing module for detecting common web application vulnerabilities, and features geared at aiding manual penetration tests. The only system requirement is Java 5; Windows, Linux and Macintosh builds are available. 10 Zur Zeit besitzt Grendel-Scan keine automatisierte Scan-Funktion. Aus dem aktuellen ChangeLog geht aber hervor, dass ab Version 1.1 ein solches Feature implementiert wird. Ab dem nächsten Release würde sich Grendel-Scan als Kandidat für die Integration in das ASTF Framework qualifizieren. Die Funktionen von Grendel-Scan umfassen einen Webcrawler, SQL Injection- und SS detection Module. Zudem existieren weitere Module für die Erkennung von CRLF Injection und CSRF Injection Schwachstellen. Wobei die Konfiguration umständlich und die Resultate je nach Konfiguration stark variieren. Grendel-Scan sieht vielversprechend aus, bedarf aber noch einiges an Entwicklungsaufwand. Report: Nach Abschluss des Audits erstellt Grendel-Scan einen Report im HTML Format. Login: Wie Grendel-Scan in den geschützen Bereich gelangt, kann über die Einstellungen konfiguriert werden. Die Einstellungen können in einer Text-Datei abgelegt und wieder verwendet werden. SSL: Grendel-Scan kann Verbindungen via SSL aufbauen. 10 [ ] Kapitel 3. Evaluation 16

23 3.10 Burp-Suite OS: Independent Open Source: No (Demo-Edition: 0 / Pro-Edition: 99 Language: Java Version: 1.1 Focus: Web Application Assessment URL: Last Release: ASTF integration possible: No Beschreibung Burp Suite is an integrated platform for attacking web applications. It contains all of the Burp tools with numerous interfaces between them designed to facilitate and speed up the process of attacking an application. All tools share the same robust framework for handling HTTP requests, authentication, downstream proxies, logging, alerting and extensibility. Burp Suite allows you to combine manual and automated techniques to enumerate, analyse, attack and exploit web applications. The various Burp tools work together effectively to share information and allow findings identified within one tool to form the basis of an attack using another. 11 Das Konzept von Burp ist dasselbe wie das von WebScarab. Wie auch WebScarab besitzt Burp keine automatisierte Scan-Funktion. Die Integration in das ASTF Framework ist somit nicht möglich. Zusätzlich ist die Free-Version von Burp mit einer Demo-Version des Burp-Intruders ausgestattet, wobei es sich hier um die Fuzz-Testing Komponente der Suite handelt. 11 [ ] Kapitel 3. Evaluation 17

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen FAEL-Seminar Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen Prof. Dr. Marc Rennhard Institut für angewandte Informationstechnologie InIT ZHAW Zürcher Hochschule für Angewandte

Mehr

Carsten Eilers www.ceilers-it.de. Pentesters Toolbox

Carsten Eilers www.ceilers-it.de. Pentesters Toolbox Carsten Eilers www.ceilers-it.de Pentesters Toolbox Vorstellung Berater für IT-Sicherheit Autor PHP Magazin, Entwickler Magazin Buch Ajax Security www.ceilers-news.de und anderes... Schwachstellen-Datenbank

Mehr

p^db=`oj===pìééçêíáåñçêã~íáçå=

p^db=`oj===pìééçêíáåñçêã~íáçå= p^db=`oj===pìééçêíáåñçêã~íáçå= Error: "Could not connect to the SQL Server Instance" or "Failed to open a connection to the database." When you attempt to launch ACT! by Sage or ACT by Sage Premium for

Mehr

Schwachstellen in Web- Applikationen: Was steckt dahinter und wie nutzt man sie aus?

Schwachstellen in Web- Applikationen: Was steckt dahinter und wie nutzt man sie aus? Schwachstellen in Web- Applikationen: Was steckt dahinter und wie nutzt man sie aus? Prof. Dr. Marc Rennhard Institut für angewandte Informationstechnologie InIT ZHAW Zürcher Hochschule für Angewandte

Mehr

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen Dr. Marc Rennhard Institut für angewandte Informationstechnologie Zürcher Hochschule Winterthur marc.rennhard@zhwin.ch Angriffspunkt

Mehr

Einsatz einer Dokumentenverwaltungslösung zur Optimierung der unternehmensübergreifenden Kommunikation

Einsatz einer Dokumentenverwaltungslösung zur Optimierung der unternehmensübergreifenden Kommunikation Einsatz einer Dokumentenverwaltungslösung zur Optimierung der unternehmensübergreifenden Kommunikation Eine Betrachtung im Kontext der Ausgliederung von Chrysler Daniel Rheinbay Abstract Betriebliche Informationssysteme

Mehr

Titelbild1 ANSYS. Customer Portal LogIn

Titelbild1 ANSYS. Customer Portal LogIn Titelbild1 ANSYS Customer Portal LogIn 1 Neuanmeldung Neuanmeldung: Bitte Not yet a member anklicken Adressen-Check Adressdaten eintragen Customer No. ist hier bereits erforderlich HERE - Button Hier nochmal

Mehr

1. General information... 2 2. Login... 2 3. Home... 3 4. Current applications... 3

1. General information... 2 2. Login... 2 3. Home... 3 4. Current applications... 3 User Manual for Marketing Authorisation and Lifecycle Management of Medicines Inhalt: User Manual for Marketing Authorisation and Lifecycle Management of Medicines... 1 1. General information... 2 2. Login...

