Web Application Security Wir sind bestens vor Angriffen gesichert, wir haben eine Firewall!

Größe: px
Ab Seite anzeigen:

Download "Web Application Security Wir sind bestens vor Angriffen gesichert, wir haben eine Firewall!"

Transkript

1 Web Application Security Wir sind bestens vor Angriffen gesichert, wir haben eine Firewall! IT-SeCX Version: 1.0 Autor: A. Kravitz / K. Bauer Verantwortlich: A. Kravitz Datum: Vertraulichkeitsstufe: Öffentlich

2 SEC Consult Advisor for your information security (1) Berater für Information Security Experte für die Einführung von Sicherheitsprozessen und Policies (ISO 27001, BS 25999, GSHB) Führend bei technischen Sicherheits-Audits und bei der Umsetzung Spezialist für Applikations- und Webapplikationssicherheit auf Basis A 7700 Unabhängigkeit von Produktherstellern Behörden, Banken, Versicherungen, börsennotierte Unternehmen in Zentraleuropa als Kunden Branchenspezifische Ausrichtung (Defense, Public, Finance, Industry) 2

3 SEC Consult Advisor for your information security (2) Gegründet 2002 Zentrale in Wien Niederlassungen in Wiener Neustadt (Österreich), Frankfurt (Deutschland) und Montreal (Kanada) Fokus auf Zentraleuropa Eigenes SEC Consult Vulnerability Lab Partner: Secure Systems 3

4 SEC Consult Advisor for your information security (3) is certified according to ISO

5 über die Vortragenden Avi Kravitz Security Consultant, Trainer Methodical Competences: Penetration Testing, ÖNORM A 7700, ISO/IEC 27001:2005, BSI Grundschutz, Risk Management Konstantin Bauer Security Consultant, Trainer Methodical Competences: Penetration Testing, Akkreditierter ÖNORM A 7700 Auditor, OWASP, OSSTMM, Source Code Audits 5

6 Die Top-5 Mythen über die Sicherheit von Webauftritten Unser Webauftritt ist sicher, weil... Wir 128 Bit SSL Verschlüsselung verwenden 6

7 Die Top-5 Mythen über die Sicherheit von Webauftritten Unser Webauftritt ist sicher, weil... Wir 128 Bit SSL Verschlüsselung verwenden SSL macht nur die Verbindung zwischen Client und Server abhörsicher. 7

8 Die Top-5 Mythen über die Sicherheit von Webauftritten Unser Webauftritt ist sicher, weil... Wir 128 Bit SSL Verschlüsselung verwenden SSL macht nur die Verbindung zwischen Client und Server abhörsicher. Unsere Firewall schützt unsere Webserver 8

9 Die Top-5 Mythen über die Sicherheit von Webauftritten Unser Webauftritt ist sicher, weil... Wir 128 Bit SSL Verschlüsselung verwenden SSL macht nur die Verbindung zwischen Client und Server abhörsicher. Unsere Firewall schützt unsere Webserver Nur dann, wenn sie den Zugriff auf ebendiesen nicht zulässt. 9

10 Die Top-5 Mythen über die Sicherheit von Webauftritten Unser Webauftritt ist sicher, weil... Wir 128 Bit SSL Verschlüsselung verwenden SSL macht nur die Verbindung zwischen Client und Server abhörsicher. Unsere Firewall schützt unsere Webserver Nur dann, wenn sie den Zugriff auf ebendiesen nicht zulässt. Unser ISS/Eeye/Nessus Scanner zeigt keine Fehler am Webserver 10

11 Die Top-5 Mythen über die Sicherheit von Webauftritten Unser Webauftritt ist sicher, weil... Wir 128 Bit SSL Verschlüsselung verwenden SSL macht nur die Verbindung zwischen Client und Server abhörsicher. Unsere Firewall schützt unsere Webserver Nur dann, wenn sie den Zugriff auf ebendiesen nicht zulässt. Unser ISS/Eeye/Nessus Scanner zeigt keine Fehler am Webserver Derartige Scanner finden NUR bekannte Fehler in bekannten Services. 11

12 Die Top-5 Mythen über die Sicherheit von Webauftritten Unser Webauftritt ist sicher, weil... Wir 128 Bit SSL Verschlüsselung verwenden SSL macht nur die Verbindung zwischen Client und Server abhörsicher. Unsere Firewall schützt unsere Webserver Nur dann, wenn sie den Zugriff auf ebendiesen nicht zulässt. Unser ISS/Eeye/Nessus Scanner zeigt keine Fehler am Webserver Derartige Scanner finden NUR bekannte Fehler in bekannten Services. Unser IDS jeden Einbruchsversuch sofort aufzeigt und im Keim erstickt 12

13 Die Top-5 Mythen über die Sicherheit von Webauftritten Unser Webauftritt ist sicher, weil... Wir 128 Bit SSL Verschlüsselung verwenden SSL macht nur die Verbindung zwischen Client und Server abhörsicher. Unsere Firewall schützt unsere Webserver Nur dann, wenn sie den Zugriff auf ebendiesen nicht zulässt. Unser ISS/Eeye/Nessus Scanner zeigt keine Fehler am Webserver Derartige Scanner finden NUR bekannte Fehler in bekannten Services. Unser IDS jeden Einbruchsversuch sofort aufzeigt und im Keim erstickt Ein IDS kennt leider auch nur bekannte Fehler in bekannten Service 13

14 Die Top-5 Mythen über die Sicherheit von Webauftritten Unser Webauftritt ist sicher, weil... Wir 128 Bit SSL Verschlüsselung verwenden SSL macht nur die Verbindung zwischen Client und Server abhörsicher. Unsere Firewall schützt unsere Webserver Nur dann, wenn sie den Zugriff auf ebendiesen nicht zulässt. Unser ISS/Eeye/Nessus Scanner zeigt keine Fehler am Webserver Derartige Scanner finden NUR bekannte Fehler in bekannten Services. Unser IDS jeden Einbruchsversuch sofort aufzeigt und im Keim erstickt Ein IDS kennt leider auch nur bekannte Fehler in bekannten Service Unsere neue Web Application Firewall blockt alle Angriffe 14

15 Die Top-5 Mythen über die Sicherheit von Webauftritten Unser Webauftritt ist sicher, weil... Wir 128 Bit SSL Verschlüsselung verwenden SSL macht nur die Verbindung zwischen Client und Server abhörsicher. Unsere Firewall schützt unsere Webserver Nur dann, wenn sie den Zugriff auf ebendiesen nicht zulässt. Unser ISS/Eeye/Nessus Scanner zeigt keine Fehler am Webserver Derartige Scanner finden NUR bekannte Fehler in bekannten Services. Unser IDS jeden Einbruchsversuch sofort aufzeigt und im Keim erstickt Ein IDS kennt leider auch nur bekannte Fehler in bekannten Service Unsere neue Web Application Firewall blockt alle Angriffe Eine Web Application Firewall korrekt zu konfigurieren ist mind. genauso aufwändig (oft sogar aufwändiger!) wie die Applikation initial sicher zu programmieren. 15

16 Typische Konfiguration eines sicheren Websystems 16

17 Webapplikation das schwächste Glied Attacker Internet Webserver with vulnerable web application DB AD File- Share Public (External) DMZ LAN (Internal) 17

