Web Application Security WS 14/15 Sebastian Vogl, Christian von Pentz Lehrstuhl für Sicherheit in der Informatik / I20 Prof. Dr. Claudia Eckert Technische Universität München 07.10.2014 S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 1 / 21
Übersicht 1 Inhalt des Praktikums 2 Ablauf 3 Infrastruktur 4 Bewertung S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 2 / 21
Outline 1 Inhalt des Praktikums Ziel des Praktikums Themenübersicht 2 Ablauf 3 Infrastruktur 4 Bewertung S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 3 / 21
Inhalt des Praktikums Ziel des Praktikums Exploiten von Sicherheitslücken in Web Applikationen Erstellung sicherer Webanwendungen S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 4 / 21
Inhalt des Praktikums Themenübersicht Injection-Schwachstellen Cross-Site-Scripting (XSS) Cross-Site-Request-Forgery Include-Schwachstellen Upload-Schwachstellen S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 5 / 21
Outline 1 Inhalt des Praktikums 2 Ablauf Phase I Phase II 3 Infrastruktur 4 Bewertung S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 6 / 21
Ablauf Arbeit in Zweierteams S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 7 / 21
Ablauf Phase I (9 Wochen): Einarbeitung in neue Themengebiete Aufgabenblätter (insgesamt 9) Phase II (5 Wochen): Abschlussprojekt S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 8 / 21
Ablauf Phase I Diskussion des aktuellen Aufgabenblattes Diskussion eines Lösungsansatzes Vorschlag zur Beseitigung der Schwachstelle Vorstellung durch ein zufällig gewähltes Team Einführung in das neue Themengebiet Herausgabe des neuen Aufgabenblattes Abgabe Die darauffolgende Woche vor Beginn des Praktikums S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 9 / 21
Ablauf Phase II Abschlussprojekt Erstellung einer verwundbaren Webapplikation Erstellung eines Exploits das die Schwachstelle/n in der Applikation ausnützt Schriftliche Ausarbeitung (ca. 5 Seiten) Präsentation der Applikation und des Exploits (letzte Woche) Angriff der Applikation durch die anderen Teams (vorletzte Woche) Details folgen im Laufe des Praktikums S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 10 / 21
Outline 1 Inhalt des Praktikums 2 Ablauf 3 Infrastruktur Server SSH-Login Mailingliste 4 Bewertung S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 11 / 21
Infrastruktur Server Praktikumsserver 1 hacky1 (Aufgaben) 2 hacky2 (Development) Die Server sind von außen nicht zugänglich sondern nur über praksrv@sec.in.tum.de erreichbar. S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 12 / 21
Infrastruktur SSH-Login Praktikumsraum http://hacky<nr>/ ssh team<nr>@hacky2 Von zu Hause ssh -D <port> team<nr>@praksrv.sec.in.tum.de (Socks) ssh -f -N -L <port>:hacky2:22 team<nr>@praksrv.sec.in.tum.de ssh -p <port> team<nr>@localhost (SSH) S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 13 / 21
Infrastruktur Mailingliste websec@sec.in.tum.de S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 14 / 21
Outline 1 Inhalt des Praktikums 2 Ablauf 3 Infrastruktur 4 Bewertung Generelle Regeln Übersicht Abgaben Richtlinien für die Abgabe von Aufgaben Richtlinien für die Abgabe von Aufgabenblättern S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 15 / 21
Bewertung Generelle Regeln 1 Jeder Angriff auf das System der nicht im Zusammenhang mit dem Praktikum steht ist verboten 2 Der Zugriff auf die Dateien anderer Studenten ist verboten 3 Angriffe auf andere Systeme sind verboten Der Verstoß gegen eine dieser Regeln kann zu einem Nichtbestehen des Praktikums führen. S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 16 / 21
Bewertung Übersicht Aufgabenblätter (72%, 8% pro Übungsblatt) 100 Punkte pro Aufgabenblatt Vorträge Abschlussprojekt (28%) Angreifbares Programm und Exploit (10%) Schriftliche Ausarbeitung (4%) Präsentation (4%) Angriffe auf andere Teams (10%) Erhält ein Teilnehmer 0 Punkte auf ein Übungsblatt oder einen Teil des Abschlussprojektes, wird das gesamte Praktikum mit 0 Punkten bewertet! S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 17 / 21
Bewertung Abgaben 1 Richtlinien für die Abgabe von Aufgaben 2 Richtlinien für die Abgabe von Aufgabenblättern S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 18 / 21
Bewertung Richtlinien für die Abgabe von Aufgaben Exploit Es wird grundsätzlich immer ein Exploit für eine Schwachstelle abgegeben Ausführung auf hacky2 Makefile exploit_aufgabe_<nr>.x Sonstiges Vorschlag für die Beseitigung der Schwachstelle Gecrackte Passwörter oder andere Informationen Anmerkungen zum Exploit loesung_aufgabe_<nr>.txt. S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 19 / 21
Bewertung Richtlinien für die Abgabe von Aufgabenblättern Abgabe per E-Mail an vogls@sec.in.tum.de Abgabe vor Beginn des Praktikums Einzelnes Tar-Archiv das alle Dateien (siehe vorherige Folie) eines Aufgabenblattes enthält (team<nr>_aufgabenblatt_<nr>.tar) S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 20 / 21
Fragen? S. Vogl, C. von Pentz (Lehrstuhl I20, TUM) Web Application Security - WS 14/15 07.10.2014 21 / 21