Entwickler Magazin - Übersicht

Dipl.-Inform. Carsten Eilers

• Startseite
• Über mich
• Angebotsspektrum
• Konferenzen
• Texte
  • About Security
  • Online-Artikel
  • Magazin-Artikel
    • Entwickler Magazin
    • PHP Magazin / PHP User
    • windows.developer
    • PHP Magazin Workshops
  • Aktuelle Bücher
  • Ältere Bücher
• Advisories
• Impressum
• Datenschutzerklärung

Einschränkung der Auswahl

Alle Artikel
oder nur Artikel des
Entwickler Magazin
PHP Magazin / PHP User
windows.developer / dot.Net Magazin
anzeigen.

---

CAINE, DEFT, REMnux, FSL & Co.

Teil 2: Linux-Live-CDs zur forensischen Untersuchung und Malware-Analyse

Im Entwickler Magazin 3.2012 ist der zweite Teil des zweiteiligen Artikels über Linux-Live-CDs mit Sicherheitsbezug erschienen. Vorgestellt werden CDs

• zur forensischen Untersuchung (CAINE (Computer Aided INvestigative Environment) und DEFT Linux),
• zur Malware-Analyse (REMnux und Fedora Security Lab),
• als Testumgebung für mobile Geräte (MobiSec Live Environment),
• als Tool-Sammlung (Network Security Toolkit (NST)),
• als Firewalls (Devil-Linux und Zeroshell) und
• zum Schutz der Privatsphäre (Ubuntu Privacy Remix und Tails).

Links

• [1] CAINE (Computer Aided INvestigative Environment)
• [2] DEFT Linux
• [3] REMnux
• [4] Fedora Security Lab
• [5] MobiSec Live Environment
• [6] grml
• [7] Network Security Toolkit (NST)
• [8] SecTools.Org: Top 125 Network Security Tools
• [9] Carsten Eilers: Scanner für das Web, Entwickler Magazin 4.2011
• [10] Carsten Eilers: About Security #29: Die Firewall — Grundlagen (siehe auch die folgenden Folgen)
• [11] Devil-Linux
• [12] Zeroshell
• [13] Ubuntu Privacy Remix
• [14] Tails
• [15] Carsten Eilers: Drive-by-Infektionen - Gefahren drohen überall

---

28C3: Eine Konferenz, viele neue Angriffe

Neues rund um die Web Security

Im Entwickler Magazin 2.2012 ist ein Artikel über auf dem 28. Chaos Communication Congress (28C3) gehaltene Vorträge zum Thema "Web Security" erschienen. Der Schwerpunkt liegt auf den sog. "HASH-DOS"-Angriffen.

Links

• [1] 28C3 - Recordings
• [2] Effective Denial of Service attacks against web application platforms
• [3] n.runs-SA-2011.004 - web programming languages and platforms - DoS through hash table (Text und PDF)
• [4] "Meet-in-the-middle"-Angriffe
• [5] oCERT Advisory #2011-003 Multiple Implementations Denial-of-Service via Hash Algorithm Collision
• [6] PHP Subversion: "Added max_input_vars directive to prevent attacks based on hash collisions"
• [7] PHP 5.3.9 Released und PHP 5.4.0 RC4 released
• [8] Microsoft Security Bulletin MS11-100: Vulnerabilities in .NET Framework Could Allow Elevation of Privilege (2638420)
• [9] Security Research & Defense Blog: More information about the December 2011 ASP.Net vulnerability
• [10] Rootkits in your Web application
• [11] Rootkits - Schadsoftware im System
• [12] New Ways I'm Going to Hack Your Web App
• [13] Der Angriff der Clickjacking-Würmer, "Likejacking" und "Buttonjacking"
• [14] Likejacking - Facebook im Visier der Cyberkriminellen
• [15] About Security #155: Schwachstellensuche: Session Hijacking
• [16] About Security #157: Schwachstellensuche: Session Fixation
• [17] About Security #14: Cross-Site Scripting
• [18] Don't scan, just ask

---

OAuth in der Praxis

Wie Sie OAuth zur Autorisierung verwenden

Im Entwickler Magazin 1.2012 ist der zweite Teil eines zweiteiligen Artikels zum OAuth-Protokoll erschienen. Thema dieses Teils ist der praktische Einsatz des Protokolls am Beispiel von PHP.

Der Artikel wurde auch auf der Website des Entwickler Magazins veröffentlicht.

Links

• [1] Wikiquote Andrew S. Tanenbaum
• [2] OAuth Libraries
• [3] Twitter Libraries
• [4] Twitter OAuth Library von Abraham Wiliams
• [5] OAuth PECL-Erweiterung
• [6] Lorna Jane Mitchell: PHP OAuth Provider: Initial Requirements
  PHP OAuth Provider: Request Tokens
  PHP OAuth Provider: Authenticate User
  PHP OAuth Provider: Access Tokens
• [7] Rasmus Lerdorf: Writing an OAuth Provider Service
• [8] RFC 5849 - The OAuth 1.0 Protocol

---

Autorisierung ohne Wenn und Aber

Teil 1: Sicherer Zugriff auf Web-APIs durch das OAuth-Protokoll

Im Entwickler Magazin 6.2011 ist der erste Teil eines zweiteiligen Artikels zum OAuth-Protokoll erschienen. Thema dieses Teils ist der theoretische Hintergrund: Wie funktioniert das Protokoll.