Mehr

Customer-specific software for autonomous driving and driver assistance (ADAS)

Customer-specific software for autonomous driving and driver assistance (ADAS) This press release is approved for publication. Press Release Chemnitz, February 6 th, 2014 Customer-specific software for autonomous driving and driver assistance (ADAS) With the new product line Baselabs

Mehr

Sicherheit von Webapplikationen Sichere Web-Anwendungen

Sicherheit von Webapplikationen Sichere Web-Anwendungen Sicherheit von Webapplikationen Sichere Web-Anwendungen Daniel Szameitat Agenda 2 Web Technologien l HTTP(Hypertext Transfer Protocol): zustandsloses Protokoll über TCP auf Port 80 HTTPS Verschlüsselt

Mehr

am Beispiel - SQL Injection

am Beispiel - SQL Injection am Beispiel - SQL Injection Einführung } Warum ist Sicherheit ein Software Thema? } Sicherheit in heutigen Softwareprodukten & Trends } OWASP Top 10 Kategorien Hacking Demo } SQL Injection: der Weg zu

Mehr

Distributed testing. Demo Video

Distributed testing. Demo Video distributed testing Das intunify Team An der Entwicklung der Testsystem-Software arbeiten wir als Team von Software-Spezialisten und Designern der soft2tec GmbH in Kooperation mit der Universität Osnabrück.

Mehr

Algorithms for graph visualization

Algorithms for graph visualization Algorithms for graph visualization Project - Orthogonal Grid Layout with Small Area W INTER SEMESTER 2013/2014 Martin No llenburg KIT Universita t des Landes Baden-Wu rttemberg und nationales Forschungszentrum

Mehr

Software development with continuous integration

Software development with continuous integration Software development with continuous integration (FESG/MPIfR) ettl@fs.wettzell.de (FESG) neidhardt@fs.wettzell.de 1 A critical view on scientific software Tendency to become complex and unstructured Highly

Mehr

Exercise (Part II) Anastasia Mochalova, Lehrstuhl für ABWL und Wirtschaftsinformatik, Kath. Universität Eichstätt-Ingolstadt 1

Exercise (Part II) Anastasia Mochalova, Lehrstuhl für ABWL und Wirtschaftsinformatik, Kath. Universität Eichstätt-Ingolstadt 1 Exercise (Part II) Notes: The exercise is based on Microsoft Dynamics CRM Online. For all screenshots: Copyright Microsoft Corporation. The sign ## is you personal number to be used in all exercises. All

Mehr

Hackerpraktikum SS 202

Hackerpraktikum SS 202 Hackerpraktikum SS 202 Philipp Schwarte, Lars Fischer Universität Siegen April 17, 2012 Philipp Schwarte, Lars Fischer 1/18 Organisation wöchentliche Übung mit Vorlesungsanteil alle zwei Wochen neue Aufgaben

Mehr

V10 I, Teil 2: Web Application Security

V10 I, Teil 2: Web Application Security IT-Risk-Management V10 I, Teil : Web Application Security Tim Wambach, Universität Koblenz-Landau Koblenz, 9.7.015 Agenda Einleitung HTTP OWASP Security Testing Beispiele für WebApp-Verwundbarkeiten Command

Mehr

Employment and Salary Verification in the Internet (PA-PA-US)

Employment and Salary Verification in the Internet (PA-PA-US) Employment and Salary Verification in the Internet (PA-PA-US) HELP.PYUS Release 4.6C Employment and Salary Verification in the Internet (PA-PA-US SAP AG Copyright Copyright 2001 SAP AG. Alle Rechte vorbehalten.

Mehr

am Beispiel - SQL Injection

am Beispiel - SQL Injection am Beispiel - SQL Injection Einführung Warum ist Sicherheit ein Software Thema? Sicherheit in heutigen Softwareprodukten & Trends OWASP Top 10 Kategorien Hacking Demo SQL Injection: der Weg zu den Daten

Mehr

Wie steht es um die Sicherheit in Software?

Wie steht es um die Sicherheit in Software? Wie steht es um die Sicherheit in Software? Einführung Sicherheit in heutigen Softwareprodukten Typische Fehler in Software Übersicht OWASP Top 10 Kategorien Praktischer Teil Hacking Demo Einblick in die

Mehr

Ingenics Project Portal

Ingenics Project Portal Version: 00; Status: E Seite: 1/6 This document is drawn to show the functions of the project portal developed by Ingenics AG. To use the portal enter the following URL in your Browser: https://projectportal.ingenics.de

Mehr

itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 2013 OneConsult GmbH www.oneconsult.com

itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 2013 OneConsult GmbH www.oneconsult.com itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 13.03.2013 Agenda Vorstellung Open Web Application Security Project (OWASP) Die OWASP Top 10 (2013 RC1) OWASP Top 3 in der

