c2b_default

Abend 26: 07.12.2016 - Web-Security

Web-Security

Web-Security

9
0.0 (0)
M. R.
Étudier
M. R.
Diese Lernkarten behandeln fortgeschrittene Themen der Web-Sicherheit und sind für Studierende an Universitäten geeignet. Sie konzentrieren sich auf Cross-Site Scripting (XSS), Same Origin Policy, Session Attacks, Authentifizierung und die 10 kritischsten Web Application Security Risiken. Die Karteikarten erklären, wie Angreifer Sicherheitslücken ausnutzen und wie man sich dagegen schützt, etwa durch starke Authentifizierung oder das Vermeiden von Sessions in URLs. Entwickler und Sicherheitsbeauftragte profitieren von diesen Karten, um ihre Kenntnisse in Web-Sicherheit zu vertiefen und potenzielle Angriffspunkte zu erkennen.
Cartes-fiches
9
Utilisateurs
7
Langue
Allemand
Catégorie
Informatique
Niveau
Université
Créé / Mis à jour
10.12.2016 / 10.01.2018
  • 1  / 9

Cartes-fiches

Durch welche drei Parameter definiert sich die Same Origin Policy?

Protokoll + Host + Port

Weshalb sollte vermieden werden Sessions in der URL zu haben?

  • ist in den logs lesbar
  • könnte in bookmarks gespeichert bleiben und von jemandem anderen übernommen werden

besser wäre:

  • session id im cookie zu behalten

Was sind Rainbow-Tables?

Vorberechnete Tabellen um Klartext-Passwörter aus Hashes zu finden.

Wie kan man sich bei einem System das nicht gegen SQL Injection geschützt ist einloggen ohne das Passwort zu kennen?

Password: 'or'1'='1

Welches sind die 10 kritischsten Web Application Security Risiken? Nenne min. 4 davon.

  •  A1 Injection
  •  A2 Broken Authentication and Session Management
  •  A3 Cross-Site Scripting (XSS)
  •  A4 Insecure Direct Object References
  •  A5 Security Misconfiguration
  •  A6 Sensitive Data Exposure
  •  A7 Missing Function Level Access Control
  •  A8 Cross-Site Request Forgery (CSRF)
  •  A9 Using Components with Known Vulnerabilities
  •  A10 Unvalidated Redirects and Forwards.

https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project

Was ist die Defintion von "Strong authentication"?

Definition of Strong authentication:
Combination of at least 2 factorsFactors of Authentication (3 variants)

Factors of Authentication (3 variants)

  1. To KNOW something: Password, PIN
  2. To OWN something: Smartcard, SecurId, Safeword, Vasco, OTP
  3. To BE something: Fingerprint, Iris, Voice, Face

Session Attacks: Wie kann man sich eines anderen Benutzers Session ausgeben?

  • Cookie Editor
  • Intercepting proxy (e.g. Burp, ZAP, ...)

SOP: Welche der folgenden URLs erfüllen die Same Origin Policy?

Ein in der Datei http://www.example.com/dir/page.html eingebettetes Skript versucht, auf ein Element in den folgenden Seiten zuzugreifen:

 

XSS: Was ist Cross-Site Scripting und wie lässt es sich verhindern?

Mit Cross-Site Scripting (XSS) wird das Ausnutzen einer Computersicherheitslücke in Webanwendungen bezeichnet, indem ein Angreifer Webseiten mit clientseitigen Skripten infiziert, die von anderen Nutzern aufgerufen werden.

Mögliche Lösungen zur Verhinderung von XSS:
1. Ouput in HTML-Entitäten konvertieren:
     < --> &lt;
     > --> &gt;
     " --> &quot;
     ' --> &apos;
2. Blacklisting
3. Whitelisting

Étudier