Cross Site Scripting - Versionsgeschichte

Kowa am 16. Mai 2019 um 13:40 Uhr

2019-05-16T13:40:05Z

Kowa am 26. Juni 2013 um 17:29 Uhr

2013-06-26T17:29:35Z

← Nächstältere Version		Version vom 26. Juni 2013, 17:29 Uhr
Zeile 158:		Zeile 158:
	* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}		* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}
	* {{Quelle\|Rütten, Glemser (2006)}}		* {{Quelle\|Rütten, Glemser (2006)}}
	* {{Quelle\|Fuhrberg, Häger, Wolf (2001)}}		* {{Quelle\|Fuhrberg, Kai; Häger, Dirk; Wolf, Stefan (2001): Internet-Sicherheit}}
	* {{Quelle\|Schwenk (2002)}}		* {{Quelle\|Schwenk (2002)}}
	* {{Quelle\|Kyas (1999)}}		* {{Quelle\|Kyas (1999)}}

Kowa am 22. Juni 2013 um 10:26 Uhr

2013-06-22T10:26:33Z

← Nächstältere Version		Version vom 22. Juni 2013, 10:26 Uhr
Zeile 1:		Zeile 1:
	{{Qualität		{{Qualität
	\|correctness = 3		\|correctness = 2
	\|extent = 4		\|extent = 4
	\|numberOfReferences = 5		\|numberOfReferences = 5

Kowa am 22. Juni 2013 um 10:26 Uhr

2013-06-22T10:26:14Z

← Nächstältere Version		Version vom 22. Juni 2013, 10:26 Uhr
Zeile 1:		Zeile 1:
	{{Qualität		{{Qualität
	\|correctness = 1		\|correctness = 3
	\|extent = 4		\|extent = 4
	\|numberOfReferences = 5		\|numberOfReferences = 5

Kowa am 22. Juni 2013 um 10:25 Uhr

2013-06-22T10:25:44Z

← Nächstältere Version		Version vom 22. Juni 2013, 10:25 Uhr
Zeile 1:		Zeile 1:
			{{Qualität
			\|correctness = 1
			\|extent = 4
			\|numberOfReferences = 5
			\|qualityOfReferences = 5
			\|conformance = 4
			}}
	=Definition=		=Definition=
	Cross-Site Scripting (XSS) nutzt eine Sicherheitslücke in der angegriffenen Anwendung aus und kann dazu verwendet werden,		Cross-Site Scripting (XSS) nutzt eine Sicherheitslücke in der angegriffenen Anwendung aus und kann dazu verwendet werden,

Kowa am 12. September 2011 um 07:55 Uhr

2011-09-12T07:55:30Z

← Nächstältere Version		Version vom 12. September 2011, 07:55 Uhr
Zeile 148:		Zeile 148:
	=Quellen=		=Quellen=

	* [[Quelle::Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications]]		* {{Quelle\|Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications}}
	* [[Quelle::Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore]]		* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}
	* [[Quelle::Rütten, Glemser (2006)]]		* {{Quelle\|Rütten, Glemser (2006)}}
	* [[Quelle::Fuhrberg, Häger, Wolf (2001)]]		* {{Quelle\|Fuhrberg, Häger, Wolf (2001)}}
	* [[Quelle::Schwenk (2002)]]		* {{Quelle\|Schwenk (2002)}}
	* [[Quelle::Kyas (1999)]]		* {{Quelle\|Kyas (1999)}}
	* [[Quelle::Nusser (1998)]]		* {{Quelle\|Nusser (1998)}}
	* [[Quelle::Ziegler (2007)]]		* {{Quelle\|Ziegler (2007)}}
	* Sicherheit in Verwaltungs- und Kliniknetzen – Anforderungen, Möglichkeiten, Empfehlungen. ericht der Arbeitsgruppe Verwaltungen und Kliniken im Hochschulnetz. Bayerisches Staatsministerium für Unterricht, Kultus, Wissenschaft und Kunst, 1998		* Sicherheit in Verwaltungs- und Kliniknetzen – Anforderungen, Möglichkeiten, Empfehlungen. ericht der Arbeitsgruppe Verwaltungen und Kliniken im Hochschulnetz. Bayerisches Staatsministerium für Unterricht, Kultus, Wissenschaft und Kunst, 1998
	* XSS (Cross-Site Scripting) Cheat Sheet. Abfragedatum: 24.Mai 2007. http://ha.ckers.org/xss.html		* XSS (Cross-Site Scripting) Cheat Sheet. Abfragedatum: 24.Mai 2007. http://ha.ckers.org/xss.html