Mehr

Rational Mehr Sicherheit für Ihre Webanwendungen und Hacker haben keine Chance

Rational Mehr Sicherheit für Ihre Webanwendungen und Hacker haben keine Chance SWG Partner Academy Rational Mehr Sicherheit für Ihre Webanwendungen und Hacker haben keine Chance 3. Tag, Donnerstag den 09.10.2008 Michael Bleichert Rational Channel Manager Germany Michael.Bleichert@de.ibm.com

Mehr

ReadMe zur Installation der BRICKware for Windows, Version 6.1.2. ReadMe on Installing BRICKware for Windows, Version 6.1.2

ReadMe zur Installation der BRICKware for Windows, Version 6.1.2. ReadMe on Installing BRICKware for Windows, Version 6.1.2 ReadMe zur Installation der BRICKware for Windows, Version 6.1.2 Seiten 2-4 ReadMe on Installing BRICKware for Windows, Version 6.1.2 Pages 5/6 BRICKware for Windows ReadMe 1 1 BRICKware for Windows, Version

Mehr

ISO 15504 Reference Model

ISO 15504 Reference Model Prozess Dimension von SPICE/ISO 15504 Process flow Remarks Role Documents, data, tools input, output Start Define purpose and scope Define process overview Define process details Define roles no Define

Mehr

Aktuelle Sicherheitsprobleme im Internet

Aktuelle Sicherheitsprobleme im Internet Herbst 2014 Aktuelle Sicherheitsprobleme im Internet Wirtschaftsinformatik: 5. Semester Dozenten: Rainer Telesko / Martin Hüsler Fachhochschule Nordwestschweiz FHNW / Rainer Telesko - Martin Hüsler 1 Inhalt

Mehr

OpenWAF Web Application Firewall

OpenWAF Web Application Firewall OpenWAF Web Application Firewall Websecurity und OpenWAF in 60 Minuten Helmut Kreft Fuwa, 15.11.2010 Agenda Webapplikationen? Furcht und Schrecken! OWASP Top 10 - Theorie und Praxis mit dem BadStore Umgang

Mehr

MySQL Queries on "Nmap Results"

MySQL Queries on Nmap Results MySQL Queries on "Nmap Results" SQL Abfragen auf Nmap Ergebnisse Ivan Bütler 31. August 2009 Wer den Portscanner "NMAP" häufig benutzt weiss, dass die Auswertung von grossen Scans mit vielen C- oder sogar

Mehr

Transaktionen in der Praxis. Dr. Karsten Tolle

Transaktionen in der Praxis. Dr. Karsten Tolle Transaktionen in der Praxis Dr. Karsten Tolle Praxisbeispiel in Java Connection con = null; try { con = DriverManager.getConnection("jdbc:db2:sample"); } catch (Exception e) { e.printstacktrace(); } con.setautocommit(false);

Mehr

Klausur Verteilte Systeme

Klausur Verteilte Systeme Klausur Verteilte Systeme SS 2005 by Prof. Walter Kriha Klausur Verteilte Systeme: SS 2005 by Prof. Walter Kriha Note Bitte ausfüllen (Fill in please): Vorname: Nachname: Matrikelnummer: Studiengang: Table

Mehr

Lesen Sie die Bedienungs-, Wartungs- und Sicherheitsanleitungen des mit REMUC zu steuernden Gerätes

Lesen Sie die Bedienungs-, Wartungs- und Sicherheitsanleitungen des mit REMUC zu steuernden Gerätes KURZANLEITUNG VORAUSSETZUNGEN Lesen Sie die Bedienungs-, Wartungs- und Sicherheitsanleitungen des mit REMUC zu steuernden Gerätes Überprüfen Sie, dass eine funktionsfähige SIM-Karte mit Datenpaket im REMUC-

Mehr

Konzept eines Datenbankprototypen. 30.06.2003 Folie 1 Daniel Gander / Gerhard Schrotter

Konzept eines Datenbankprototypen. 30.06.2003 Folie 1 Daniel Gander / Gerhard Schrotter Konzept eines Datenbankprototypen 30.06.2003 Folie 1 Daniel Gander / Gerhard Schrotter Inhalt (1) Projektvorstellung & Projektzeitplan Softwarekomponenten Detailierte Beschreibung der System Bausteine

Mehr

Web Application Security Testing

Web Application Security Testing Lehrstuhl für Rechnernetze und Internet Wilhelm-Schickard-Institut für Informatik Universität Tübingen Web Application Security Testing Carl-Daniel Hailfinger Betreuer: Pavel Laskov Ziele des Vortrags

Mehr

Instruktionen Mozilla Thunderbird Seite 1

Instruktionen Mozilla Thunderbird Seite 1 Instruktionen Mozilla Thunderbird Seite 1 Instruktionen Mozilla Thunderbird Dieses Handbuch wird für Benutzer geschrieben, die bereits ein E-Mail-Konto zusammenbauen lassen im Mozilla Thunderbird und wird

Mehr

Einführung in Web-Security

Einführung in Web-Security Einführung in Web-Security Alexander»alech«Klink Gulaschprogrammiernacht 2013 Agenda Cross-Site-Scripting (XSS) Authentifizierung und Sessions Cross-Site-Request-Forgery ([XC]SRF) SQL-Injections Autorisierungsprobleme

Mehr

php Hier soll ein Überblick über das Erstellen von php Programmen gegeben werden. Inhaltsverzeichnis 1.Überblick...2 2.Parameterübergabe...

php Hier soll ein Überblick über das Erstellen von php Programmen gegeben werden. Inhaltsverzeichnis 1.Überblick...2 2.Parameterübergabe... php Hier soll ein Überblick über das Erstellen von php Programmen gegeben werden. Inhaltsverzeichnis 1.Überblick...2 2.Parameterübergabe...7 3.Zugriff auf mysql Daten...11 Verteilte Systeme: php.sxw Prof.

