Inhalte überspringen »
Alle Topthemen
Donnerstag, 23. April 2009
About Security #201: Schwachstellen-Suche: Vertrauensbeziehungen ausnutzen
Angriffe auf die Architektur der Webanwendung werden bei deren Untersuchung
auf Schwachstellen oft übersehen, obwohl sie eine nicht zu
unterschätzende Gefahr darstellen.
Bei Anwendungen, die aus mehreren Schichten bestehen, können
Schwachstellen in einer bzw. Angriffe auf eine Schicht sehr schnell zur
Kompromittierung des Gesamtsystems führen. In Umgebungen, in denen
verschiedene Anwendung die gleiche Infrastruktur nutzen, können
Schwachstellen in …
Donnerstag, 16. April 2009
About Security #200: Ein Rückblick auf 4 Jahre IT-Sicherheit
Dies ist die 200. Folge "About Security", dazu kommen jeweils vier nicht
nummerierte Weihnachts-Special und CeBIT-Berichte. Damit handelt es sich um
ein doppeltes Jubiläum: Die Serie wird gleichzeitig 4 Jahre alt, #1
erschien am 14.4.2005. 4 Jahre - das ist im IT-Bereich eine halbe Ewigkeit.
Da lohnt es sich, mal einen Blick auf die Entwicklungen …
Mittwoch, 15. April 2009
Microsoft Patchday schließt 23 Schwachstellen
Am April-Patchday hat Microsoft wie
angekündigt
fünf als kritisch, zwei als wichtig und ein als moderat eingestuftes Security-Bulletin
veröffentlicht,
die insgesamt 23 Schwachstellen schließen. In Microsofts Security Resarch &
Defense Blog wurde eine Übersicht über die Dringlichkeit der Patches
veröffentlicht.
MS09-009 - 2 Schwachstellen in Excel
Das als kritisch eingestufte Security Bulletin
MS09-009
betrifft Microsoft Excel: Je eine bisher …
Dienstag, 14. April 2009
Conficker wird aktiv - ein Grund zur Panik?
Die bis dahin aktuelle Variante des RPC-Wurms Conficker/Downadup hat am 7. April
begonnen, Code nachzuladen. Laut einem Bericht von
Trend Micro
wird die Peer-to-Peer-Funktion genutzt, um eine neue Variante des Wurms
nachzuladen, der von Trend Micro als
WORM_DOWNAD.E
bezeichnet wird.
Die neue Variante
Laut
Trend Micro
und
F-Secure
wird sich die neue Variante am 3. Mai selbst deaktivieren. Bis dahin
versucht sie, …
Donnerstag, 9. April 2009
About Security #199: Schwachstellen-Suche: Formatstrings
Eine Formatstring-Schwachstelle entsteht, wenn Benutzereingaben
ungeprüft und ungefiltert an bestimmte C-Funktionen wie z.B.
printf() übergeben werden, die formatierten Text ausgeben
können. Diese Funktionen akzeptieren eine unterschiedliche Anzahl von
Parametern, die aus verschiedenen Datentypen wie Zahlen oder Strings
bestehen können. Der gleichzeitig übergebene Formatstring
spezifiziert, welche Daten in den Variablen enthalten sind und in welchem
Format sie dargestellt werden …
Donnerstag, 2. April 2009
About Security #198: Schwachstellen-Suche: Integer-Schwachstellen
Integer-Schwachstellen treten häufig dann auf, wenn ein Programm
Rechenoperationen mit Längenwerten durchführt, ohne dabei die
Behandlung von Integer-Werten durch Compiler und Prozessor zu
berücksichtigen. Besonders häufig kommt es dann zu
Integerüberläufen oder Vorzeichenfehlern.
Integerüberläufe (Integer Overflows)
Zu einem Integerüberlauf kommt es, wenn bei einer Rechenoperation mit
Integerwerten das Ergebnis größer als der maximal mögliche
Wert oder kleiner als der …
Donnerstag, 26. März 2009
About Security #197: Schwachstellen-Suche: Pufferüberläufe verhindern
In About Security
#196
wurden die Testeingaben für die Suche nach
Pufferüberlauf-Schwachstellen beschrieben, in dieser Folge erfahren
Sie, worauf Sie bei der Auswertung der Ausgaben achten müssen und wie
Angriffe über Pufferüberlauf-Schwachstellen verhindert werden
können.