18 Warum (Web-)Application Security? Analyse von Webseiten verifizierte Schwachstellen 64% der getesteten Webseiten haben derzeit mindestens eine Schwachstelle, deren Risiko als Hoch oder Kritisch eingestuft wird. Quelle: WhiteHat Security, % aller Cyberattacken finden heute auf Applikationsebene statt (Gartner, 2009) Anzahl der Website Defacements Q1/2010 Prognose 2010 Quelle: zone-h.org 18

19 WhiteHat Security Top 10 Vulnerabilites Quelle: WhiteHat Security,

20 WhiteHat Security Top 10 Vulnerabilites Quelle: WhiteHat Security,

21 Aufbau des Tests von Webapplikationen Vorbereitung Security Audit Information Gathering Identifizieren & Ausnutzung der Schwachstellen Technische Risikoeinschätzung Lösungsvorschläge Phase 1: Vorbereitung des Security Audits Festlegung des Audit-Ansatz (Blackbox, Glassbox oder Sourcode review) Permission to Attack Phase 2: Sammeln von Informationen Es wird versucht, so viele Informationen wie möglich über die Anwendung herauszufinden Phase 3: Identifizieren & Ausnutzen der Schwachstellen Für jede gefundene Schwachstelle wird ein Proof-of-Concept Exploit durchgeführt und versucht, so weit wie möglich ins System einzudringen Phase 4 & 5: Risiko-Einschätzung und Lösungsvorschläge Für jede Schwachstelle wird ein individueller Risk-Score vergeben und Vorschläge erläutert, wie die Probleme behoben werden können 21

22 22

23 23

24 Cross Site Scripting (XSS) Clientseitige Skripte (z.b. JavaScript) werden mit Hilfe von Fehlern in Webapplikationen in den Webbrowser potentieller Opfer geschleust Entsteht durch: Unzureichende Eingabe/Ausgabe Validierung Und fehlende HTML - Codierung von Ausgabedaten z.b. < < > > &#39; Unterscheidung in Permanent Non-Permanent / Reflected 24

25 Cross Site Scripting (XSS) manuelle Suche/Verifizierung 25

26 Cross Site Scripting (XSS) manuelle Suche/Verifizierung 26

27 Cross Site Scripting (XSS) manuelle Suche/Verifizierung 27

28 Cross Site Scripting (XSS) manuelle Suche/Verifizierung 28

29 Cross Site Scripting (XSS) - Auswirkungen Angreifer kann mittels XSS: Zugangsdaten stehlen Session Hijacking Relogin-Trojaner Browser vom Opfer fernsteuern (XSS Trojaner) Malware über Drive-by Downloads (z.b. mpack) 29

30 Cross Site Scripting (XSS) Wer ist davon betroffen? Auf xssed.org bereits ~ XSS Schwachstellen dokumentiert! Darunter sind unter anderem folgende Domains betroffen: Google.com Yahoo.com Youtube.com Facebook.com Twitter.com ebay.com Barackobama.com imdb.com cia.gov adobe.com parlament.gv.at help.gv.at justiz.gv.at orf.at bankofamerica.com thepiratebay.org nasa.gov 30

31 Funktionsweise eines XSS Trojaner Abholen von XSS- Trojaner-Script und Befehlen (periodisch, asynchron) Senden Infektion Server sendet von mit XSS beliebigen Trojaner Befehle Befehlen Kommunikation wird vom XSS Trojaner abgefangen und manipuliert Anfrage an Server Aufruf von XSS-modifizierter Seite Script SRC=attacker.com Antwort des Servers Example.com 31

32 Live Hack Rechtliche Situation für Live Hacks ist klar: Sie sind verboten SEC Consult arbeitet auf einer selbst entwickelten Webapplikation Läuft lokal auf diesem Laptop Enthält die häufigsten Sicherheitslücken Die gezeigten Sicherheitslücken sind in wirklichen Anwendungen sehr weit verbreitet 32

33 Live Hack Cross Site Scripting Web Site Defacement Cookie Theft XSS Trojaner 33

34 Live Hack Netzplan 34

35 Schutz vor Cross Site Scripting Alle Benutzer-Ein- und Ausgaben müssen einer strikten Ein- und Ausgabeüberprüfung unterzogen werden. Whitelist-Methoden sind Blacklist-Methoden unbedingt vorzuziehen. Zusätzlich müssen spezielle Zeichen wie [;()" `,<>/\] in der Benutzerausgabe durch ihre HTML Äquivalente (", &#39;, <, >,...) ersetzt werden. 35

36 Cross Site Scripting (XSS) Warum Codierung der Ausgabe? Woher kommen die zu verarbeitenden Informationen? 36

37 Web Application Firewalls? Bisherige Ansätze von WAFs beschränken sich auf 2 Methoden Blacklisting - Ich erlaube alles, außer + weit verbreitet + generische Blacklists vorhanden (mod_security Core Rules, PHP-IDS, ) - Absolut kein Schutz vor 0-Day Angriffen/Exploits - aufwändige Konfiguration wenn generische Blacklists false Positives liefern - Moderne Datenaustausch-Formate (XML, JSON, ) werden nur ungenügend unterstützt - Umgehen der Regeln oft mit einfachen Mitteln möglich - Oft nur einige Leerzeichen/Zeilenumbrüche ausreichend - Codierung des Inputs in Hex oder Unicode - Split String - 1: ping.php?ip= ; cat /etc/passwd 2: ping.php?ip= ; a=etc; cat /$a/passwd 37

38 Web Application Firewalls? Bisherige Ansätze von WAFs beschränken sich auf 2 Methoden Whitelisting - Ich erlaube nichts, außer + Schutz vor 0-Day Angriffen/Exploits + wenige/keine False Positives, da explizit konfiguriert wird was erlaubt ist - Konfiguration sehr aufwändig Die Applikation bereits Initial sicher zu programmieren ist meist mit weniger Aufwand verbunden 38

39 Web Application Firewalls? Anomaliebasierende WAFs Herausforderungen False Positives durch unvollständige Learning Phase und aufgrund fehlender KI Unterbinden von Attacken in der Learning Phase Applikation ist im Internet aber permanentem Angriff ausgesetzt Lösungsansätze isolierte Umgebung in der Learning Phase viele Tester Einsatz von Webroboter nur wie lange bleibt eine Webapplikation nach der Learning Phase unverändert? (Stichwort: Web 2.0) 39

40 SQL Injection SQL Injection birgt viele Gefahren: Ein Angreifer kann beliebige Daten aus der Datenbank lesen (z.b. Benutzernamen/Passwörter, Kreditkarteninformationen, etc.) Viele Datenbanken bieten Funktionen um Kommandos auszuführen (z.b. MS SQL Server: xp_cmdshell) Läuft die Datenbank am gleichen Server wie der Webserver, kann ein Angreifer mit hoher Wahrscheinlichkeit auch das Webservice komplett kompromittieren Ein einfaches Anführungszeichen in einem Parameter löst einen Datenbankfehler aus SQL Injection ist wahrscheinlich möglich Datenbankfehler rührt daher, dass das Anführungszeichen in das SQL Statement übernommen wird und dadurch eine ungültige Abfrage durchgeführt wird Nun kann der Angreifer versuchen, das SQL Statement so zu manipulieren, dass es andere Daten ausgibt 40