Mehr

Secure Coding & Live Hacking von Webapplikationen. Conect Informunity 8.3.2011

Secure Coding & Live Hacking von Webapplikationen. Conect Informunity 8.3.2011 Secure Coding & Live Hacking von Webapplikationen Conect Informunity 8.3.2011 Dr. Ulrich Bayer Security Research Sicherheitsforschung GmbH Motivation Datendiebstahl über (Web)-Applikationen passiert täglich

Mehr

Mash-Up Personal Learning Environments. Dr. Hendrik Drachsler

Mash-Up Personal Learning Environments. Dr. Hendrik Drachsler Decision Support for Learners in Mash-Up Personal Learning Environments Dr. Hendrik Drachsler Personal Nowadays Environments Blog Reader More Information Providers Social Bookmarking Various Communities

Mehr

IHK: Web-Hacking-Demo

IHK: Web-Hacking-Demo sic[!]sec, Achim Hoffmann IHK: Web-Hacking-Demo, Bayreuth 1. April 2014 1 von 34 IHK: Web-Hacking-Demo Achim Hoffmann Achim.Hoffmann@sicsec.de Bayreuth 1. April 2014 sic[!]sec GmbH spezialisiert auf Web

Mehr

Automatisiertes Software Security-Testing

Automatisiertes Software Security-Testing Security Zone 08 Automatisiertes Software Security-Testing Prof. Dr. Marc Rennhard Institut für angewandte Informationstechnologie InIT ZHAW Zürcher Hochschule für Angewandte Wissenschaften marc.rennhard@zhaw.ch

Mehr

Infrastructure as a Service (IaaS) Solutions for Online Game Service Provision

Infrastructure as a Service (IaaS) Solutions for Online Game Service Provision Infrastructure as a Service (IaaS) Solutions for Online Game Service Provision Zielsetzung: System Verwendung von Cloud-Systemen für das Hosting von online Spielen (IaaS) Reservieren/Buchen von Resources

Mehr

KURZANLEITUNG. Firmware-Upgrade: Wie geht das eigentlich?

KURZANLEITUNG. Firmware-Upgrade: Wie geht das eigentlich? KURZANLEITUNG Firmware-Upgrade: Wie geht das eigentlich? Die Firmware ist eine Software, die auf der IP-Kamera installiert ist und alle Funktionen des Gerätes steuert. Nach dem Firmware-Update stehen Ihnen

Mehr

Bayerisches Landesamt für Statistik und Datenverarbeitung Rechenzentrum Süd. z/os Requirements 95. z/os Guide in Lahnstein 13.

Bayerisches Landesamt für Statistik und Datenverarbeitung Rechenzentrum Süd. z/os Requirements 95. z/os Guide in Lahnstein 13. z/os Requirements 95. z/os Guide in Lahnstein 13. März 2009 0 1) LOGROTATE in z/os USS 2) KERBEROS (KRB5) in DFS/SMB 3) GSE Requirements System 1 Requirement Details Description Benefit Time Limit Impact

Mehr

How to access licensed products from providers who are already operating productively in. General Information... 2. Shibboleth login...

How to access licensed products from providers who are already operating productively in. General Information... 2. Shibboleth login... Shibboleth Tutorial How to access licensed products from providers who are already operating productively in the SWITCHaai federation. General Information... 2 Shibboleth login... 2 Separate registration

Mehr

Robotino View Kommunikation mit OPC. Communication with OPC DE/EN 04/08

Robotino View Kommunikation mit OPC. Communication with OPC DE/EN 04/08 Robotino View Kommunikation mit OPC Robotino View Communication with OPC 1 DE/EN 04/08 Stand/Status: 04/2008 Autor/Author: Markus Bellenberg Festo Didactic GmbH & Co. KG, 73770 Denkendorf, Germany, 2008

Mehr

WMAP Metasploit 3.2 Module für Pentester von Webapplikationen. OWASP Frankfurt, 25.11.08. The OWASP Foundation http://www.owasp.

