Other OWASP Top 10 problems
Thema 6 Benoist
Thema 6 Benoist
Was sind die OWASP Top 10 und welche sind es?
10 most critical security risks for web applications
Um was geht es bei OWASP A4 XML External Entities?
Many older or poorly configured XML processors evaluate external entity references within XML documents. External entities can be used to disclose internal files using the file URI handler, internal file shares, internal port scanning, remote code execution, and denial of service attacks.
Was ist der Attack Vector bei XXE(XML External Entities)
Angreifer kann manipulierte XML Dokumente an den XML Prozessor zum verarbeiten schicken.
Da alte XML Processors external entities erlauben, kann damit Schaden angerichtet werden
Nennen Sie ein Beispiel wie man dank XML External Entities (XXE) files auslesen kann
Nennen Sie ein Beispiel wie man dank XML External Entities (XXE) das interne Netz scannen kann
Nennen Sie ein Beispiel wie man dank XML External Entities (XXE) DOS attacken ausführen kann
Wann ist eine Webseite anfällig aufXML External Entities (XXE) Attacken?
- XML Uploads
- DTD erlaubt
- SAML im Einsatz
- SOAP im Einsatz
Wie schützt man sich gegen XML External Entities (XXE) Attacken?
- JSON statt XML
- Updat SOAP to 1.2
- External entities und DTD deaktiviert
- Validate Input -> white list statt blacklist
- Validate XML with XSD Validation
- Code review (mit tools und von Personen)
Um was geht es bei OWASP A6 - Security Misconfiguration
Durch Fehkonfigurationen von Programmen und Systemen, werden Schwachstellen möglich
Nennen sie einige der OWASP A6 - Security Misconfiguration Möglichkeiten
- Keine Software/OS Updates
- Alles was nicht benötigt wird deaktiviert (Services, Ports, Accounts, Rechte)
- Default Passwörter geändert
- Error handling leaked keine Informationen
- Sicherheitseinstellungen in Frameworks verstanden und umgesetztr?
Wie herausfinden ob Firma Vurnerable auf A6 Security Misconfiguration ist?
- Wenn du nichts gemacht hast bist du vulnerable-> Fast nichts in von Haus aus sicher
- Scanner für vulnerabilities zb Nessus
Wie schützt man sich gegen A6 Security Misconfiguration?
- Hardening guides schreiben
- Automatismen damit die configuration eingehalten werden kann
- Regelmässig von Scans wie Nessus
- Maintain des Hardening (wiederkehrend)
Um was geht es bei OWASP A8 Insecure Deserialization
Durch serialization und deserialization können einfach manipuliert werden vom Angreifer.
Wenn die Applikation diese seralisierten Daten nicht überprüft, kann das zu vulnerabilities führen
Wie kann ein Attacker zu mehr Rechten kommen dank A8 Insecure Deserialization?
Erklären Sie es anhand eines Beispiels eines Cookies
Wie kann A8 Insecure Deserialization verhindert werden?
- Keine seralisierten Objekte von untrusted sourcen aktzeptieren
- wenn nicht mögich:
- Integrity checks mittels Siganture
- starke Typisierung
- Code weleches deserialization ausführt mit wenig Rechten ausführen
- Logging von deserialization exceptions and failures
Um was geht es bei OWASP A9 Using components with known vulnerabilities
In vielen Applikationen werden Frameworks und Libraries genutzt welche man selber nicht geschrieben hat.
Diese können auch vulnerabilities enthalten.
Da meistens eine riesige Menge an Libraries genutzt wird, ist nicht mehr bekannt was alles genutzt wird. Somit kann es auch nicht auf Vulnerabilities überprüft werden
Wie finde ich heraus ob meine Applikation auf "A9 Using components with known vulnerabilities" vulnerable ist?
- Wenn du nicht weisst welche Versionen deiner Komponenten du nutzt.
- Wenn die Software welche du nutztst unsupported oder out of date ist
- Wenn du nicht regelmässig auf Vulnreabilities scanst
- Wenn du das unterliegende Framwork nicht updatest
Warum sind viele IOT Devices auf "A9 Using components with known vulnerabilities" angreifbar?
Viele dieser IOT Devices erlauben kein Patching des Systems
Wie schützt man sich gegen "A9 Using components with known vulnerabilities" ?
- PAtch Management
- Nicht genutzte Abhängigkeiten, Features und Components entfernen.
- Inventar führen mit den genutzten Components
- Nur Komponenten von offizilenne Sources beziehen
- Falsl Patching nicht möglich einer Library, sollte ein Monitoring entwickelt werden um diese Library zu monitoren
Um was geht es bei OWASP A10 Insufficient Logging and Monitoring
Es geht darum, dass möglichst viel geloggt wird damit gewisse Verhalten auffallen können.