Pufferüberlauf-Schwachstellen finden
Nach jeder präparierten Eingabe wird die Ausgabe der Webanwendung auf
auffällige Zeichen hin überprüft. Da der Pufferüberlauf
meist erst gegen Ende der Verarbeitungskette …
Donnerstag, 19. März 2009
Risiken durch Manipulation per Social-Engineering
Die GUUG-Konferenz 2009 ist zu Ende gegangen. Das Frühjahrsgespräch der German Unix User Group (GUUG) e.V. findet einmal im Jahr statt und richtet sich an Profis, die in den Bereichen Unix, Netze und IT-Sicherheit tätig sind. Unter einer Reihe von Vorträgen wurden u.a. die Ausführungen von Stefan Schumacher zum Thema "Psychologische …
About Security #196: Schwachstellen-Suche: Pufferüberläufe finden
Thema dieser Folge ist die Suche nach Pufferüberlauf-Schwachstellen
in Webanwendungen. Pufferüberläufe (Bufferoverflows) kommen nur
in kompilierten Programmen vor, während Webanwendungen meist in
interpretierten Skriptsprachen geschrieben werden. Aber auch dabei
können kompilierte Programme zum Einsatz kommen, z.B. wenn eine
vorhandene Anwendung um eine Weboberfläche erweitert wurde oder die
Webanwendung auf externe Komponenten zugreift. Auch die webbasierten
Administrationsoberflächen von Geräten …
Donnerstag, 12. März 2009
About Security: Ein Bericht von der CeBIT 2009
Die CeBIT 2009 ist vorüber, Zeit für den schon traditionellen
Bericht über Neuigkeiten.
UTM mit identitätsbasierten Ansatz
Cyberoam
(deutscher Vertrieb über
Intellicomp)
hat eine Reihe von Unified Threat Management Appliances vorgestellt. Das
besondere daran: Es handelt sich um identitätsbasierte Systeme, bei
denen die jeweiligen Einstellungen für den jeweils identifizierten
Benutzer und nicht für eine vorgegebene IP-Adresse bzw. einen
vorgegebenen IP-Adressbereich …
Mittwoch, 11. März 2009
Microsoft Patchday: 8 Schwachstellen korrigiert, darunter eine kritische
Am März-Patchday hat Microsoft wie angekündigt ein als kritisch und zwei als wichtig
eingestufte Security-Bulletins veröffentlicht, die insgesamt 8 Schwachstellen
schließen.
MS09-006: Drei Schwachstellen im Windows-Kernel
Das insgesamt als kritisch eingestufte Security Bulletin MS09-006 betrifft drei bisher nicht öffentlich
bekannte Schwachstellen im Windows-Kernel. Eine Schwachstelle in
GDI erlaubt die Ausführung beliebigen Codes, wenn eine entsprechend
präparierte EMF- oder …
Donnerstag, 5. März 2009
About Security #195: Schwachstellen-Suche: LDAP-Injection verhindern
In dieser Folge geht es um eine weitere Möglichkeit der
LDAP-Injection-Angriffe: Manchmal wird die Benutzereingabe nicht direkt als
Suchfilter übernommen, sondern als Teil eines komplexeren Filters
verwendet. Ein Angreifer kann dann versuchen, durch eine entsprechend
formulierte Suchanfrage die vorhandene Anwendungslogik zu manipulieren, um
auf eigentlich nicht zugängliche Daten zuzugreifen.
Ein Beispiel
Im Beispiel aus About Security
#194
soll der …
Donnerstag, 26. Februar 2009
About Security #194: Schwachstellen-Suche: LDAP-Injection
Das Lightweight Directory Access Protocol LDAP dient der Abfrage von
Verzeichnisdiensten. Auch in LDAP-Abfragen kann analog zum Vorgehen bei
einer SQL- oder XPath-Injection zusätzlicher Code eingefügt
werden, mit dem die Abfrage manipuliert und auf eigentlich nicht
zugängliche Daten zugegriffen werden kann.