41 SQL Injection II Benutzerinput wird direkt in ein SQL Query übernommen Ausbrechen aus der Syntax und Einbringen von eigenen Queries Mittels spezieller Eingaben können weitere Abfragen in das Query eingebunden werden: union SELECT 1,2,3,4 Demonstration: Verschiedene Angriffe auf den Datenbankserver Können Dateien erzeugt werden, ist komplette Übernahme des Systems wahrscheinlich Demonstration: Erzeugen einer so genannten One-way-command-shell 41

42 Live Hack SQL Injection Login Bypass Umgehen von fehlerhaft implementierter Authentifizierung Sprechende SQL Injection Bequemes Auslesen von Datenbankinhalten Auslesen von Dateiinhalten Erzeugen von Dateien am Server Übernahme des Webservers Blind SQL Injection Bitweises Auslesen von Datenbankinhalten, Dateien, etc. 42

43 Schutz vor SQL Injections Verwendung von Prepared Statements oder parametrisierten Queries Falls durch die Programmiersprache unterstützt Verhindert SQL-Injection, wenn korrekt implementiert Escaping von Metazeichen $name="' OR '1'='1" $query = "SELECT * FROM customers WHERE username= '".mysql_escape($name)."'"; SELECT * FROM customers WHERE username = '\' OR \'1\'=\'1' Quoten von jeglichem Benutzerinput Auch number-typen $query = "SELECT * FROM customers WHERE id= '".mysql_escape($id)."'"; Whitelist-Filter von Benutzerinput 43

44 VIELEN DANK! Hoffentlich besteht Ihre Information Security nicht nur aus einer Firewall! 44

45 Wie erreichen Sie SEC Consult? SEC Consult Unternehmensberatung GmbH Österreich Mooslackengasse 17 A-1190 Vienna Austria Tel: +43-(0) Fax: +43-(0) Deutschland Bockenheimer Landstrasse D Frankfurt am Main Germany Tel: Fax:

Webapplikationssicherheit (inkl. Livehack) TUGA 15

Webapplikationssicherheit (inkl. Livehack) TUGA 15 Webapplikationssicherheit (inkl. Livehack) TUGA 15 Advisor for your Information Security Version: 1.0 Autor: Thomas Kerbl Verantwortlich: Thomas Kerbl Datum: 05. Dezember 2008 Vertraulichkeitsstufe: Öffentlich

Mehr

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen FAEL-Seminar Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen Prof. Dr. Marc Rennhard Institut für angewandte Informationstechnologie InIT ZHAW Zürcher Hochschule für Angewandte

Mehr

Sichere Webapplikationen nach ONR 17700 oder Wer liest meine Emails?

Sichere Webapplikationen nach ONR 17700 oder Wer liest meine Emails? Sichere Webapplikationen nach ONR 17700 oder Wer liest meine Emails? Advisor for your information security. Essen, 10.-13. Oktober 2006 Version 1.0 SEC Consult Advisor for your information security Information

Mehr

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen

Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen Aktuelle Sicherheitsprobleme im Internet: Angriffe auf Web-Applikationen Dr. Marc Rennhard Institut für angewandte Informationstechnologie Zürcher Hochschule Winterthur marc.rennhard@zhwin.ch Angriffspunkt

Mehr

Schwachstellen in Web- Applikationen: Was steckt dahinter und wie nutzt man sie aus?

Schwachstellen in Web- Applikationen: Was steckt dahinter und wie nutzt man sie aus? Schwachstellen in Web- Applikationen: Was steckt dahinter und wie nutzt man sie aus? Prof. Dr. Marc Rennhard Institut für angewandte Informationstechnologie InIT ZHAW Zürcher Hochschule für Angewandte

Mehr

itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 2013 OneConsult GmbH www.oneconsult.com

itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 2013 OneConsult GmbH www.oneconsult.com itsc Admin-Tag OWASP Top 10 Tobias Ellenberger COO & Co-Partner OneConsult GmbH 13.03.2013 Agenda Vorstellung Open Web Application Security Project (OWASP) Die OWASP Top 10 (2013 RC1) OWASP Top 3 in der

Mehr

Aktuelle Sicherheitsprobleme im Internet

Aktuelle Sicherheitsprobleme im Internet Herbst 2014 Aktuelle Sicherheitsprobleme im Internet Wirtschaftsinformatik: 5. Semester Dozenten: Rainer Telesko / Martin Hüsler Fachhochschule Nordwestschweiz FHNW / Rainer Telesko - Martin Hüsler 1 Inhalt

Mehr

web(in)securities CISCO Academy Day 11/12.05.2012 Mark Hloch Montag, 14. Mai 12

web(in)securities CISCO Academy Day 11/12.05.2012 Mark Hloch Montag, 14. Mai 12 Hochschule Niederrhein University of Applied Sciences Elektrotechnik und Informatik Faculty of Electrical Engineering and Computer Science web(in)securities CISCO Academy Day 11/12.05.2012 Mark Hloch Inhalt

Mehr

HÄRTUNG VON WEB-APPLIKATIONEN MIT OPEN-SOURCE-SOFTWARE. Münchener Open-Source-Treffen, Florian Maier, 23.05.2014

HÄRTUNG VON WEB-APPLIKATIONEN MIT OPEN-SOURCE-SOFTWARE. Münchener Open-Source-Treffen, Florian Maier, 23.05.2014 HÄRTUNG VON WEB-APPLIKATIONEN MIT OPEN-SOURCE-SOFTWARE Münchener Open-Source-Treffen, Florian Maier, 23.05.2014 ÜBER MICH 34 Jahre, verheiratet Open Source Enthusiast seit 1997 Beruflich seit 2001 Sicherheit,

Mehr

Hacker-Methoden in der IT- Sicherheitsausbildung. Dr. Martin Mink

Hacker-Methoden in der IT- Sicherheitsausbildung. Dr. Martin Mink Hacker-Methoden in der IT- Sicherheitsausbildung Dr. Martin Mink Hacker-Angriffe 3.11.2010 Hacker-Methoden in der IT-Sicherheitsausbildung Dr. Martin Mink 2 Typische Angriffe auf Web- Anwendungen SQL Injection

Mehr

Secure Coding & Live Hacking von Webapplikationen. Conect Informunity 8.3.2011

Secure Coding & Live Hacking von Webapplikationen. Conect Informunity 8.3.2011 Secure Coding & Live Hacking von Webapplikationen Conect Informunity 8.3.2011 Dr. Ulrich Bayer Security Research Sicherheitsforschung GmbH Motivation Datendiebstahl über (Web)-Applikationen passiert täglich

Mehr

V10 I, Teil 2: Web Application Security

V10 I, Teil 2: Web Application Security IT-Risk-Management V10 I, Teil : Web Application Security Tim Wambach, Universität Koblenz-Landau Koblenz, 9.7.015 Agenda Einleitung HTTP OWASP Security Testing Beispiele für WebApp-Verwundbarkeiten Command

Mehr

Web Applications Vulnerabilities

Web Applications Vulnerabilities Bull AG Wien Web Applications Vulnerabilities Philipp Schaumann Dipl. Physiker Bull AG, Wien www.bull.at/security Die Problematik Folie 2 Der Webserver ist das Tor zum Internet auch ein Firewall schützt

Mehr

Web Application Testing

Web Application Testing Sicherheit von Web Applikationen - Web Application Testing Veranstaltung: IT-Sicherheitstag NRW, 04.12.2013, KOMED MediaPark, Köln Referent: Dr. Kurt Brand Geschäftsführer Pallas GmbH Pallas GmbH Hermülheimer

Mehr

Money for Nothing... and Bits4free

Money for Nothing... and Bits4free Money for Nothing... and Bits4free 8.8.2011 Gilbert Wondracek, gilbert@iseclab.org Hacker & Co Begriff hat je nach Kontext andere Bedeutung, Ursprung: 50er Jahre, MIT Ausnutzen von Funktionalität die vom

Mehr

Wie steht es um die Sicherheit in Software?