Kowa am 11. September 2011 um 17:14 Uhr

2011-09-11T17:14:27Z

← Nächstältere Version		Version vom 11. September 2011, 17:14 Uhr
Zeile 163:		Zeile 163:

	*[[SQL Injection]]		*[[SQL Injection]]
	*[[~~Codeinjection~~]]		*[[Code Injection]]
	*[[Whitelisting]]		*[[Whitelisting]]
	*[[Blacklisting]]		*[[Blacklisting]]

Kowa am 11. September 2011 um 17:12 Uhr

2011-09-11T17:12:51Z

← Nächstältere Version		Version vom 11. September 2011, 17:12 Uhr
Zeile 148:		Zeile 148:
	=Quellen=		=Quellen=

	* [[Quelle::C. ~~Sima~~]]		* [[Quelle::Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications]]
	* [[Quelle::Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore]]		* [[Quelle::Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore]]
	* [[Quelle::Rütten, Glemser (2006)]]		* [[Quelle::Rütten, Glemser (2006)]]

Kowa am 11. September 2011 um 15:25 Uhr

2011-09-11T15:25:37Z

← Nächstältere Version		Version vom 11. September 2011, 15:25 Uhr
Zeile 148:		Zeile 148:
	=Quellen=		=Quellen=

	* [[C. Sima]]		* [[Quelle::C. Sima]]
	* [[B. ~~Sullivan~~]]		* [[Quelle::Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore]]
	* [[Rütten, Glemser (2006)]]		* [[Quelle::Rütten, Glemser (2006)]]
	* [[Fuhrberg, Häger, Wolf (2001)]]		* [[Quelle::Fuhrberg, Häger, Wolf (2001)]]
	* [[Schwenk (2002)]]		* [[Quelle::Schwenk (2002)]]
	* [[Kyas (1999)]]		* [[Quelle::Kyas (1999)]]
	* [[Nusser (1998)]]		* [[Quelle::Nusser (1998)]]
	* [[Ziegler (2007)]]		* [[Quelle::Ziegler (2007)]]
	* Sicherheit in Verwaltungs- und Kliniknetzen – Anforderungen, Möglichkeiten, Empfehlungen. ericht der Arbeitsgruppe Verwaltungen und Kliniken im Hochschulnetz. Bayerisches Staatsministerium für Unterricht, Kultus, Wissenschaft und Kunst, 1998		* Sicherheit in Verwaltungs- und Kliniknetzen – Anforderungen, Möglichkeiten, Empfehlungen. ericht der Arbeitsgruppe Verwaltungen und Kliniken im Hochschulnetz. Bayerisches Staatsministerium für Unterricht, Kultus, Wissenschaft und Kunst, 1998
	* XSS (Cross-Site Scripting) Cheat Sheet. Abfragedatum: 24.Mai 2007. http://ha.ckers.org/xss.html		* XSS (Cross-Site Scripting) Cheat Sheet. Abfragedatum: 24.Mai 2007. http://ha.ckers.org/xss.html

Kowa: /* Siehe auch */

2008-12-12T09:18:51Z

Siehe auch

← Nächstältere Version		Version vom 12. Dezember 2008, 09:18 Uhr
Zeile 166:		Zeile 166:
	*[[Whitelisting]]		*[[Whitelisting]]
	*[[Blacklisting]]		*[[Blacklisting]]
			*[http://www.rorsecurity.info/storage/rails_security_2.pdf Ruby on Rails Security, Heiko Webers]

	[[Kategorie:Sicherheit]]		[[Kategorie:Sicherheit]]
	[[Kategorie:Glossar]]		[[Kategorie:Glossar]]

