Autor: Stefan
-
Teil 5 – Ausblick & Ressourcen zu Local File Inclusion (LFI)
Warum LFI ein Dauerproblem bleibt Viele halten LFI für eine „alte PHP-Schwachstelle“. Doch die Realität zeigt: LFI ist bis heute aktuell. Warum? LFI vs. RFI – der kleine, aber feine Unterschied Warum RFI seltener ist Warum LFI trotzdem gefährlicher sein kann LFI als Sprungbrett 1. Informationslecks 2. Remote Code Execution 3. Privilegienausweitung Zukunft von LFI…
-
LFI: Teil 4 – Schutzmaßnahmen gegen LFI und Best Practices
Rückblick: Das Problem Wir haben gesehen, dass LFI entsteht, wenn Anwendungen unkontrolliert Dateien anhand von Benutzereingaben laden. Die gute Nachricht: Mit den richtigen Maßnahmen lässt sich LFI zuverlässig verhindern. 1. Niemals direkte Includes aus Benutzereingaben Das ist der Kernfehler: Angreifer haben hier freie Hand. Besser: Whitelisting 2. Mapping statt Dateinamen Noch besser: Arbeite gar nicht…
-
SSRF verstehen – Teil 1: Einführung in Server-Side Request Forgery
Was ist SSRF überhaupt? Server-Side Request Forgery (SSRF) ist eine Sicherheitslücke, bei der ein Angreifer es schafft, dass der Server selbst Netzwerk-Anfragen ausführt – und zwar zu Zielen, die der Angreifer bestimmt. Das klingt zunächst abstrakt. Machen wir es greifbar: Warum ist das gefährlich? SSRF vs. CSRF – oft verwechselt 👉 Der Unterschied: Bei SSRF…
-
OWASP Top 10 – Teil 10: Server-Side Request Forgery (SSRF)
Was bedeutet „SSRF“? Bei einem Server-Side Request Forgery (SSRF) wird ein Server dazu gebracht, unerwartete oder ungewollte Anfragen zu verschicken – oft innerhalb des eigenen Netzwerks. Das Besondere:Der Angreifer schickt seine Anfrage nicht direkt an das Ziel, sondern nutzt den verwundbaren Server als Proxy. So kann er Systeme erreichen, die von außen eigentlich nicht zugänglich…
-
OWASP Top 10 – Teil 9: Security Logging and Monitoring Failures
Was bedeutet „Security Logging and Monitoring Failures“? Damit sind Fehler bei der Protokollierung und Überwachung von sicherheitsrelevanten Ereignissen gemeint. Einfach gesagt:Wenn eine Anwendung Angriffe nicht erkennt oder nicht meldet, können Angreifer ungestört Schaden anrichten – manchmal über Monate oder Jahre. Typische Beispiele aus der Praxis Warum ist das so gefährlich? Wie schützt man sich?
-
OWASP Top 10 – Teil 8: Software and Data Integrity Failures
Was bedeutet „Software and Data Integrity Failures“? Hier geht es um Probleme, wenn Software oder Daten nicht zuverlässig geschützt werden und Angreifer unbemerkt Änderungen einschleusen können. Im Klartext:Wenn eine Anwendung nicht sicherstellt, dass Code, Updates oder Daten echt und unverändert sind, besteht das Risiko, dass Schadcode ausgeführt wird oder manipulierte Informationen ins System gelangen. Typische…
-
OWASP Top 10 – Teil 7: Identification and Authentication Failures
Was bedeutet „Identification and Authentication Failures“? Hier geht es um Fehler bei Login-Mechanismen und der Verwaltung von Benutzeridentitäten.Wenn eine Anwendung nicht zuverlässig prüft, wer sich anmeldet und wie sicher diese Anmeldung ist, können Angreifer Konten übernehmen oder Sicherheitsbarrieren umgehen. Früher war dieser Punkt als „Broken Authentication“ bekannt – die neue Bezeichnung verdeutlicht, dass sowohl Identifizierung…
-
OWASP Top 10 – Teil 6: Vulnerable and Outdated Components
Was bedeutet „Vulnerable and Outdated Components“? Fast jede moderne Anwendung nutzt Bibliotheken, Frameworks und externe Komponenten.Wenn diese Teile veraltet sind oder bekannte Sicherheitslücken enthalten, wird die gesamte Anwendung angreifbar – auch wenn der eigene Code fehlerfrei ist. Beispiel:Eine Web-App läuft mit einer alten Version von jQuery, die für XSS-Angriffe anfällig ist. Schon allein dadurch können…
-
OWASP Top 10 – Teil 5: Security Misconfiguration
Was bedeutet „Security Misconfiguration“? Unter „Security Misconfiguration“ versteht man falsch eingestellte oder unzureichend abgesicherte Systeme, Server oder Anwendungen.Oft entstehen diese Schwachstellen nicht durch Programmierfehler, sondern durch menschliche Fehler bei der Einrichtung. Beispiel:Ein Webserver läuft mit Standard-Admin-Passwort oder gibt unnötig viele technische Fehlermeldungen preis. Typische Beispiele aus der Praxis Warum ist das so gefährlich? Wie schützt…
-
Teil 4 – Wie man sich gegen IDOR schützt
Das Grundprinzip: Autorisierung auf Objektebene Die wichtigste Verteidigung gegen IDOR ist, dass der Server nicht nur prüft, ob ein Nutzer eingeloggt ist, sondern auch, ob er wirklich berechtigt ist, auf genau dieses Objekt zuzugreifen.Ein Login allein reicht nicht. Ein Nutzer kann authentifiziert sein und trotzdem fremde Daten anfragen. Darum braucht es eine zusätzliche Autorisierungsprüfung: Nur…