WMAP Metasploit 3.2 Module für Pentester von Webapplikationen. OWASP Frankfurt, 25.11.08. The OWASP Foundation http://www.owasp. Germany 2008 Conference http://www.owasp.org/index.php/germany WMAP Metasploit 3.2 Module für Pentester von Webapplikationen Frankfurt, 25.11.08 Hans-Martin Münch it.sec GmbH & Co KG mmuench@it-sec.de

Mehr

XV1100K(C)/XV1100SK(C)

XV1100K(C)/XV1100SK(C) Lexware Financial Office Premium Handwerk XV1100K(C)/XV1100SK(C) All rights reserverd. Any reprinting or unauthorized use wihout the written permission of Lexware Financial Office Premium Handwerk Corporation,

Mehr

Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte

Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte Web 2.0 (In)Security - Themen Alte Freunde SQL Injections, Code Executions & Co. Cross Site Scripting Cross Site Scripting in der Praxis JavaScript

Mehr

Group and Session Management for Collaborative Applications

Group and Session Management for Collaborative Applications Diss. ETH No. 12075 Group and Session Management for Collaborative Applications A dissertation submitted to the SWISS FEDERAL INSTITUTE OF TECHNOLOGY ZÜRICH for the degree of Doctor of Technical Seiences

Mehr

web(in)securities CISCO Academy Day 11/12.05.2012 Mark Hloch Montag, 14. Mai 12

web(in)securities CISCO Academy Day 11/12.05.2012 Mark Hloch Montag, 14. Mai 12 Hochschule Niederrhein University of Applied Sciences Elektrotechnik und Informatik Faculty of Electrical Engineering and Computer Science web(in)securities CISCO Academy Day 11/12.05.2012 Mark Hloch Inhalt

Mehr

HÄRTUNG VON WEB-APPLIKATIONEN MIT OPEN-SOURCE-SOFTWARE. Münchener Open-Source-Treffen, Florian Maier, 23.05.2014

HÄRTUNG VON WEB-APPLIKATIONEN MIT OPEN-SOURCE-SOFTWARE. Münchener Open-Source-Treffen, Florian Maier, 23.05.2014 HÄRTUNG VON WEB-APPLIKATIONEN MIT OPEN-SOURCE-SOFTWARE Münchener Open-Source-Treffen, Florian Maier, 23.05.2014 ÜBER MICH 34 Jahre, verheiratet Open Source Enthusiast seit 1997 Beruflich seit 2001 Sicherheit,

Mehr

eurex rundschreiben 094/10

eurex rundschreiben 094/10 eurex rundschreiben 094/10 Datum: Frankfurt, 21. Mai 2010 Empfänger: Alle Handelsteilnehmer der Eurex Deutschland und Eurex Zürich sowie Vendoren Autorisiert von: Jürg Spillmann Weitere Informationen zur

Mehr

Parameter-Updatesoftware PF-12 Plus

Parameter-Updatesoftware PF-12 Plus Parameter-Updatesoftware PF-12 Plus Mai / May 2015 Inhalt 1. Durchführung des Parameter-Updates... 2 2. Kontakt... 6 Content 1. Performance of the parameter-update... 4 2. Contact... 6 1. Durchführung

Mehr

Introducing PAThWay. Structured and methodical performance engineering. Isaías A. Comprés Ureña Ventsislav Petkov Michael Firbach Michael Gerndt

Introducing PAThWay. Structured and methodical performance engineering. Isaías A. Comprés Ureña Ventsislav Petkov Michael Firbach Michael Gerndt Introducing PAThWay Structured and methodical performance engineering Isaías A. Comprés Ureña Ventsislav Petkov Michael Firbach Michael Gerndt Technical University of Munich Overview Tuning Challenges

Mehr

Log Parser 2.0 HackerScan.js. Beschreibung. Anforderungen. Unterstützte Plattformen. Script-Code. Zurück zur Übersichtsseite

Log Parser 2.0 HackerScan.js. Beschreibung. Anforderungen. Unterstützte Plattformen. Script-Code. Zurück zur Übersichtsseite Zurück zur Übersichtsseite Log Parser 2.0 HackerScan.js (Engl. Originaltitel: HackerScan.js) Beschreibung Dieses Script sucht in allen IIS-Protokolldateien (IIS-, HTTPError- und UrlScan-Protokolldateien)

Mehr

Kurzinformation Brief information

Kurzinformation Brief information AGU Planungsgesellschaft mbh Sm@rtLib V4.1 Kurzinformation Brief information Beispielprojekt Example project Sm@rtLib V4.1 Inhaltsverzeichnis Contents 1 Einleitung / Introduction... 3 1.1 Download aus

Mehr

Documentation TYC. Registration manual. Registration and Login. issued 1. April 2013 by EN changed 11. June 2015 by EN version 1 status finished

Documentation TYC. Registration manual. Registration and Login. issued 1. April 2013 by EN changed 11. June 2015 by EN version 1 status finished Documentation TYC Registration manual Registration and Login issued 1. April 2013 by EN changed 11. June 2015 by EN version 1 status finished Content 1 Registration... 3 2 Login... 4 2.1 First login...