Wie steht es um die Sicherheit in Software? Wie steht es um die Sicherheit in Software? Einführung Sicherheit in heutigen Softwareprodukten Typische Fehler in Software Übersicht OWASP Top 10 Kategorien Praktischer Teil Hacking Demo Einblick in die

Mehr

Angreifbarkeit von Webapplikationen

Angreifbarkeit von Webapplikationen Vortrag über die Risiken und möglichen Sicherheitslücken bei der Entwicklung datenbankgestützter, dynamischer Webseiten Gliederung: Einführung technische Grundlagen Strafbarkeit im Sinne des StGB populäre

Mehr

Advanced Web Hacking. Matthias Luft Security Research mluft@ernw.de

Advanced Web Hacking. Matthias Luft Security Research mluft@ernw.de Advanced Web Hacking Matthias Luft Security Research mluft@ernw.de ERNW GmbH. Breslauer Str. 28. D-69124 Heidelberg. www.ernw.de 6/23/2010 1 ERNW GmbH Sicherheitsdienstleister im Beratungs- und Prüfungsumfeld

Mehr

Hacking. InfoPoint 07.12.2005. Jörg Wüthrich

Hacking. InfoPoint 07.12.2005. Jörg Wüthrich Hacking InfoPoint 07.12.2005 Jörg Wüthrich Inhalte Rund um das Thema Hacking Angriffs-Techniken Session Handling Cross Site Scripting (XSS) SQL-Injection Buffer Overflow 07.12.2005 Infopoint - Hacking

Mehr

Sicherheit von Webapplikationen Sichere Web-Anwendungen

Sicherheit von Webapplikationen Sichere Web-Anwendungen Sicherheit von Webapplikationen Sichere Web-Anwendungen Daniel Szameitat Agenda 2 Web Technologien l HTTP(Hypertext Transfer Protocol): zustandsloses Protokoll über TCP auf Port 80 HTTPS Verschlüsselt

Mehr

Aktuelle Angriffstechniken. Steffen Tröscher cirosec GmbH, Heilbronn

Aktuelle Angriffstechniken. Steffen Tröscher cirosec GmbH, Heilbronn Aktuelle Angriffstechniken Steffen Tröscher cirosec GmbH, Heilbronn Gliederung Angriffe auf Webanwendungen Theorie und Live Demonstrationen Schwachstellen Command Injection über File Inclusion Logische

Mehr

XSS for fun and profit

XSS for fun and profit 5. Chemnitzer Linux-Tag 1.-2.- März 2003 XSS for fun and profit Theorie und Praxis von Cross Site Scripting (XSS) Sicherheitslücken, Diebstahl von Cookies, Ausführen von Scripten auf fremden Webservern,

Mehr

am Beispiel - SQL Injection

am Beispiel - SQL Injection am Beispiel - SQL Injection Einführung Warum ist Sicherheit ein Software Thema? Sicherheit in heutigen Softwareprodukten & Trends OWASP Top 10 Kategorien Hacking Demo SQL Injection: der Weg zu den Daten

Mehr

Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen

Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen Hacker-Tool Browser von der Webanwendung zu den Kronjuwelen Ralf Reinhardt 28.11.2013, 16:40 Uhr Roadshow Sicheres Internet aiti-park Werner-von-Siemens-Str. 6 86159 Augsburg 1 Hacker-Tool Browser Über

Mehr

Open for Business - Open to Attack? Walter Lender, Geschäftsführer, Visonys IT-Security Software GesmbH

Open for Business - Open to Attack? Walter Lender, Geschäftsführer, Visonys IT-Security Software GesmbH Open for Business - Open to Attack? Walter Lender, Geschäftsführer, Visonys IT-Security Software GesmbH 2 Open for Business - Open to Attack? 75% aller Angriffe zielen auf Webanwendungen (Gartner, ISS)

Mehr

Welche Gefahren gehen vom Firmenauftritt im Internet aus?

Welche Gefahren gehen vom Firmenauftritt im Internet aus? Die Webseite als Eintrittspunkt Welche Gefahren gehen vom Firmenauftritt im Internet aus? Bekannt gewordene Schwachstellen & Angriffe Bekannt gewordene Schwachstellen & Angriffe Quelle: http://www.vulnerability-db.com/dev/index.php/2014/02/06/german-telekom-bug-bounty-3x-remote-vulnerabilities/

Mehr

Sicherheit in Webanwendungen CrossSite, Session und SQL

Sicherheit in Webanwendungen CrossSite, Session und SQL Sicherheit in Webanwendungen CrossSite, Session und SQL Angriffstechniken und Abwehrmaßnahmen Mario Klump Die Cross-Site -Familie Die Cross-Site-Arten Cross-Site-Scripting (CSS/XSS) Cross-Site-Request-Forgery

Mehr

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH Dr. Stefan Schlott, BeOne Stuttgart GmbH ABOUT.TXT Stefan Schlott, BeOne Stuttgart GmbH Java-Entwickler, Scala-Enthusiast, Linux-Jünger Seit jeher begeistert

Mehr

IT-Sicherheit auf dem Prüfstand Penetrationstest

IT-Sicherheit auf dem Prüfstand Penetrationstest IT-Sicherheit auf dem Prüfstand Penetrationstest Risiken erkennen und Sicherheitslücken schließen Zunehmende Angriffe aus dem Internet haben in den letzten Jahren das Thema IT-Sicherheit für Unternehmen

Mehr

Web Application Security

Web Application Security Web Application Security Was kann schon schiefgehen. Cloud & Speicher Kommunikation CMS Wissen Shops Soziale Netze Medien Webseiten Verwaltung Chancen E-Commerce Kommunikation Globalisierung & Digitalisierung

Mehr

SZENARIO. ausgeführt Command Injection: Einschleusen (Injizieren) bösartiger Befehle zur Kompromittierung der Funktionsschicht

SZENARIO. ausgeführt Command Injection: Einschleusen (Injizieren) bösartiger Befehle zur Kompromittierung der Funktionsschicht SZENARIO Folgenden grundlegende Gefahren ist ein Webauftritt ständig ausgesetzt: SQL Injection: fremde SQL Statements werden in die Opferapplikation eingeschleust und von dieser ausgeführt Command Injection:

Mehr

DI(FH) Daniel Fabian. Phishing Quo Vadis? Webapplikationssicherheit und ONR 17700. SEC Consult Unternehmensberatung GmbH Fachhochschule Hagenberg

DI(FH) Daniel Fabian. Phishing Quo Vadis? Webapplikationssicherheit und ONR 17700. SEC Consult Unternehmensberatung GmbH Fachhochschule Hagenberg DI(FH) Daniel Fabian Phishing Quo Vadis? Webapplikationssicherheit und ONR 17700 SEC Consult Unternehmensberatung GmbH Fachhochschule Hagenberg IT-Security, Disaster Recovery, Finanzdienstleister, Pharmazeutische