Ausserdem sollten Logs genug Informationen liefern für die Nachvollziehbarkeit. Ausserdem sollten diese nur Read-Only sein damit sie nicht gelöscht werden können
Um was geht es bei Cross Site Request Forgery (CSRF)Attacken?
ein Angriff auf ein Computersystem, bei dem der Angreifer eine Transaktion in einer Webanwendung durchführt. Dies geschieht nicht direkt, sondern der Angreifer bedient sich dazu eines Opfers, das bei einer Webanwendung bereits angemeldet sein muss.
Wie kann mittels einer Cross Site Request Forgery (CSRF) eine Request von user aus geschickt werden?
Was ist eine weit verbereitete Schwachstelle auf Webseiten in zusammenhang mit Anmeldung?
Wie kann mittels einer Cross Site Request Forgery (CSRF) ein Logout provoziert werden?
die Kombination von img src und php file, löst die Funktion im PHP direkt aus
Wie können Cross Site Request Forgery (CSRF) Links einem User untergejubelt werden?
Web-site Owner embedded JavaScript malware
Web page defaced with embedded JavaScript malware
JavaScript Malware injected into a public area of a website. (persistent XSS)
Clicked on, a specially-crafted link causing the website to echo JavaScript malware. (non-persistent XSS)
Weshalb funktionierne grundsätzlich CSRF Attacken?
Wie kann sich eine Webseite vor CSRF schützen?
Applikation kann nicht ausschliesslich Credentials, Cookies oder Tokens abfragen.
Die Applikation sollte einen Token für jede Form generieren, welche dann überprüft werden kann
Alternativ wäre sich mittels einem zweiten Faktor zu schützen wie Email, SMS usw
Wie sollte der CSRF Token geschützt/übertragen werden?
- Token per POST schicken und nicht GET
- Immer HTTPS nutzen
Was versteht man unter Double Submit Cookies?
Eine Variante um sich vor CSRF zu schützen
Wie funktioniert der CSRF Encrypted token pattern?
Wie kann man sich gegen CSRF mittels Challenge-Response schützen?
Wie kann man sich als User gegen CSRF schützen?
-
- 1 / 32
-
Cartes-fiches
Was sind die OWASP Top 10 und welche sind es?
10 most critical security risks for web applications
Um was geht es bei OWASP A4 XML External Entities?
Many older or poorly configured XML processors evaluate external entity references within XML documents. External entities can be used to disclose internal files using the file URI handler, internal file shares, internal port scanning, remote code execution, and denial of service attacks.
Was ist der Attack Vector bei XXE(XML External Entities)
Angreifer kann manipulierte XML Dokumente an den XML Prozessor zum verarbeiten schicken.
Da alte XML Processors external entities erlauben, kann damit Schaden angerichtet werden
Nennen Sie ein Beispiel wie man dank XML External Entities (XXE) files auslesen kann
Nennen Sie ein Beispiel wie man dank XML External Entities (XXE) das interne Netz scannen kann
Nennen Sie ein Beispiel wie man dank XML External Entities (XXE) DOS attacken ausführen kann
Wann ist eine Webseite anfällig aufXML External Entities (XXE) Attacken?
- XML Uploads
- DTD erlaubt
- SAML im Einsatz
- SOAP im Einsatz
Wie schützt man sich gegen XML External Entities (XXE) Attacken?
- JSON statt XML
- Updat SOAP to 1.2
- External entities und DTD deaktiviert
- Validate Input -> white list statt blacklist
- Validate XML with XSD Validation
- Code review (mit tools und von Personen)
Um was geht es bei OWASP A6 - Security Misconfiguration
Durch Fehkonfigurationen von Programmen und Systemen, werden Schwachstellen möglich
Nennen sie einige der OWASP A6 - Security Misconfiguration Möglichkeiten
- Keine Software/OS Updates
- Alles was nicht benötigt wird deaktiviert (Services, Ports, Accounts, Rechte)
- Default Passwörter geändert
- Error handling leaked keine Informationen
- Sicherheitseinstellungen in Frameworks verstanden und umgesetztr?
Wie herausfinden ob Firma Vurnerable auf A6 Security Misconfiguration ist?
- Wenn du nichts gemacht hast bist du vulnerable-> Fast nichts in von Haus aus sicher
- Scanner für vulnerabilities zb Nessus
Wie schützt man sich gegen A6 Security Misconfiguration?