Mehr

Web Application Testing

Web Application Testing Sicherheit von Web Applikationen - Web Application Testing Veranstaltung: IT-Sicherheitstag NRW, 04.12.2013, KOMED MediaPark, Köln Referent: Dr. Kurt Brand Geschäftsführer Pallas GmbH Pallas GmbH Hermülheimer

Mehr

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH Dr. Stefan Schlott, BeOne Stuttgart GmbH ABOUT.TXT Stefan Schlott, BeOne Stuttgart GmbH Java-Entwickler, Scala-Enthusiast, Linux-Jünger Seit jeher begeistert

Mehr

Frequently asked Questions for Kaercher Citrix (apps.kaercher.com)

Frequently asked Questions for Kaercher Citrix (apps.kaercher.com) Frequently asked Questions for Kaercher Citrix (apps.kaercher.com) Inhalt Content Citrix-Anmeldung Login to Citrix Was bedeutet PIN und Token (bei Anmeldungen aus dem Internet)? What does PIN and Token

Mehr

If you have any issue logging in, please Contact us Haben Sie Probleme bei der Anmeldung, kontaktieren Sie uns bitte 1

If you have any issue logging in, please Contact us Haben Sie Probleme bei der Anmeldung, kontaktieren Sie uns bitte 1 Existing Members Log-in Anmeldung bestehender Mitglieder Enter Email address: E-Mail-Adresse eingeben: Submit Abschicken Enter password: Kennwort eingeben: Remember me on this computer Meine Daten auf

Mehr

1.1 Media Gateway - SIP-Sicherheit verbessert

1.1 Media Gateway - SIP-Sicherheit verbessert Deutsch Read Me System Software 7.10.6 PATCH 2 Diese Version unserer Systemsoftware ist für die Gateways der Rxxx2- und der RTxxx2-Serie verfügbar. Beachten Sie, dass ggf. nicht alle hier beschriebenen

Mehr

Z-Push. Heinlein Mailserverkonferenz 2011. Helmuth Neuberger. www.zarafa.com

Z-Push. Heinlein Mailserverkonferenz 2011. Helmuth Neuberger. www.zarafa.com Z-Push Heinlein Mailserverkonferenz 2011 Helmuth Neuberger 1/ Mobile Question? Who uses a mobile device? SyncML? RIM / Blackberry? Activesync? 2 2 Admin vs. Developer Who is a admin? Who is a developer?

Mehr

Browser- gestützte Visualisierung komplexer Datensätze: Das ROAD System

Browser- gestützte Visualisierung komplexer Datensätze: Das ROAD System AG Computeranwendungen und QuanLtaLve Methoden in der Archäologie 5. Workshop Tübingen 14. 15. Februar 2014 Browser- gestützte Visualisierung komplexer Datensätze: Das ROAD System Volker Hochschild, Michael

Mehr

Aber genau deshalb möchte ich Ihre Aufmehrsamkeit darauf lenken und Sie dazu animieren, der Eventualität durch geeignete Gegenmaßnahmen zu begegnen.

Aber genau deshalb möchte ich Ihre Aufmehrsamkeit darauf lenken und Sie dazu animieren, der Eventualität durch geeignete Gegenmaßnahmen zu begegnen. NetWorker - Allgemein Tip 618, Seite 1/5 Das Desaster Recovery (mmrecov) ist evtl. nicht mehr möglich, wenn der Boostrap Save Set auf einem AFTD Volume auf einem (Data Domain) CIFS Share gespeichert ist!

Mehr

TomTom WEBFLEET Tachograph

TomTom WEBFLEET Tachograph TomTom WEBFLEET Tachograph Installation TG, 17.06.2013 Terms & Conditions Customers can sign-up for WEBFLEET Tachograph Management using the additional services form. Remote download Price: NAT: 9,90.-/EU:

Mehr

SemTalk Services. SemTalk UserMeeting 29.10.2010

SemTalk Services. SemTalk UserMeeting 29.10.2010 SemTalk Services SemTalk UserMeeting 29.10.2010 Problemstellung Immer mehr Anwender nutzen SemTalk in Verbindung mit SharePoint Mehr Visio Dokumente Viele Dokumente mit jeweils wenigen Seiten, aber starker

Mehr

Sicherheit in Webanwendungen CrossSite, Session und SQL

Sicherheit in Webanwendungen CrossSite, Session und SQL Sicherheit in Webanwendungen CrossSite, Session und SQL Angriffstechniken und Abwehrmaßnahmen Mario Klump Die Cross-Site -Familie Die Cross-Site-Arten Cross-Site-Scripting (CSS/XSS) Cross-Site-Request-Forgery

Mehr

XML Template Transfer Transfer project templates easily between systems

XML Template Transfer Transfer project templates easily between systems Transfer project templates easily between systems A PLM Consulting Solution Public The consulting solution XML Template Transfer enables you to easily reuse existing project templates in different PPM

Mehr

Isolationsstufen für. Dr. Karsten Tolle Dienstag 31. Januar 2012

Isolationsstufen für. Dr. Karsten Tolle Dienstag 31. Januar 2012 Isolationsstufen für Transaktionen / Sicherheit Dr. Karsten Tolle Dienstag 31. Januar 2012 Praxisbeispiel in Java Connection con = null; try { con = DriverManager.getConnection("jdbc:db2:sample"); } catch

Mehr

Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen

Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen Ralf Reinhardt 28.11.2013, 16:40 Uhr Roadshow Sicheres Internet aiti-park Werner-von-Siemens-Str. 6 86159 Augsburg 1 Hacker-Tool Browser Über

Mehr

Interaktive Webseiten mit PHP und MySQL

Interaktive Webseiten mit PHP und MySQL Interaktive Webseiten mit PHP und Vorlesung 4: PHP & Sommersemester 2003 Martin Ellermann Heiko Holtkamp Sommersemester 2001 Hier noch ein wenig zu (My)SQL: SHOW INSERT SELECT ORDER BY GROUP BY LIKE /