Mehr

IHK: Web-Hacking-Demo

IHK: Web-Hacking-Demo sic[!]sec, Achim Hoffmann IHK: Web-Hacking-Demo, Bayreuth 1. April 2014 1 von 34 IHK: Web-Hacking-Demo Achim Hoffmann Achim.Hoffmann@sicsec.de Bayreuth 1. April 2014 sic[!]sec GmbH spezialisiert auf Web

Mehr

OpenWAF Web Application Firewall

OpenWAF Web Application Firewall OpenWAF Web Application Firewall Websecurity und OpenWAF in 60 Minuten Helmut Kreft Fuwa, 15.11.2010 Agenda Webapplikationen? Furcht und Schrecken! OWASP Top 10 - Theorie und Praxis mit dem BadStore Umgang

Mehr

Web Hacking - Angriffe und Abwehr

Web Hacking - Angriffe und Abwehr Web Hacking - Angriffe und Abwehr UNIX-Stammtisch 31. Januar 2012 Frank Richter Holger Trapp Technische Universität Chemnitz Universitätsrechenzentrum Motivation (1): Für uns Lehrveranstaltung: Techniken

Mehr

Mit SErviCE-lEvEl DDoS AppliCAtion SECUrity Monitoring

Mit SErviCE-lEvEl DDoS AppliCAtion SECUrity Monitoring Mit Service-Level DDoS Application Security Monitoring Die Umsetzung meiner Applikations-Security-Strategie war nicht immer einfach. AppSecMon konnte mich in wesentlichen Aufgaben entlasten. Kontakt zu

Mehr

Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10

Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10 The OWASP Foundation http://www.owasp.org Absicherung von Web-Anwendungen in der Praxis Highlights aus den OWASP TOP 10 Tobias Glemser tobias.glemser@owasp.org tglemser@tele-consulting.com Ralf Reinhardt

Mehr

Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte

Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte Web 2.0 (In) Security PHPUG Würzburg 29.06.2006 Björn Schotte Web 2.0 (In)Security - Themen Alte Freunde SQL Injections, Code Executions & Co. Cross Site Scripting Cross Site Scripting in der Praxis JavaScript

Mehr

Einführung in Web-Security

Einführung in Web-Security Einführung in Web-Security Alexander»alech«Klink Gulaschprogrammiernacht 2013 Agenda Cross-Site-Scripting (XSS) Authentifizierung und Sessions Cross-Site-Request-Forgery ([XC]SRF) SQL-Injections Autorisierungsprobleme

Mehr

When your browser turns against you Stealing local files

When your browser turns against you Stealing local files Information Security When your browser turns against you Stealing local files Eine Präsentation von Alexander Inführ whoami Alexander Inführ Information Security FH. St Pölten Internet Explorer Tester

Mehr

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH

HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH HACK THAT WEBSITE! WEB SECURITY IM SELBSTVERSUCH Dr. Stefan Schlott, BeOne Stuttgart GmbH ABOUT.TXT Stefan Schlott, BeOne Stuttgart GmbH Java-Entwickler, Scala-Enthusiast, Linux-Jünger Seit jeher begeistert

Mehr

Gefahr durch Cookies. Antonio Kulhanek. Security Consultant Dipl. Techniker HF, Kommunikationstechnik MCSE, ITIL Foundation kulhanek@gosecurity.

Gefahr durch Cookies. Antonio Kulhanek. Security Consultant Dipl. Techniker HF, Kommunikationstechnik MCSE, ITIL Foundation kulhanek@gosecurity. Gefahr durch Cookies Antonio Kulhanek Security Consultant Dipl. Techniker HF, Kommunikationstechnik MCSE, ITIL Foundation kulhanek@gosecurity.ch Rechtliche Hinweise Art. 143 StGB Unbefugte Datenbeschaffung

Mehr

Softwaresicherheit. Sicherheitsschwachstellen im größeren Kontext. Ulrich Bayer

Softwaresicherheit. Sicherheitsschwachstellen im größeren Kontext. Ulrich Bayer Softwaresicherheit Sicherheitsschwachstellen im größeren Kontext Ulrich Bayer Conect Informunity, 30.1.2013 2 Begriffe - Softwaresicherheit Agenda 1. Einführung Softwaresicherheit 1. Begrifflichkeiten

Mehr

Schwachstellenanalyse 2013

Schwachstellenanalyse 2013 Schwachstellenanalyse 2013 Sicherheitslücken und Schwachstellen in Onlineshops Andre C. Faßbender Schwachstellenforschung Faßbender 09.01.2014 Inhaltsverzeichnis 1. Abstract... 3 2. Konfiguration der getesteten

Mehr

Netzwerksicherheit Übung 9 Websicherheit

Netzwerksicherheit Übung 9 Websicherheit Netzwerksicherheit Übung 9 Websicherheit David Eckhoff, Tobias Limmer, Christoph Sommer Computer Networks and Communication Systems Dept. of Computer Science, University of Erlangen-Nuremberg, Germany

Mehr

Audit von Authentifizierungsverfahren

Audit von Authentifizierungsverfahren Audit von Authentifizierungsverfahren Walter Sprenger, Compass Security AG Compass Security AG Glärnischstrasse 7 Postfach 1628 CH-8640 Rapperswil Tel +41 55-214 41 60 Fax +41 55-214 41 61 team@csnc.ch

Mehr

Typo3 - Schutz und Sicherheit - 07.11.07

Typo3 - Schutz und Sicherheit - 07.11.07 Typo3 - Schutz und Sicherheit - 07.11.07 1 Angriffe auf Web-Anwendungen wie CMS oder Shop- Systeme durch zum Beispiel SQL Injection haben sich in den letzten Monaten zu einem Kernthema im Bereich IT- Sicherheit

Mehr

AJAX SSL- Wizard Referenz

AJAX SSL- Wizard Referenz AJAX SSL- Wizard Referenz Version 1.0.2+ - 04.04.2011 Präambel Die vorliegende Dokumentation beschreibt den AJAX basierten SSL- Wizard der CertCenter AG. Der SSL- Wizard kann mit wenigen Handgriffen nahtlos

Mehr

Hacking Day 2011. Application Security Audit in Theorie und Praxis. Jan Alsenz & Robert Schneider. 2011 OneConsult GmbH www.oneconsult.