Der Artikel wurde auch auf der Website des Entwickler Magazins veröffentlicht.

Links

• [1] OAuth
• [2] OAuth Core 1.0
• [3a] OAuth Security Advisory: 2009.1
• [3b] Eran Hammer-Lahav: Explaining the OAuth Session Fixation Attack
• [4] OAuth Core 1.0 Revision A
• [5] RFC 5849 - The OAuth 1.0 Protocol
• [6] RFC 2617 - HTTP Authentication: Basic and Digest Access Authentication
• [7] RFC 2104 - HMAC: Keyed-Hashing for Message Authentication
• [8] RFC 3447 - Public-Key Cryptography Standards (PKCS) #1: RSA Cryptography Specifications Version 2.1
• [9] Carsten Eilers: About Security - Cross-Site Request Forgery Einführung
• [10] Carsten Eilers: Clickjacking - Angriffe auf Seiten ohne Schwachstellen

---

BackTrack, BOSS & Co.

Teil 1: Linux-Live-CDs zur Schwachstellensuche

Im Entwickler Magazin 6.2011 ist der erste Teil eines zweiteiligen Artikels zu Linux-Live-CDs erschienen. Vorgestellt werden verschiedene Live-CDs zur Schwachstellensuche.

Links

• [1] BackTrack
• [2] OpenVAS
• [3] Carsten Eilers: Schwachstellenscanner für Webanwendungen, Entwickler Magazin 4.2011
• [4] BOSS - BSI OSS Security Suite
• [5] OpenVAS Live-CD
• [6] OWASP Live-CD
• [7] Damn Vulnerable Linux (DVL) (Eintrag auf DistroWatch)
• [8] Damn Vulnerable Web Application (DVWA)
• [9] Metasploitable
• [10] OWASP Broken Web Applications Project
• [11] Vicnum
• [12] Virtual Hacking Lab

---

Das Web wird mobil

Besonderheiten mobiler Websicherheit

Im Entwickler Magazin 5.2011 ist ein Artikel zum Thema "Mobile Web-Sicherheit" erschienen.

Links

• [1] Carsten Eilers: Der Angriff der Clickjacking-Würmer, "Likejacking" und "Buttonjacking"
• [2] W3C: Mobile Web Application Best Practices, 3.2 Security and privacy
• [3] Fraunhofer-Institut für Sichere Informationstechnologie: Lost iPhone? Lost Passwords!
• [4] Carsten Eilers: HTML5, aber sicher!; Entwickler Magazin 2.2011, S. 80ff
• [5] Carsten Eilers: SSL-Angriff mit Folgen
• [6] Carsten Eilers: HTTPS und Cookies sicher einsetzen
• [7] Carsten Eilers: Clickjacking - Angriffe auf Seiten ohne Schwachstellen
• [8] Elie Bursztein: Bad Memories
• [9] Gustav Rydstedt, Baptiste Gourdin, Elie Bursztein und Dan Boneh, Stanford University: „Framing Attacks on Smart Phones and Dumb Routers: Tap-jacking and Geo-localization Attacks“, 4th USENIX Workshop on Offensive Technologies (Paper als PDF)
• [10] Lookout Mobile Security: Android Touch-Event Hijacking
• [11] Lookout Mobile Security: Introducing the App Genome Project
• [12] App Genome Project
• [13] Carsten Eilers: Firesheep fängt ungeschützte Cookies
• [14] Carsten Eilers: WEP, WPA, WPA2 - WLAN-Schutz, aber richtig!
• [15] David Rayhawk, McAfee Lab Blog: SMiShing – an emerging threat vector
• [16] FBI: Smishing and Vishing - And Other Cyber Scams to Watch Out for This Holiday

---

Scanner für das Web

Lohnt sich ein Test?

Im Entwickler Magazin 4.2011 ist ein Artikel zum Thema "Web-Schwachstellenscanner" erschienen.

Hier finden Sie die Testanwendung als tar.gz-Archiv und das im Text erwähnte VMware-Image als ZIP-Archiv (Vorsicht: ca. 620 MB!).
Eine Anleitung zum VMware-Image finden Sie hier.

Links

• [1] w3af
• [2] Samurai Web Testing Framework Live-CD
• [3] Metasploit Framework
• [4] Wapiti (Sourceforge)
• [5] skipfish

---

Sind Sie sicher?

Der neue Personalausweis für Entwickler

Im Entwickler Magazin 3.2011 ist ein Artikel zum Thema "Der neue Personalausweis aus Entwicklersicht" erschienen.