- Hardening guides schreiben
- Automatismen damit die configuration eingehalten werden kann
- Regelmässig von Scans wie Nessus
- Maintain des Hardening (wiederkehrend)
Um was geht es bei OWASP A8 Insecure Deserialization
Durch serialization und deserialization können einfach manipuliert werden vom Angreifer.
Wenn die Applikation diese seralisierten Daten nicht überprüft, kann das zu vulnerabilities führen
Wie kann ein Attacker zu mehr Rechten kommen dank A8 Insecure Deserialization?
Erklären Sie es anhand eines Beispiels eines Cookies
Wie kann A8 Insecure Deserialization verhindert werden?
- Keine seralisierten Objekte von untrusted sourcen aktzeptieren
- wenn nicht mögich:
- Integrity checks mittels Siganture
- starke Typisierung
- Code weleches deserialization ausführt mit wenig Rechten ausführen
- Logging von deserialization exceptions and failures
Um was geht es bei OWASP A9 Using components with known vulnerabilities
In vielen Applikationen werden Frameworks und Libraries genutzt welche man selber nicht geschrieben hat.
Diese können auch vulnerabilities enthalten.
Da meistens eine riesige Menge an Libraries genutzt wird, ist nicht mehr bekannt was alles genutzt wird. Somit kann es auch nicht auf Vulnerabilities überprüft werden
Wie finde ich heraus ob meine Applikation auf "A9 Using components with known vulnerabilities" vulnerable ist?
- Wenn du nicht weisst welche Versionen deiner Komponenten du nutzt.
- Wenn die Software welche du nutztst unsupported oder out of date ist
- Wenn du nicht regelmässig auf Vulnreabilities scanst
- Wenn du das unterliegende Framwork nicht updatest
Warum sind viele IOT Devices auf "A9 Using components with known vulnerabilities" angreifbar?
Viele dieser IOT Devices erlauben kein Patching des Systems
Wie schützt man sich gegen "A9 Using components with known vulnerabilities" ?
- PAtch Management
- Nicht genutzte Abhängigkeiten, Features und Components entfernen.
- Inventar führen mit den genutzten Components
- Nur Komponenten von offizilenne Sources beziehen
- Falsl Patching nicht möglich einer Library, sollte ein Monitoring entwickelt werden um diese Library zu monitoren
Um was geht es bei OWASP A10 Insufficient Logging and Monitoring
Es geht darum, dass möglichst viel geloggt wird damit gewisse Verhalten auffallen können.
Ausserdem sollten Logs genug Informationen liefern für die Nachvollziehbarkeit. Ausserdem sollten diese nur Read-Only sein damit sie nicht gelöscht werden können
Um was geht es bei Cross Site Request Forgery (CSRF)Attacken?
ein Angriff auf ein Computersystem, bei dem der Angreifer eine Transaktion in einer Webanwendung durchführt. Dies geschieht nicht direkt, sondern der Angreifer bedient sich dazu eines Opfers, das bei einer Webanwendung bereits angemeldet sein muss.
Wie kann mittels einer Cross Site Request Forgery (CSRF) eine Request von user aus geschickt werden?
Was ist eine weit verbereitete Schwachstelle auf Webseiten in zusammenhang mit Anmeldung?
Wie kann mittels einer Cross Site Request Forgery (CSRF) ein Logout provoziert werden?
die Kombination von img src und php file, löst die Funktion im PHP direkt aus
Wie können Cross Site Request Forgery (CSRF) Links einem User untergejubelt werden?
Web-site Owner embedded JavaScript malware
Web page defaced with embedded JavaScript malware
JavaScript Malware injected into a public area of a website. (persistent XSS)
Clicked on, a specially-crafted link causing the website to echo JavaScript malware. (non-persistent XSS)
Weshalb funktionierne grundsätzlich CSRF Attacken?
Wie kann sich eine Webseite vor CSRF schützen?
Applikation kann nicht ausschliesslich Credentials, Cookies oder Tokens abfragen.
Die Applikation sollte einen Token für jede Form generieren, welche dann überprüft werden kann
Alternativ wäre sich mittels einem zweiten Faktor zu schützen wie Email, SMS usw
Wie sollte der CSRF Token geschützt/übertragen werden?
- Token per POST schicken und nicht GET
- Immer HTTPS nutzen
Was versteht man unter Double Submit Cookies?
Eine Variante um sich vor CSRF zu schützen
Wie funktioniert der CSRF Encrypted token pattern?
Wie kann man sich gegen CSRF mittels Challenge-Response schützen?
Wie kann man sich als User gegen CSRF schützen?