Hacking Day 2011. Application Security Audit in Theorie und Praxis. Jan Alsenz & Robert Schneider. 2011 OneConsult GmbH www.oneconsult. Hacking Day 2011 Application Security Audit in Theorie und Praxis Jan Alsenz & Robert Schneider 16. Juni 2011 Agenda Vorstellung Application Security Audit Optimaler Zeitpunkt Testansatz Schlussbericht

Mehr

am Beispiel - SQL Injection

am Beispiel - SQL Injection am Beispiel - SQL Injection Einführung } Warum ist Sicherheit ein Software Thema? } Sicherheit in heutigen Softwareprodukten & Trends } OWASP Top 10 Kategorien Hacking Demo } SQL Injection: der Weg zu

Mehr

Web Application Security mit phion airlock. Walter Egger Senior Sales Web Application Security

Web Application Security mit phion airlock. Walter Egger Senior Sales Web Application Security mit phion airlock Walter Egger Senior Sales phion AG 2009 history and background of airlock Entwicklungsbeginn im Jahr 1996 Im Rahmen einer der ersten e-banking Applikation (Credit Swisse) Übernahme der

Mehr

14.05.2013. losgeht s

14.05.2013. losgeht s losgeht s 1 Agenda erläutern 2 Warum jetzt zuhören? 3 BSI-Quartalsbericht 4/2010 Die gefährlichsten Schwachstellen in Webauftritten Häufig wurden SQL-Injection(Weiterleitung von SQL-Befehlen an die Datenbank

Mehr

SQL Injection Funktionsweise und Gegenmaßnahmen

SQL Injection Funktionsweise und Gegenmaßnahmen SQL Injection Funktionsweise und Gegenmaßnahmen EUROSEC GmbH Chiffriertechnik & Sicherheit Tel: 06173 / 60850, www.eurosec.com EUROSEC GmbH Chiffriertechnik & Sicherheit, 2005 Problematik SQL-Injection

Mehr

Kombinierte Attacke auf Mobile Geräte

Kombinierte Attacke auf Mobile Geräte Kombinierte Attacke auf Mobile Geräte 1 Was haben wir vorbereitet Man in the Middle Attacken gegen SmartPhone - Wie kommen Angreifer auf das Endgerät - Visualisierung der Attacke Via Exploit wird Malware

Mehr

IT-Sicherheit im Zeitalter von E-Business- und Web-Applikationen

IT-Sicherheit im Zeitalter von E-Business- und Web-Applikationen IT-Sicherheit im Zeitalter von E-Business- und Web-Applikationen Sicherheit auf Anwendungsebene Angriffsmöglichkeiten auf Webserver sind vor allem Probleme der Anwendungsebene. Sie beruhen auf Fehlern

Mehr

Thema: SQL-Injection (SQL-Einschleusung):

Thema: SQL-Injection (SQL-Einschleusung): Thema: SQL-Injection (SQL-Einschleusung): Allgemein: SQL (Structured Query Language) ist eine Datenbanksprache zur Definition von Datenstrukturen in Datenbanken sowie zum Bearbeiten (Einfügen, Verändern,

Mehr

Carsten Eilers www.ceilers-it.de. Pentesters Toolbox

Carsten Eilers www.ceilers-it.de. Pentesters Toolbox Carsten Eilers www.ceilers-it.de Pentesters Toolbox Vorstellung Berater für IT-Sicherheit Autor PHP Magazin, Entwickler Magazin Buch Ajax Security www.ceilers-news.de und anderes... Schwachstellen-Datenbank

Mehr

Webapplikationen wirklich sicher?! 10. Mai 2006 IT-TRENDS Sicherheit Zentrum für IT-Sicherheit, Bochum

Webapplikationen wirklich sicher?! 10. Mai 2006 IT-TRENDS Sicherheit Zentrum für IT-Sicherheit, Bochum Webapplikationen wirklich sicher? 10. Mai 2006 IT-TRENDS Sicherheit Zentrum für IT-Sicherheit, Bochum Die wachsende Bedrohung durch Web-Angriffen Test, durchgeführt von PSINet und Pansec 2 "dummy" Web-Sites

Mehr

Informationstechnik & System-Management SQL INJECTION. Selbstgemachte Sicherheitslücken. SQL-Injection ITSB2006 Michael Donabaum

Informationstechnik & System-Management SQL INJECTION. Selbstgemachte Sicherheitslücken. SQL-Injection ITSB2006 Michael Donabaum SQL INJECTION Selbstgemachte Sicherheitslücken Beschreibung SQL-Injection SQL-Einschleusung Ausnutzen von Sicherheitslücken in Zusammenspiel mit SQL-Datenbanken Mangelnde Maskierung von Metazeichen \ ;

Mehr

SecureNet GmbH 2009. For personal use only. Distribution not allowed.

SecureNet GmbH 2009. For personal use only. Distribution not allowed. 1 Die Datenbank als Erfüllungsgehilfe für Datendiebe Eine Kurzeinführung in Injection-Angriffe Stream Security Ralf Reinhardt, 19.11.2009 2 Eine Kurzeinführung in Injection-Angriffe Inhalte HTML-Injection

Mehr

ESA SECURITY MANAGER. Whitepaper zur Dokumentation der Funktionsweise

ESA SECURITY MANAGER. Whitepaper zur Dokumentation der Funktionsweise ESA SECURITY MANAGER Whitepaper zur Dokumentation der Funktionsweise INHALTSVERZEICHNIS 1 Einführung... 3 1.1 Motivation für den ESA Security Manager... 3 1.2 Voraussetzungen... 3 1.3 Zielgruppe... 3 2

Mehr

Secure Webcoding for Beginners

Secure Webcoding for Beginners Secure Webcoding for Beginners $awareness++ Florian Brunner Florian Preinstorfer 09.06.2010 Hacking Night 2010 Vorstellung Florian Brunner Software Engineer CTF-Team h4ck!nb3rg Student sib08 Florian Preinstorfer

Mehr

PHPIDS Vortrag. PHP Usergroup Frankfurt am Main 14. Februar 2008. Autor: Tom Klingenberg. Web & Applikation

PHPIDS Vortrag. PHP Usergroup Frankfurt am Main 14. Februar 2008. Autor: Tom Klingenberg. Web & Applikation PHPIDS Vortrag PHP Usergroup Frankfurt am Main 14. Februar 2008 Autor: Tom Klingenberg Web & Applikation PHP (PHP: Braucht hier nicht erklärt werden.) IDS IDS: Intrusion Detection System Einbruchsmeldesystem

Mehr

Agenda. 2008 SEC Consult Unternehmensberatung GmbH All rights reserved

Agenda. 2008 SEC Consult Unternehmensberatung GmbH All rights reserved Agenda Web-Anwendungen als schwächstes Glied für Angriffe aus dem Internet Bewertung gängiger Standards und Normen von Web-Anwendungen BSI-Standards 100-1, 100-2 und IT-Grundschutz BSI-Studie ISi-Web:

Mehr

HACK YOUR OWN WEBSITE! WEB SECURITY IM SELBSTVERSUCH. Stefan Schlott @_skyr

HACK YOUR OWN WEBSITE! WEB SECURITY IM SELBSTVERSUCH. Stefan Schlott @_skyr HACK YOUR OWN WEBSITE! WEB SECURITY IM SELBSTVERSUCH Stefan Schlott @_skyr DIE OWASP TOP-10 Alpha und Omega der Security-Talks :-) TOP 10 VON 2013 1. Injection 2. Broken Authentication/Session Management

Mehr

IT-Sicherheit Angriffsziele und -methoden Teil 2

IT-Sicherheit Angriffsziele und -methoden Teil 2 Karl Martin Kern IT-Sicherheit Angriffsziele und -methoden Teil 2 http://www.xkcd.com/424/ Buffer Overflows 2 Buffer Overflows Ausnutzen unzureichender Eingabevalidierung Begrenzter Speicherbereich wird

