DVB-Cube <<< Das deutsche PC und DVB-Forum >>>
PC-Ecke => # Security Center => Thema gestartet von: SiLæncer am 05 Mai, 2010, 10:34
-
Google hat ein Online-Tutorial für Webentwickler zur Verfügung gestellt, mit dem sich typische Sicherheitslücken praktisch ausprobieren lassen. Das Tutorial besteht im Wesentlichen aus zwei Elementen: Die mit Absicht unsicher programmierte Mini-Blog-Anwendung Jarlsberg (http://jarlsberg.appspot.com/start) (nach dem norwegischen Käse benannt) sowie ein Leitfaden (http://jarlsberg.appspot.com/part1), welche Schwachstelle Jarlsberg aufweisen könnte und wie man diese findet.
Der zu Googles Code University gehörende Kurs liefert dazu unter anderem in Rubriken für Cross-Site-Scripting, Path-Traversal, Code Execution und Denial-of-Service kleine Denkanstöße, wie man die jeweiligen Lücken ausnutzen könnte. Wer nicht selbst daraufkommt, findet am Ende jedes Abschnitts die Lösung – nebst einem Vorschlag, wie man die Lücke schließen kann.
Der Kurs ist online verfügbar, Google bietet den in Python geschriebenen Jarlsberg-Server aber auch zum Download an. Aus Sicherheitsgründen lasst sich dieser nach der Installation aber nur per localhost ansprechen. Um die Lücken zu finden, ist aber keine Analyse des Source-Codes notwendig.
Nicht alle Lücken lassen sich mit dem Browser ausnutzen. Um zum Beispiel eine bestimmte Datei via Path-Traversal herunterzuladen, benötigt man das Kommandozeilen-Tool curl, da viele Browser URLs wie h++p://jarlsberg.appspot.com/305378746796/../secret.txt einfach in h++p://jarlsberg.appspot.com/secret.txt umwandeln und sich die Schwachstelle so nicht ausnutzen lässt.
Quelle : www.heise.de