Mehr

Load balancing Router with / mit DMZ

Load balancing Router with / mit DMZ ALL7000 Load balancing Router with / mit DMZ Deutsch Seite 3 English Page 10 ALL7000 Quick Installation Guide / Express Setup ALL7000 Quick Installation Guide / Express Setup - 2 - Hardware Beschreibung

Mehr

Automatische Erkennung von Cross-Site Scripting Schwachstellen zweiter Ordnung

Automatische Erkennung von Cross-Site Scripting Schwachstellen zweiter Ordnung Automatische Erkennung von Cross-Site Scripting Schwachstellen zweiter Ordnung Christian Korscheck christian@korscheck.de Betreuer: Prof. Thomas Walter (Uni Tübingen) Dr. Pavel Laskov (Uni Tübingen) Dirk

Mehr

Benutzer- und Referenzhandbuch

Benutzer- und Referenzhandbuch Benutzer- und Referenzhandbuch MobileTogether Client User & Reference Manual All rights reserved. No parts of this work may be reproduced in any form or by any means - graphic, electronic, or mechanical,

Mehr

EEX Kundeninformation 2007-09-05

EEX Kundeninformation 2007-09-05 EEX Eurex Release 10.0: Dokumentation Windows Server 2003 auf Workstations; Windows Server 2003 Service Pack 2: Information bezüglich Support Sehr geehrte Handelsteilnehmer, Im Rahmen von Eurex Release

Mehr

Webmin mit SSL Unterstützung

Webmin mit SSL Unterstützung Webmin mit SSL Unterstützung Installation Für die Installation werden benötigt: Net_SSLeay.pm-1.05.tar.gz webmin-0.80.tar.gz mögliche Zusatzmodule: backup_1.0.wbm ipchains-0.80.1.wbm nettools-0.79.1.wbm

Mehr

Ablauf Unit2. Walkthrough

Ablauf Unit2. Walkthrough Ablauf Unit2 Vertiefendes Uebungsprojekt - SQL II Gerhard Wohlgenannt Test Vorstellung der Arbeitsumgebung (Software, Locations) Walkthrough Gruppeneinteilung + Themenvergabe Vorstellung der Arbeitsumgebung

Mehr

ORM & OLAP. Object-oriented Enterprise Application Programming Model for In-Memory Databases. Sebastian Oergel

ORM & OLAP. Object-oriented Enterprise Application Programming Model for In-Memory Databases. Sebastian Oergel ORM & OLAP Object-oriented Enterprise Application Programming Model for In-Memory Databases Sebastian Oergel Probleme 2 Datenbanken sind elementar für Business-Anwendungen Gängiges Datenbankparadigma:

Mehr

OpenVMS und OpenSource Ein Widerspruch? peter ranisch openvms@ranisch.at

OpenVMS und OpenSource Ein Widerspruch? peter ranisch openvms@ranisch.at OpenVMS und OpenSource Ein Widerspruch? peter ranisch openvms@ranisch.at Perens' principles Under Perens' definition, open source describes a broad general type of software license that makes source code

Mehr

Abteilung Internationales CampusCenter

Abteilung Internationales CampusCenter Abteilung Internationales CampusCenter Instructions for the STiNE Online Enrollment Application for Exchange Students 1. Please go to www.uni-hamburg.de/online-bewerbung and click on Bewerberaccount anlegen

Mehr

Service Design. Dirk Hemmerden - Appseleration GmbH. Mittwoch, 18. September 13

Service Design. Dirk Hemmerden - Appseleration GmbH. Mittwoch, 18. September 13 Service Design Dirk Hemmerden - Appseleration GmbH An increasing number of customers is tied in a mobile eco-system Hardware Advertising Software Devices Operating System Apps and App Stores Payment and

Mehr

Audit von Authentifizierungsverfahren

Audit von Authentifizierungsverfahren Audit von Authentifizierungsverfahren Walter Sprenger, Compass Security AG Compass Security AG Glärnischstrasse 7 Postfach 1628 CH-8640 Rapperswil Tel +41 55-214 41 60 Fax +41 55-214 41 61 team@csnc.ch

Mehr

Granite Gerhard Pirkl

Granite Gerhard Pirkl Granite Gerhard Pirkl 2013 Riverbed Technology. All rights reserved. Riverbed and any Riverbed product or service name or logo used herein are trademarks of Riverbed Technology. All other trademarks used

Mehr

Datensicherheit. Vorlesung 7: 29.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter

Datensicherheit. Vorlesung 7: 29.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter Datensicherheit Vorlesung 7: 29.5.2015 Sommersemester 2015 h_da Heiko Weber, Lehrbeauftragter Inhalt 1. Einführung & Grundlagen der Datensicherheit 2. Identitäten / Authentifizierung / Passwörter 3. Kryptografie

Mehr

Isabel Arnold CICS Technical Sales Germany Isabel.arnold@de.ibm.com. z/os Explorer. 2014 IBM Corporation

Isabel Arnold CICS Technical Sales Germany Isabel.arnold@de.ibm.com. z/os Explorer. 2014 IBM Corporation Isabel Arnold CICS Technical Sales Germany Isabel.arnold@de.ibm.com z/os Explorer Agenda Introduction and Background Why do you want z/os Explorer? What does z/os Explorer do? z/os Resource Management

