Web Application Security

Transkript

1 Web Application Security WS 14/15 Sebastian Vogl, Christian von Pentz Lehrstuhl für Sicherheit in der Informatik / I20 Prof. Dr. Claudia Eckert Technische Universität München S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

2 Übersicht 1 Inhalt des Praktikums 2 Ablauf 3 Infrastruktur 4 Bewertung S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

3 Outline 1 Inhalt des Praktikums Ziel des Praktikums Themenübersicht 2 Ablauf 3 Infrastruktur 4 Bewertung S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

4 Inhalt des Praktikums Ziel des Praktikums Exploiten von Sicherheitslücken in Web Applikationen Erstellung sicherer Webanwendungen S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

5 Inhalt des Praktikums Themenübersicht Injection-Schwachstellen Cross-Site-Scripting (XSS) Cross-Site-Request-Forgery Include-Schwachstellen Upload-Schwachstellen S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

6 Outline 1 Inhalt des Praktikums 2 Ablauf Phase I Phase II 3 Infrastruktur 4 Bewertung S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

7 Ablauf Arbeit in Zweierteams S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

8 Ablauf Phase I (9 Wochen): Einarbeitung in neue Themengebiete Aufgabenblätter (insgesamt 9) Phase II (5 Wochen): Abschlussprojekt S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

9 Ablauf Phase I Diskussion des aktuellen Aufgabenblattes Diskussion eines Lösungsansatzes Vorschlag zur Beseitigung der Schwachstelle Vorstellung durch ein zufällig gewähltes Team Einführung in das neue Themengebiet Herausgabe des neuen Aufgabenblattes Abgabe Die darauffolgende Woche vor Beginn des Praktikums S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

10 Ablauf Phase II Abschlussprojekt Erstellung einer verwundbaren Webapplikation Erstellung eines Exploits das die Schwachstelle/n in der Applikation ausnützt Schriftliche Ausarbeitung (ca. 5 Seiten) Präsentation der Applikation und des Exploits (letzte Woche) Angriff der Applikation durch die anderen Teams (vorletzte Woche) Details folgen im Laufe des Praktikums S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

11 Outline 1 Inhalt des Praktikums 2 Ablauf 3 Infrastruktur Server SSH-Login Mailingliste 4 Bewertung S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

12 Infrastruktur Server Praktikumsserver 1 hacky1 (Aufgaben) 2 hacky2 (Development) Die Server sind von außen nicht zugänglich sondern nur über [email protected] erreichbar. S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

13 Infrastruktur SSH-Login Praktikumsraum ssh Von zu Hause ssh -D <port> (Socks) ssh -f -N -L <port>:hacky2:22 ssh -p <port> (SSH) S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

14 Infrastruktur Mailingliste S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

15 Outline 1 Inhalt des Praktikums 2 Ablauf 3 Infrastruktur 4 Bewertung Generelle Regeln Übersicht Abgaben Richtlinien für die Abgabe von Aufgaben Richtlinien für die Abgabe von Aufgabenblättern S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

16 Bewertung Generelle Regeln 1 Jeder Angriff auf das System der nicht im Zusammenhang mit dem Praktikum steht ist verboten 2 Der Zugriff auf die Dateien anderer Studenten ist verboten 3 Angriffe auf andere Systeme sind verboten Der Verstoß gegen eine dieser Regeln kann zu einem Nichtbestehen des Praktikums führen. S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

17 Bewertung Übersicht Aufgabenblätter (72%, 8% pro Übungsblatt) 100 Punkte pro Aufgabenblatt Vorträge Abschlussprojekt (28%) Angreifbares Programm und Exploit (10%) Schriftliche Ausarbeitung (4%) Präsentation (4%) Angriffe auf andere Teams (10%) Erhält ein Teilnehmer 0 Punkte auf ein Übungsblatt oder einen Teil des Abschlussprojektes, wird das gesamte Praktikum mit 0 Punkten bewertet! S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

18 Bewertung Abgaben 1 Richtlinien für die Abgabe von Aufgaben 2 Richtlinien für die Abgabe von Aufgabenblättern S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

19 Bewertung Richtlinien für die Abgabe von Aufgaben Exploit Es wird grundsätzlich immer ein Exploit für eine Schwachstelle abgegeben Ausführung auf hacky2 Makefile exploit_aufgabe_<nr>.x Sonstiges Vorschlag für die Beseitigung der Schwachstelle Gecrackte Passwörter oder andere Informationen Anmerkungen zum Exploit loesung_aufgabe_<nr>.txt. S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

20 Bewertung Richtlinien für die Abgabe von Aufgabenblättern Abgabe per an Abgabe vor Beginn des Praktikums Einzelnes Tar-Archiv das alle Dateien (siehe vorherige Folie) eines Aufgabenblattes enthält (team<nr>_aufgabenblatt_<nr>.tar) S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21

21 Fragen? S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/ / 21