Mehr

Wirkungsvolle Lösungsansätze für einen störungsfreien IT-Betrieb

Wirkungsvolle Lösungsansätze für einen störungsfreien IT-Betrieb Wirkungsvolle Lösungsansätze für einen störungsfreien IT-Betrieb Michael Meixner, CISSP Manager Security & Privacy Services Agenda Verlosung: Web-Applikation Audit, Client-Site Penetration Audit Fehleinschätzungen

Mehr

PHP-Schwachstellen und deren Ausnutzung

PHP-Schwachstellen und deren Ausnutzung PHP-Schwachstellen und deren Ausnutzung 44. DFN Betriebstagung / 7. Februar 2006 DFN-CERT Services GmbH Jan Kohlrausch / CSIRT Gliederung Grundlagen HTTP und PHP Anatomie typischer Schwachstellen in PHP-Skripten

Mehr

Rational Mehr Sicherheit für Ihre Webanwendungen und Hacker haben keine Chance

Rational Mehr Sicherheit für Ihre Webanwendungen und Hacker haben keine Chance SWG Partner Academy Rational Mehr Sicherheit für Ihre Webanwendungen und Hacker haben keine Chance 3. Tag, Donnerstag den 09.10.2008 Michael Bleichert Rational Channel Manager Germany Michael.Bleichert@de.ibm.com

Mehr

Web Application Testing: Wie erkenne ich, ob meine Website angreifbar ist?

Web Application Testing: Wie erkenne ich, ob meine Website angreifbar ist? Pallas Security Colloquium Web Application Testing: Wie erkenne ich, ob meine Website angreifbar ist? 18.10.2011 Referent: Tim Kretschmann Senior System Engineer, CISO Pallas GmbH Hermülheimer Straße 8a

Mehr

Datenbank-basierte Webserver

Datenbank-basierte Webserver Datenbank-basierte Webserver Datenbank-Funktion steht im Vordergrund Web-Schnittstelle für Eingabe, Wartung oder Ausgabe von Daten Datenbank läuft im Hintergrund und liefert Daten für bestimmte Seiten

Mehr

Live Hacking auf eine Citrix Umgebung

Live Hacking auf eine Citrix Umgebung Live Hacking auf eine Citrix Umgebung Ron Ott + Andreas Wisler Security-Consultants GO OUT Production GmbH www.gosecurity.ch GO OUT Production GmbH Gegründet 1999 9 Mitarbeiter Dienstleistungen: 1 Einleitung

Mehr

FileBox Solution. Compass Security AG. Cyber Defense AG Werkstrasse 20 Postfach 2038 CH-8645 Jona

FileBox Solution. Compass Security AG. Cyber Defense AG Werkstrasse 20 Postfach 2038 CH-8645 Jona Compass Security Cyber Defense AG Werkstrasse 20 T +41 55 214 41 60 F +41 55 214 41 61 admin@csnc.ch FileBox Solution Name des Dokumentes: FileBox_WhitePaper_de.doc Version: v2.0 Autor: Ivan Bütler Unternehmen:

Mehr

Web Application {Security, Firewall}

Web Application {Security, Firewall} Web Application {Security, Firewall} Mirko Dziadzka mirko.dziadzka@gmail.com http://mirko.dziadzka.de 18.1.2011 / IEEE SB Passau Alle Abbildungen aus http://www.heise.de/newsticker/archiv/ Inhalt Kurze

Mehr

Schritt für Schritt zur IT-Spitzenleistung

Schritt für Schritt zur IT-Spitzenleistung Schritt für Schritt zur IT-Spitzenleistung IT-Service und Security Management wirksam gestalten Oliver van de Kamp Security Eye, 14.09.2006, Köln w w w. t u v. c o m Wegbegleiter TÜV Rheinland Secure it

Mehr

Datensicherheit. Vorlesung 7: 29.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter

Datensicherheit. Vorlesung 7: 29.5.2015. Sommersemester 2015 h_da. Heiko Weber, Lehrbeauftragter Datensicherheit Vorlesung 7: 29.5.2015 Sommersemester 2015 h_da Heiko Weber, Lehrbeauftragter Inhalt 1. Einführung & Grundlagen der Datensicherheit 2. Identitäten / Authentifizierung / Passwörter 3. Kryptografie

Mehr

Dr. Bruce Sams, GF OPTIMA

Dr. Bruce Sams, GF OPTIMA Dr. Bruce Sams, GF OPTIMA bruce.sams@optimabit.de www.optimabit.de Über OPTIMA OPTIMA Business Information Technology, GmbH ist eine Beratungsfirma, spezialisiert auf Applikationssicherheit und -Entwicklung

Mehr

Magento Application Security. Anna Völkl / @rescueann

Magento Application Security. Anna Völkl / @rescueann Magento Application Security Anna Völkl / @rescueann Anna Völkl @rescueann Magento Certified Developer PHP seit 2004 Magento seit 2011 IT & Telekommunikation (BSc), IT-Security (MSc) LimeSoda (Wien, AT)

Mehr

Georg Heß. Grünes Licht für verlässlichere Online- Services WEB APPLICATION SECURITY. Deutschland sicher im Netz e.v. Köln, 24.01.

Georg Heß. Grünes Licht für verlässlichere Online- Services WEB APPLICATION SECURITY. Deutschland sicher im Netz e.v. Köln, 24.01. Sicherheit von W eb- Applikationen Grünes Licht für verlässlichere Online- Services Deutschland sicher im Netz e.v. Köln, 24.01.2008 Georg Heß Agenda Kurzprofil der art of defence GmbH Sicherheitsleck

Mehr

IT-Sicherheit in Unternehmen: Typische Probleme und Lösungsmöglichkeiten OWASP 17.11.2011. The OWASP Foundation http://www.owasp.org.

IT-Sicherheit in Unternehmen: Typische Probleme und Lösungsmöglichkeiten OWASP 17.11.2011. The OWASP Foundation http://www.owasp.org. IT-Sicherheit in Unternehmen: Typische Probleme und Lösungsmöglichkeiten Amir Alsbih 17.11.2011 http://www.xing.com/profile/amir_alsbih http://de.linkedin.com/pub/amiralsbih/1a/19a/b57 Copyright The Foundation

Mehr

AV-TEST. Sicherheitslage Android

AV-TEST. Sicherheitslage Android AV-TEST Sicherheitslage Android Sicherheitslage Android 1 SICHERHEITSLAGE ANDROID MEHR ALS 30 IT-SPEZIALISTEN MEHR ALS 15 JAHRE EXPERTISE IM BEREICH ANTIVIREN-FORSCHUNG UNTERNEHMENSGRÜNDUNG 2004 EINE DER

Mehr

Reale Angriffsszenarien - Überblick

Reale Angriffsszenarien - Überblick IT-Sicherheit heute - Angriffe, Schutzmechanismen, Umsetzung Reale Angriffsszenarien - Überblick kai.jendrian@secorvo.de Security Consulting GmbH, Karlsruhe Seite 1 Inhalt Praxisprobleme Aktuelle Angriffsmethoden

Mehr

Virtual Forge CodeProfiler for HANA

Virtual Forge CodeProfiler for HANA W H I T E P A P E R Virtual Forge CodeProfiler for HANA Version 1.0 - Gültig ab 30.07.2015 Dokument 2015, Virtual Forge GmbH Inhaltsangabe Inhaltsangabe... 2 Management Summary... 3 Herausforderungen...

Mehr

BSI IT-Grundschutztag, 13.06.2013, Regensburg 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.