Mehr

Virtualisierung fur Einsteiger

Virtualisierung fur Einsteiger Brochure More information from http://www.researchandmarkets.com/reports/3148674/ Virtualisierung fur Einsteiger Description: Virtualisierung von Grund auf verstehen Für die meisten Administratoren gehört

Mehr

Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10

Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10 The OWASP Foundation http://www.owasp.org Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10 Tobias Glemser tobias.glemser@owasp.org tglemser@tele-consulting.com Ralf Reinhardt

Mehr

MySQL Cluster und MySQL Proxy

MySQL Cluster und MySQL Proxy MySQL Cluster und MySQL Proxy Alles Online Diese Slides gibt es auch unter: http://rt.fm/s4p Agenda (Don't) Panic Web- und MySQL-Server MySQL Master-Master Cluster MySQL Proxy und Cluster MySQL Master-Slave/Master

Mehr

Hacking. InfoPoint 07.12.2005. Jörg Wüthrich

Hacking. InfoPoint 07.12.2005. Jörg Wüthrich Hacking InfoPoint 07.12.2005 Jörg Wüthrich Inhalte Rund um das Thema Hacking Angriffs-Techniken Session Handling Cross Site Scripting (XSS) SQL-Injection Buffer Overflow 07.12.2005 Infopoint - Hacking

Mehr

NoSQL mit Postgres 15. Juni 2015

NoSQL mit Postgres 15. Juni 2015 Tag der Datenbanken 15. Juni 2015 Dipl.-Wirt.-Inform. Agenda l Vorstellung l Marktübersicht l Warum PostgreSQL? l Warum NoSQL? l Beispielanwendung Seite: 2 Vorstellung Dipl.-Wirt.-Inform. [1990] Erste

Mehr

SEO für Blogger Erfolg in Google

SEO für Blogger Erfolg in Google SEO für Blogger Erfolg in Google BRUCE JACKSON SEO Agenda 1. SEO in 2015? 2. Wie kann ich mein Suchmaschinen Ranking verbessern? 3. Seiten Titel in 2015 4. Speed wir sind alle ungeduldig auch Google! 5.

Mehr

Schwachstellenanalyse 2013

Schwachstellenanalyse 2013 Schwachstellenanalyse 2013 Sicherheitslücken und Schwachstellen in Onlineshops Andre C. Faßbender Schwachstellenforschung Faßbender 09.01.2014 Inhaltsverzeichnis 1. Abstract... 3 2. Konfiguration der getesteten

Mehr

ZK2000SF ACCESS CONTROL ZUTRITTSKONTROLLE

ZK2000SF ACCESS CONTROL ZUTRITTSKONTROLLE ZUTRITTSKONTROLLE ACCESS CONTROL SMPX.xx SMPX.xG ZK2000SF Kommunikation über ISDN oder TCP/IP Intelligenter ler Individuelle Rechteverwaltung Verwaltung von 150.000 Personen Communication via ISDN or TCP/IP

Mehr

Ablauf. Wichtige Termine. Vertiefendes Übungsprojekt - SQL II

Ablauf. Wichtige Termine. Vertiefendes Übungsprojekt - SQL II Ablauf Wichtige Termine Ablauf der Lehrveranstaltung Vorstellung des Projektthemas Projektgruppen Vorstellung der Arbeitsumgebung (Software, Locations) Walkthrough Datenbankentwurf Formulare PHP Security

Mehr

PCI Security Scan. Beweisen Sie Ihre Sicherheit! Ihre Vorteile auf einen Blick:

PCI Security Scan. Beweisen Sie Ihre Sicherheit! Ihre Vorteile auf einen Blick: Beweisen Sie Ihre Sicherheit! Unser Security Scan ist eine Sicherheitsmaßnahme, die sich auszahlt. Systeme ändern sich ständig. Selbst Spezialisten kennen nicht alle Schwachstellen im Detail. Der PCI Scan

Mehr

Aktuelle Angriffstechniken. Steffen Tröscher cirosec GmbH, Heilbronn

Aktuelle Angriffstechniken. Steffen Tröscher cirosec GmbH, Heilbronn Aktuelle Angriffstechniken Steffen Tröscher cirosec GmbH, Heilbronn Gliederung Angriffe auf Webanwendungen Theorie und Live Demonstrationen Schwachstellen Command Injection über File Inclusion Logische

Mehr

(Prüfungs-)Aufgaben zum Thema Scheduling

(Prüfungs-)Aufgaben zum Thema Scheduling (Prüfungs-)Aufgaben zum Thema Scheduling 1) Geben Sie die beiden wichtigsten Kriterien bei der Wahl der Größe des Quantums beim Round-Robin-Scheduling an. 2) In welchen Situationen und von welchen (Betriebssystem-)Routinen

Mehr

Web Application Security

Web Application Security Web Application Security Was kann schon schiefgehen. Cloud & Speicher Kommunikation CMS Wissen Shops Soziale Netze Medien Webseiten Verwaltung Chancen E-Commerce Kommunikation Globalisierung & Digitalisierung

Mehr