← Nächstältere Version		Version vom 26. Juni 2013, 17:29 Uhr
Zeile 158:		Zeile 158:
	* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}		* {{Quelle\|Sullivan B. (2006): Malicious Code Injection: It's Not Just for SQL Anymore}}
	* {{Quelle\|Rütten, Glemser (2006)}}		* {{Quelle\|Rütten, Glemser (2006)}}
	* {{Quelle\|Fuhrberg, Häger, Wolf (2001)}}		* {{Quelle\|Fuhrberg, Kai; Häger, Dirk; Wolf, Stefan (2001): Internet-Sicherheit}}
	* {{Quelle\|Schwenk (2002)}}		* {{Quelle\|Schwenk (2002)}}
	* {{Quelle\|Kyas (1999)}}		* {{Quelle\|Kyas (1999)}}

← Nächstältere Version		Version vom 16. Mai 2019, 13:40 Uhr
Zeile 6:		Zeile 6:
	\|conformance = 4		\|conformance = 4
	}}		}}
	=Definition=		==Definition==
	Cross-Site Scripting (XSS) nutzt eine Sicherheitslücke in der angegriffenen Anwendung aus und kann dazu verwendet werden,		Cross-Site Scripting (XSS) nutzt eine Sicherheitslücke in der angegriffenen Anwendung aus und kann dazu verwendet werden,
	Daten einer Originalseite zu verändern und zählt damit zu den aktiven Angriffen.<br>		Daten einer Originalseite zu verändern und zählt damit zu den aktiven Angriffen.<br>
	Beim XSS werden Informationen durch einen Angreifer in eine vermeintlich sichere Seite eingebettet.		Beim XSS werden Informationen durch einen Angreifer in eine vermeintlich sichere Seite eingebettet.

	=Bemerkungen=		==Bemerkungen==
	XSS ist eine der am häufigsten verbreiteten Methoden, Angriffe auf ungeschützte Webseiten		XSS ist eine der am häufigsten verbreiteten Methoden, Angriffe auf ungeschützte Webseiten
	auszuführen und wird in der Verwendung nur noch vom [[Bufferoverflow]], bei dem Teile des		auszuführen und wird in der Verwendung nur noch vom [[Bufferoverflow]], bei dem Teile des
Zeile 28:		Zeile 28:
	den angegriffenen Server unerreichbar zu machen.		den angegriffenen Server unerreichbar zu machen.

	==Reflektiertes XSS==		===Reflektiertes XSS===

	Das reflektierte - oder auch serverseitige - XSS ist der häufigste Vertreter von XSS-Angriffen und		Das reflektierte – oder auch serverseitige – XSS ist der häufigste Vertreter von XSS-Angriffen und
	wird im [[Phishing]]markt angewendet. Hierbei muss ein Opfer eine präparierte URL anklicken. In		wird im [[Phishing]]markt angewendet. Hierbei muss ein Opfer eine präparierte URL anklicken. In
	Variablen und Parametern dieser URL wird Code eingefügt, den die Anwendung auf dem Server		Variablen und Parametern dieser URL wird Code eingefügt, den die Anwendung auf dem Server
Zeile 41:		Zeile 41:
	verändern. Der Benutzer sieht nun die manipulierte Seite in seinem Browser.		verändern. Der Benutzer sieht nun die manipulierte Seite in seinem Browser.

	==Persistentes (beständiges) XSS==		===Persistentes (beständiges) XSS===

	Auch das persistente XSS ist ~~Serverseiteig~~, d.h. die Veränderungen werden auf dem Server vorgenommen		Auch das persistente XSS ist serverseiteig, d.h. die Veränderungen werden auf dem Server vorgenommen
	und der Schadcode wird über die URL an den Browser zurück geschickt, hier wird		und der Schadcode wird über die URL an den Browser zurück geschickt, hier wird
	allerdings der Inhalt der Datenbank ebenfalls verändert. Deswegen kann dieser Schadcode auch		allerdings der Inhalt der Datenbank ebenfalls verändert. Deswegen kann dieser Schadcode auch
Zeile 55:		Zeile 55:
	HTML-Code vorfinden.		HTML-Code vorfinden.

	==Lokales ([[DOM]]-basiertes) XSS==		===Lokales ([[DOM]]-basiertes) XSS===

	Wie der Name schon vermuten lässt, ist das lokale XSS clientseitig, d.h. der komplette Angriff		Wie der Name schon vermuten lässt, ist das lokale XSS clientseitig, d.h. der komplette Angriff
Zeile 80:		Zeile 80:
	dargestellte Webseite verändert, der Benutzer sieht nun die manipulierte Seite.		dargestellte Webseite verändert, der Benutzer sieht nun die manipulierte Seite.

