Press "Enter" to skip to content

Category: AppSec

Installationsanleitung: Automatische Vulnerability Scans mit OWASP ZAP in SonarQube und Jenkins (CI, DevSecOps)

Um die dynamischen Scans von OWASP Zed Attack Proxy (ZAP) in die Build-Pipeline zu integrieren kann das SonarQube ZAP Plugin eingesetzt werden. Der folgenden Beitrag dient als Schritt-fĂŒr-Schritt Installationsanleitung vom Aufsetzen der VM bis zum fertigen Report. Passend zu diesem Beitrag auch: Dynamische Analyse mit OWASP ZAP Übersicht verwendeter Programmversionen Zur Übersicht werden hier die Versionsnummern der verwendeten Programme aufgelistet.…

Leave a Comment

OWASP AppSensor – Erkennen und Reagieren auf Angriffe in der Anwendungsebene.

Sicherheit in Web-Anwendungen ist eines der Top-Themen im Security-Umfeld. Ist doch die Web-Anwendung an vorderster Front die Schnittstelle ins Internet. Die OWASP Top-10, die 10 gefĂ€hrlichsten Schwachstellen in Webapplikationen, beinhalten eine Schwachstelle, die genau genommen gar keine ist. Durch das „Unzureichende Logging und Monitoring“ werden Kompromittierungen teilweise gar nicht oder viel zu spĂ€t erkannt. Es dauert im Durchschnitt bis zu…

Leave a Comment

Trainingsanwendung: SQL-Injection innerhalb eines Node.js Projekts

Im Repository befindet sich ein verwundbares NodeJS Projekt. In dieses Projekt wurde eine SQL-Injection Schwachstelle eingebaut. In der Datei „/routes/users.js“ befindet sich die Applikationslogik fĂŒr die FĂ€lle „User einloggen“, „User registrieren“ und „User anzeigen“. Die Informationen werden ĂŒber die REST-API im JSON-Format ĂŒbertragen. Die Datenhaltung der Applikation erfolgt in einer MySql-Datenbank. Download Anwendung Zur Installation der Entwicklungsumgebung kann den Schritten…

Leave a Comment

Dynamische Analyse mit OWASP Zed Attack Proxy (ZAP)

Der OWASP Zed Attack Proxy (ZAP) ist eines der weltweit beliebtesten, kostenlosen Sicherheitstools und wird von hunderten internationalen Freiwilligen aktiv betreut. OWASP ZAP kann dabei helfen, automatisch SicherheitslĂŒcken in Webanwendungen zu finden, wĂ€hrend die Anwendungen noch entwickelt und getestet werden. ZAP ist ein sehr umfangreiches Tool, mit sehr vielen FunktionalitĂ€ten. Es gibt eigens dafĂŒr veröffentlichte Schulungen und Workshops. Durch die…

Leave a Comment

Angriffsvektoren durch IoT-Devices. Internet of Insecure Things.

Im September 2016 trat ein, wovor Sicherheitsexperten schon lĂ€nger gewarnt hatten, was aber noch nicht sonderlich ernst genommen wurde. Der GrĂ¶ĂŸte bisher gemessene DDos-Angriff mit Rekordhöhe von ĂŒber 1 Terabit pro Sekunde ging von Tausenden Embedded- und IoT-GerĂ€ten aus. Ein Angriff mit bislang unbekanntem Ausmaß. Das dafĂŒr verantwortliche Botnetz trĂ€gt den Namen „Mirai“ und kaperte aus Tausenden Haushalten und Unternehmen…

Leave a Comment

Entwicklung eines browserbasierten Keyloggers mit Steuerungsinterface (PoC, Download)

Im Rahmen meiner mĂŒndlichen AbschlussprĂŒfung in Computertechnik (Abitur 2015) entwickelte ich diesen Proof of Concept fĂŒr einen browserbasierten Keylogger. Der Keylogger beinhaltet ein umfangreiches Steuerungsinterface, womit die Nutzer verwaltet werden können. Ein Keylogger in Form von JavaScript Quellcode wird vom Webserver bereitgestellt und anschließend bei den Nutzern im Browser ausgefĂŒhrt. Es findet eine rund um die Uhr Überwachung der Cookies,…

Leave a Comment

Prinzip von Code Injection. Beispiele fĂŒr SQL und HTML.

Als Injection wird das EinfĂŒgen fremden Codes zu einem bereits bestehenden Programmcode bezeichnet. Injection ist also eine Manipulation bestehender Programmierung. Mittels Code Injection wird dabei neuer Programmcode injectiert, also eingefĂŒgt und sogar bestehender Programmcode so manipuliert, dass dieser nicht mehr das macht, was er eigentlich sollte. Damit eine Injection funktioniert, muss eine Schwachstelle existieren. Diese Schwachstelle besteht darin, dass zum…

Leave a Comment