LDAP - Eine kurze Einführung
LDAP dient dem Zugriff auf hierarchisch organisierte Verzeichnisse, die
prinzipiell beliebige Daten …
Donnerstag, 19. Februar 2009
About Security #193: Schwachstellen-Suche: SMTP-Command-Injection
In About Security
#192
wurde die SMTP-Header-Injection beschrieben, d.h. das Einfügen
weiterer Header in eine über SMTP übertragene E-Mail. In dieser
Folge wird ein weiterführender Angriff auf SMTP beschrieben: Die SMTP
Command Injection, das Einfügen zusätzlicher SMTP-Befehle.
Im Beispiel in About Security
#192
wurde die SMTP-Kommunikation durch den PHP-Befehl mail()
abgewickelt. Statt dessen kann die Webanwendung auch die …
Donnerstag, 12. Februar 2009
About Security #192: Schwachstellen-Suche: SMTP-Header-Injection
In dieser Folge geht es um das Einschleusen zusätzlicher Daten in
SMTP. SMTP, das Simple Mail Transfer Protocol, ist für das Versenden
bzw. den Transport von E-Mails zuständig und kommt im Rahmen von
Webanwendungen immer dann zum Einsatz, wenn Daten z.B. aus einem
Kontaktformular per E-Mail verschickt werden.
Kurze Einführung in SMTP
SMTP wurde erstmals 1982 in …
Mittwoch, 11. Februar 2009
Microsoft Patchday: 8 Schwachstellen, darunter 3 kritische, korrigiert
Am Februar-Patchday hat Microsoft wie
angekündigt
zwei als kritisch und zwei als wichtig eingestufte Security-Bulletins
veröffentlicht,
die insgesamt 8 Schwachstellen schließen: Zwei kritische im Internet
Explorer, eine kritische und eine wichtige im Exchange Server, eine
wichtige im SQL Server und drei wichtige in Office Visio. Bis auf die
Schwachstelle im SQL Server waren alle Schwachstellen zuvor nicht
öffentlich …
Donnerstag, 5. Februar 2009
About Security #191: Schwachstellen-Suche: SOAP-Injection finden
Auch in dieser Folge ist das Thema die SOAP-Injection bzw. das Einschleusen
eigenen Codes in SOAP. Zuerst wird das Beispiel aus About Security
#190
um einen weiteren Angriff erweitert.
Die betroffene Backend-Anwendung verwendet jetzt das letzte gefundene
<Gedeckt>-Element . Wie in About Security
#190
beschrieben, ist es beim vorgestellten Aufbau der SOAP-Nachricht nicht
möglich, hinter das vorhandene <Gedeckt>-Element
Code …
Donnerstag, 29. Januar 2009
About Security #190: Schwachstellen-Suche: SOAP-Injection
SOAP-Injection bzw. das Einschleusen eigenen Codes in SOAP ist das Thema
dieser Folge.
SOAP, das Simple Object Access Protocol, dient dem Austausch von Daten und
dem Durchführen von Remote Procedure Calls (RPC, entfernte
Prozedur-Aufrufe) zwischen verschiedenen Servern. SOAP stützt sich auf
verschiedene andere Standards: XML für die Repräsentation der
Daten und Internet-Protokolle für ihren Austausch. Sein
Haupteinsatzgebiet ist …
Freitag, 23. Januar 2009
Conficker - Ein Wurm rast um die Welt
Der RPC-Wurm 'Conficker' ist in aller Munde und auf vielen Rechnern. Was es
damit eigentlich auf sich hat, erfahren Sie hier.
Vorgeplänkel
Alles fing ganz harmlos an: Am 23. Oktober patchte Microsoft
außer der Reihe
eine kritische
Schwachstelle im RPC-Service.
Laut Microsoft wurde die Schwachstelle zuvor schon für gezielte Angriffe
ausgenutzt, einen sich darüber verbreitenden Wurm gab es …
Donnerstag, 22. Januar 2009
About Security #189: Schwachstellen-Suche: XPath-Injection
In dieser Folge geht es weiter um die in About Security
#188
beschriebenen XPath-Injection-Schwachstellen: Sie erfahren, was Blind
XPath-Injection ist und wie Sie die Schwachstellen finden und verhindern
können.
Blind XPath-Injection
Sind keine Informationen über die XML-Datei bekannt, kann vergleichbar
dem Vorgehen bei der Blind SQL-Injection (siehe About Security
#175)
eine Blind XPath-Injection durchgeführt werden. XPath erlaubt Schritte
relativ …