BSI IT-Grundschutztag, 13.06.2013, Regensburg 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec. 1 BSI Grundschutzbaustein Webanwendungen Absicherung von Webanwendungen in der Praxis - Highlights aus den OWASP Top 10 Ralf Reinhardt 13.06.2013, 13:30 Uhr BSI IT-Grundschutztag Tagungs- und Besucherzentrum

Mehr

Praktikum Anwendungssicherheit Hochschule der Medien Stuttgart. Protokoll. III: Eingri in die Programmlogik

Praktikum Anwendungssicherheit Hochschule der Medien Stuttgart. Protokoll. III: Eingri in die Programmlogik Praktikum Anwendungssicherheit Hochschule der Medien Stuttgart Protokoll III: Eingri in die Programmlogik Verfasser: Benjamin Zaiser E-Mail: bz003@hdm-stuttgart.de Studiengang: Computer Science and Media

Mehr

Eine Million Kundendaten gestohlen - Aktuelle Fälle von Datendiebstahl und wie sie grundsätzlich funktionieren

Eine Million Kundendaten gestohlen - Aktuelle Fälle von Datendiebstahl und wie sie grundsätzlich funktionieren Eine Million Kundendaten gestohlen - Aktuelle Fälle von Datendiebstahl und wie sie grundsätzlich funktionieren patrick.hof@redteam-pentesting.de http://www.redteam-pentesting.de netzwerk recherche 01./02.

Mehr

Web Application Security Testing

Web Application Security Testing Lehrstuhl für Rechnernetze und Internet Wilhelm-Schickard-Institut für Informatik Universität Tübingen Web Application Security Testing Carl-Daniel Hailfinger Betreuer: Pavel Laskov Ziele des Vortrags

Mehr

OWASP. Open Web Application Security Project. Dr. Ingo Hanke. IDEAS Information & Design Applications. Dr. Ingo Hanke

OWASP. Open Web Application Security Project. Dr. Ingo Hanke. IDEAS Information & Design Applications. Dr. Ingo Hanke OWASP IDEAS Information & Design Applications O WA S P O WA S P WA S ist Web Application Security? Part I: Web Application Security Aufgabe 1 Werte identifizieren Personenbezogene Daten Sachdaten Prozesse

Mehr

TimeMachine. Installation und Konfiguration. Version 1.4. Stand 21.11.2013. Dokument: install.odt. Berger EDV Service Tulbeckstr.

TimeMachine. Installation und Konfiguration. Version 1.4. Stand 21.11.2013. Dokument: install.odt. Berger EDV Service Tulbeckstr. Installation und Konfiguration Version 1.4 Stand 21.11.2013 TimeMachine Dokument: install.odt Berger EDV Service Tulbeckstr. 33 80339 München Fon +49 89 13945642 Mail rb@bergertime.de Versionsangaben Autor

Mehr

Bedrohung durch Cyberangriffe - Reale Gefahr für Ihr Unternehmen. Networker NRW, 5. Juni 2012, Kreisverwaltung Mettmann

Bedrohung durch Cyberangriffe - Reale Gefahr für Ihr Unternehmen. Networker NRW, 5. Juni 2012, Kreisverwaltung Mettmann Bedrohung durch Cyberangriffe - Reale Gefahr für Ihr Unternehmen Networker NRW, 5. Juni 2012, Kreisverwaltung Mettmann Zur Person Frank Broekman IT-Security Auditor (TÜV) Geschäftsführer der dvs.net IT-Service

Mehr

Web Exploit Toolkits - Moderne Infektionsroutinen -

Web Exploit Toolkits - Moderne Infektionsroutinen - Web Exploit Toolkits - Moderne Infektionsroutinen - Dominik Birk - Christoph Wegener 16. DFN Workshop Sicherheit in vernetzten Systemen Hannover, 18. März 2009 1 Die Vortragenden Dominik Birk Mitarbeiter

Mehr

Oracle Datenbank Security Lösungen

Oracle Datenbank Security Lösungen Und was kommt nach Heartbleed und ShellShock? Ein kritischer Überblick über die Security Produkte rund um die Oracle Datenbank Themenübersicht Herausforderungen im Security Bereich im letzten Jahr Security

Mehr

Internet: Was ist das? - Routing

Internet: Was ist das? - Routing Internet: Was ist das? - Routing Auch Router Server Router Client ClientServer? Grundlagen Internet Sicherheit Angriffe Schutz Internet Map, The Opte Project Internet: Was ist das? - Netzwerk Peer-to-Peer

Mehr

PENETRATIONSTESTS BEI WEB- SERVICES

PENETRATIONSTESTS BEI WEB- SERVICES BSI GRUNDSCHUTZTAG 2014 PENETRATIONSTESTS BEI WEB- SERVICES Dominik Oepen 1 GS-WEB-SERVICES ABGRENZUNG Web-Services Schnittstelle zum automatisierten Aufruf Aufruf durch Programme (auch andere Web-Services)

Mehr

Betroffene Produkte: Alle Versionen von Oracle Forms (3.0-10g, C/S und Web), Oracle Clinical, Oracle Developer Suite

Betroffene Produkte: Alle Versionen von Oracle Forms (3.0-10g, C/S und Web), Oracle Clinical, Oracle Developer Suite Zusammenfassung: Alle Oracle Forms Anwendungen sind per Default durch SQL Injection angreifbar. Oracle Applications >=11.5.9 ist davon nicht betroffen, da hier standardmäßig der Wert FORMSxx_RESTRICT_ENTER_QUERY

Mehr

SQL-Injection in the news Stand: 17.06.2006 24:00

SQL-Injection in the news Stand: 17.06.2006 24:00 Vernetzte Unternehmen I SQL-Injection Prof. Dr. H. Strack, Dipl.-Inf.(FH) Ch. Karich SQL-Injection in the news Stand: 17.06.2006 24:00 Heise-Newsticker: 02.06.06: SQL-Injection-Lücke in MySQL gestopft

Mehr

Session Management und Cookies

Session Management und Cookies LMU - LFE Medieninformatik Blockvorlesung Web-Technologien Wintersemester 2005/2006 Session Management und Cookies Max Tafelmayer 1 Motivation HTTP ist ein zustandsloses Protokoll Je Seitenaufruf muss

Mehr

Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona. T +41 55 214 41 60 F +41 55 214 41 61 team@csnc.ch www.csnc.ch

Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona. T +41 55 214 41 60 F +41 55 214 41 61 team@csnc.ch www.csnc.ch Compass Security AG Werkstrasse 20 Postfach 2038 CH-8645 Jona T +41 55 214 41 60 F +41 55 214 41 61 team@csnc.ch www.csnc.ch Cyber Alpen Cup 2013 11. November 2013 Inhaltsverzeichnis 1 CYBER ALPEN CUP

Mehr

Aktuelle Angriffstechniken auf Web-Applikationen. Andreas Kurtz cirosec GmbH, Heilbronn

Aktuelle Angriffstechniken auf Web-Applikationen. Andreas Kurtz cirosec GmbH, Heilbronn Aktuelle Angriffstechniken auf Web-Applikationen Andreas Kurtz cirosec GmbH, Heilbronn Gliederung Schwachstellen-Überblick Präsentation aktueller Angriffstechniken XPath-Injection Cross-Site Request Forgery

Mehr