Kategorie: Websecurity

  • OWASP Top 10 – Teil 8: Software and Data Integrity Failures

    —

    von

    Stefan
    in , ,

    Was bedeutet „Software and Data Integrity Failures“? Hier geht es um Probleme, wenn Software oder Daten nicht zuverlässig geschützt werden und Angreifer unbemerkt Änderungen einschleusen können. Im Klartext:Wenn eine Anwendung nicht sicherstellt, dass Code, Updates oder Daten echt und unverändert sind, besteht das Risiko, dass Schadcode ausgeführt wird oder manipulierte Informationen ins System gelangen. Typische…

  • OWASP Top 10 – Teil 9: Security Logging and Monitoring Failures

    —

    von

    Stefan
    in , ,

    Was bedeutet „Security Logging and Monitoring Failures“? Damit sind Fehler bei der Protokollierung und Überwachung von sicherheitsrelevanten Ereignissen gemeint. Einfach gesagt:Wenn eine Anwendung Angriffe nicht erkennt oder nicht meldet, können Angreifer ungestört Schaden anrichten – manchmal über Monate oder Jahre. Typische Beispiele aus der Praxis Warum ist das so gefährlich? Wie schützt man sich?

  • OWASP Top 10 – Teil 10: Server-Side Request Forgery (SSRF)

    —

    von

    Stefan
    in , ,

    Was bedeutet „SSRF“? Bei einem Server-Side Request Forgery (SSRF) wird ein Server dazu gebracht, unerwartete oder ungewollte Anfragen zu verschicken – oft innerhalb des eigenen Netzwerks. Das Besondere:Der Angreifer schickt seine Anfrage nicht direkt an das Ziel, sondern nutzt den verwundbaren Server als Proxy. So kann er Systeme erreichen, die von außen eigentlich nicht zugänglich…

  • SSRF verstehen – Teil 1: Einführung in Server-Side Request Forgery

    —

    von

    Stefan
    in , ,

    Was ist SSRF überhaupt? Server-Side Request Forgery (SSRF) ist eine Sicherheitslücke, bei der ein Angreifer es schafft, dass der Server selbst Netzwerk-Anfragen ausführt – und zwar zu Zielen, die der Angreifer bestimmt. Das klingt zunächst abstrakt. Machen wir es greifbar: Warum ist das gefährlich? SSRF vs. CSRF – oft verwechselt 👉 Der Unterschied: Bei SSRF…

  • OWASP Top 10 – Teil 5: Security Misconfiguration

    —

    von

    Stefan
    in , ,

    Was bedeutet „Security Misconfiguration“? Unter „Security Misconfiguration“ versteht man falsch eingestellte oder unzureichend abgesicherte Systeme, Server oder Anwendungen.Oft entstehen diese Schwachstellen nicht durch Programmierfehler, sondern durch menschliche Fehler bei der Einrichtung. Beispiel:Ein Webserver läuft mit Standard-Admin-Passwort oder gibt unnötig viele technische Fehlermeldungen preis. Typische Beispiele aus der Praxis Warum ist das so gefährlich? Wie schützt…

  • Was ist OWASP?

    —

    von

    Stefan
    in , ,

    OWASP steht für Open Web Application Security Project. Es handelt sich um eine weltweite Non-Profit-Organisation, die sich der Verbesserung der Sicherheit von Software verschrieben hat.Das bekannteste Projekt von OWASP sind die OWASP Top 10: eine regelmäßig aktualisierte Liste der zehn größten Sicherheitsrisiken für Webanwendungen. Warum sind die OWASP Top 10 wichtig? Die aktuellen OWASP Top…

  • Teil 4 – Wie man sich gegen IDOR schützt

    —

    von

    Stefan
    in , ,

    Das Grundprinzip: Autorisierung auf Objektebene Die wichtigste Verteidigung gegen IDOR ist, dass der Server nicht nur prüft, ob ein Nutzer eingeloggt ist, sondern auch, ob er wirklich berechtigt ist, auf genau dieses Objekt zuzugreifen.Ein Login allein reicht nicht. Ein Nutzer kann authentifiziert sein und trotzdem fremde Daten anfragen. Darum braucht es eine zusätzliche Autorisierungsprüfung: Nur…

  • SSRF verstehen – Teil 4: SSRF in der Cloud (AWS, Azure & GCP)

    —

    von

    Stefan
    in , ,

    Rückblick: Warum SSRF in der Cloud so kritisch ist In klassischen Rechenzentren kann SSRF „nur“ interne Dienste wie Datenbanken, Admin-Panels oder Monitoring-Systeme treffen.In der Cloud kommt eine neue Dimension hinzu: AWS – Instance Metadata Service (IMDS) Endpoint Wichtige Pfade: Beispiel (ohne Schutz) Schutz Azure – Instance Metadata Service (IMDS) Endpoint Besonderheit Azure verlangt zwingend den…

  • OWASP Top 10 – Teil 4: Insecure Design

    —

    von

    Stefan
    in , ,

    Was bedeutet „Insecure Design“? „Insecure Design“ beschreibt grundlegende Schwächen in der Architektur oder Planung einer Anwendung.Es geht also nicht nur um einen Programmierfehler im Code, sondern darum, dass Sicherheit von Anfang an nicht richtig berücksichtigt wurde. Ein Beispiel:Wenn ein Online-Shop keine Zwei-Faktor-Authentifizierung für Admin-Accounts vorsieht, ist das kein Bug im Code, sondern ein Designproblem. Typische…

  • OWASP Top 10 – Teil 3: Injection

    —

    von

    Stefan
    in , ,

    Was bedeutet „Injection“? Eine Injection-Schwachstelle entsteht, wenn ein Angreifer fremden Code einschleusen kann, der dann von der Anwendung ausgeführt wird. Am bekanntesten ist die SQL-Injection, bei der Angreifer Befehle in eine Datenbank einschleusen. Aber es gibt viele Varianten: z. B. OS Command Injection, LDAP Injection oder NoSQL Injection. Kurz gesagt: Immer wenn Daten von außen…