	==XSS — Eine kleine „Anleitung“==		===XSS – Eine kleine „Anleitung“===

	Zunächst müssen potentielle Opfer gefunden werden, ~~d.h.~~, es muss nach Anzeichen für die Angreifbarkeit		Zunächst müssen potentielle Opfer gefunden werden, {{dh}}, es muss nach Anzeichen für die Angreifbarkeit
	einer Seite gesucht werden. Das ist bei Anwendungen der Fall, die die vom Benutzer		einer Seite gesucht werden. Das ist bei Anwendungen der Fall, die die vom Benutzer
	vorgenommenen Eingaben wieder ausgeben - ob es ein Suchstring ist oder ein Foreneintrag ist,		vorgenommenen Eingaben wieder ausgeben – ob es ein Suchstring ist oder ein Foreneintrag ist,
	spielt dabei keine Rolle. Auch das Einbetten des vom Benutzer vorgenommenen Textes in Fehlermeldungen		spielt dabei keine Rolle. Auch das Einbetten des vom Benutzer vorgenommenen Textes in Fehlermeldungen
	kann ein Anzeichen für die Anfälligkeit auf XSS sein.		kann ein Anzeichen für die Anfälligkeit auf XSS sein.
Zeile 94:		Zeile 94:

	Sobald ein potentiell betroffenes Feld gefunden wurde, trägt man einen beliebigen String in dieses		Sobald ein potentiell betroffenes Feld gefunden wurde, trägt man einen beliebigen String in dieses
	Feld ein, ~~z.B. „test“~~. Nach einer Bestätigung, wird die Übertragung zum Server gestartet und in		Feld ein, {{zB}} <code>test</code>. Nach einer Bestätigung, wird die Übertragung zum Server gestartet und in
	der Antwort des Servers wird der vorher eingegebene String gesucht. Der gesuchte String könnte		der Antwort des Servers wird der vorher eingegebene String gesucht. Der gesuchte String könnte
	~~z.B.~~ in Form einer Fehlermeldung wie „Invalid login ’test’“ wieder auftauchen.		{{zB}} in Form einer Fehlermeldung wie „Invalid login ’test’“ wieder auftauchen.
	Falls der Teststring ausgegeben wurde, kann getestet werden, ob die Seite gegen XSS		Falls der Teststring ausgegeben wurde, kann getestet werden, ob die Seite gegen XSS
	geschützt ist.		geschützt ist.
Zeile 111:		Zeile 111:
	Seite auftaucht oder nicht.		Seite auftaucht oder nicht.

	=Gegenmaßnahmen=		==Gegenmaßnahmen==

	Viele Programmiersprachen bringen von Haus aus Sicherheitsoptionen mit sich, die auch eingesetzt		Viele Programmiersprachen bringen von Haus aus Sicherheitsoptionen mit sich, die auch eingesetzt
	werden sollten, wie ~~z.B.~~ die Möglichkeiten die PHP mitbringt, um Zugriffe von außen zu		werden sollten, wie {{zB}} die Möglichkeiten, die PHP mitbringt, um Zugriffe von außen zu
	vermeiden. Da PHP eine der Skriptsprachen ist, die ~~heutzutage am häufigsten~~ verwendet wird,		vermeiden. Da PHP eine der Skriptsprachen ist, die häufig verwendet wird,
	um Internetauftritte zu gestalten, werden einige der relevanten Sicherheitsoptionen nachfolgend		um Internetauftritte zu gestalten, werden einige der relevanten Sicherheitsoptionen nachfolgend
	kurz vorgestellt:		kurz vorgestellt:
Zeile 153:		Zeile 153:
	Tags verändert werden. Es wird dabei das [[Whitelisting]] und das [[Blacklisting]] unterschieden.		Tags verändert werden. Es wird dabei das [[Whitelisting]] und das [[Blacklisting]] unterschieden.

	=Quellen=		==Quellen==

	* {{Quelle\|Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications}}		* {{Quelle\|Sima, C. (2006): Locking the Door Behind You: Hacker Protection for Your Web Applications}}