© DrHitch/Shutterstock.com
Websecurity

Vorwort


Dieser shortcut beschäftigt sich mit drei oft unterschätzten Angriffen bzw. Schwachstellen.

Da wäre zunächst die Server-Side Request Forgery (SSRF). Haben Sie davon schon mal gehört? Nicht? Da haben Sie aber Glück, dass es den meisten Cyberkriminellen genauso geht, denn diese Schwachstellen haben das Potenzial, großen Schaden anzurichten.

Über SSRF können zum Beispiel alle Webanwendungen angegriffen werden, die einem Content Delivery Network wie zum Beispiel dem von Akamai vertrauen. Sofern das CDN eine Schwachstelle enthält, wie es bei Akamai der Fall war. Diese Schwachstelle wurde zwar behoben, aber wer weiß schon, wo noch überall welche darauf warten, entdeckt zu werden? Außerdem lassen sich die Angriffe über CDN unter Umständen auch auf andere Dienste übertragen, denen die Webanwendungen in immer größerem Maße vertrauen.

Darüber hinaus lassen sich über SSRF auch Systeme angreifen, die eigentlich nicht aus dem Internet zugänglich sind. Der Angreifer muss nur einen Server, der eine Verbindung zum ihm nicht zugänglichen Server aufbauen kann, dazu bringen, seine Requests für ihn abzuschicken. Was über SSRF und meist in Verbindung mit XML-Schwachstellen mehr oder weniger problemlos möglich ist.

Mal abgesehen von den Angriffen über CDN betreffen die SSRF-Schwachstellen die Webanwendungen nur sekundär: Die Cyberkriminellen nutzen diese Schwachstellen in den Webanwendungen nur, um darüber ihre Angriffe an Server schicken zu lassen, die sie selbst nicht erreichen können. Aber diese Server vertrauen den Webanwendungen, und wenn dieses Vertrauen durch einen Angriff missbraucht wird, ist das zumindest peinlich, zumal sich der Angegriffene zunächst an den wenden wird, von dem der Angriff in seinen Augen ausging, und zwar von der Webanwendung. Somit wird er an deren Betreiber oder Entwickler herantreten. Es gibt also mehr als genug Gründe, darauf zu achten, dass die eigene Webanwendung keine SSRF-Schwachstellen enthält.

Dann haben wir da die Cross-Side Request Forgery (CSRF). Die wurde erstmals 1988 beschrieben, damals noch unter dem Namen „Confused Deputy“. 2001 wurde der Name Cross-Site Request Forgery für diese Art von Angriffen geprägt, und eigentlich sollte es entsprechende Schwachstellen ja wohl längst nicht mehr geben. Immerhin schreiben wir das Jahr 2015, und nach 14 Jahren sollte eigentlich jeder Webentwickler wissen, was CSRF ist und wie er seine Anwendung vor diesen Angriffen schützt. Leider ist das aber ganz und gar nicht so, auch 2014 und 2015 wurde...

Neugierig geworden? Wir haben diese Angebote für dich:

Angebote für Gewinner-Teams

Wir bieten Lizenz-Lösungen für Teams jeder Größe: Finden Sie heraus, welche Lösung am besten zu Ihnen passt.

Das Library-Modell:
IP-Zugang

Das Company-Modell:
Domain-Zugang