Links

• [1] AusweisApp
• [2] rosecat - rosecat open source ePA/eID client attains transparency
• [3] BSI: Das eCard-API-Framework (BSI TR-03112)
• [4] BSI TR-03130 Technische Richtlinie eID-Server, Version 1.4.1
• [5] About Security #101: Diffie-Hellman-Schlüsselaustausch
• [6] BSI TR-03131 Technische Richtlinie EAC-Box
• [7] CCC: Praktische Demonstration erheblicher Sicherheitsprobleme bei Schweizer SuisseID und deutschem elektronischen Personalausweis
• [8] Der IT-Beauftragte der Bundesregierung: IT-Sicherheitskit für Bürgerinnen und Bürger
• [9] Jan Schejbal: AusweisApp gehackt (Malware über Autoupdate)
• [10] BSI: Neue Version der AusweisApp wird überprüft
• [11] BSI: AusweisApp steht wieder zum Download zur Verfügung
• [12] Dominik Oepen, Frank Morgner: "Die gesamte Technik ist sicher" - Besitz und Wissen: Relay-Angriffe auf den neuen Personalausweis
• [13] Jan Schejbal: ePerso: PIN-Diebstahl ohne Malware

---

HTML5, aber sicher!

Wie setzt man die Möglichkeiten von HTML5 sicher ein?

Im Entwickler Magazin 2.2011 ist ein Artikel zum Thema "Sicherer Einsatz von HTML5" erschienen.

Links

• [1] HTML5 Security Cheatsheet
• [2] XSS (Cross Site Scripting) Cheat Sheet
• [3] XSS (Cross Site Scripting) Cheat Sheet Beta-Version
• [4] Robert „RSnake“ Hansen: And Beyond…
• [5] owasp-esapi-js
• [6] HTML5: 8.2.3 Posting messages
• [7] HTML5: 4.8.2 The iframe element
• [8] Chromium Blog: Security in Depth: HTML5's @sandbox
• [9] About Security #138: Webwürmer (1): Samy, der MySpace-Wurm
• [10] Even Without Browser Flaws, Attackers Have the Upper Hand on the Web
• [11] Q&A: Evercookie Creator Samy Kamkar
• [12] Samy Kamkar: evercookie-Demo (legt einen evercookie an)
• [13] Dominic White: Killing the Evercookie
• [14] Dominic White: Killing the Evercookie - Part2 MobileSafari
• [15] Jeremiah Grossman: Killing the Evercookie (Google Chrome w/o Restart)
• [16] Monirul Islam: How to remove evercookie from firefox

---

HTML5 – Angreifers Liebling?

Teil 1: HTML5 gibt es noch nicht, neue Angriffe dagegen schon

Im Entwickler Magazin 1.2011 ist ein Artikel zum Thema "Angriffe auf und über HTML5" erschienen.

Links

• [1] XSS (Cross Site Scripting) Cheat Sheet
• [2] a) Gareth Heyes: HTML5 XSS
  b) Gareth Heyes: HTML5 NEW XSS VECTORS
  c) Thread im sla.ckers.org-Forum
• [3] HTML5 Security Cheatsheet
• [4] Carsten Eilers: Clickjacking - Angriffe auf Seiten ohne Schwachstellen
• [5] Paul Stone: Next Generation Clickjacking
  Material
• [6] Paul Stone: Clickjacking Tool
• [7] Gustav Rydstedt: Busting Frame Busting
  (Präsentation (PDF), Whitepaper (PDF), Video)
• [8] IEBlog: IE8 Security Part VII: ClickJacking Defenses
• [9] Mozilla Security Blog: X-Frame-Options
• [10] HTML 5 WebSocket
• [11] Web Applications 1.0 Draft Standard: The device Element
• [12] HTML5: 4.8.2 The iframe element
• [13] Chromium Blog: Security in Depth: HTML5's @sandbox

---

Mauerfall

Angriffe auf und über den Client gefährden Webanwendung und Benutzer

Im Entwickler Magazin 6.2010 ist ein Artikel zum Thema "Client Security" erschienen.

Links

• [1] Eduardo Vela Nava, David Lindsay: Our Favorite XSS Filters and How to Attack Them
  (Material dazu)
• [2] David Lindsay, Eduardo Vela Nava: Universal XSS via IE8s XSS Filters
  (Weiteres Material dazu)
• [3] Robert "RSnake" Hansen: XSS (Cross Site Scripting) Cheat Sheet
  (Neue (Beta-)Version)
• [4] XSS-Schwachstelle im Internet Explorer 8:
  Microsoft Security Response Center: Guidance on Internet Explorer XSS Filter
  CVE-2010-1489
• [5] IEBlog: IE8 Security Part IV: The XSS Filter
• [6] Amit Klein: DOM Based Cross Site Scripting or XSS of the Third Kind
• [7] Shreeraj Shah: Hacking Browser's DOM - Exploiting Ajax and RIA
• [8] Jeremiah Grossman: Third-Party Web Widget Security FAQ
• [9] DOMScan und DOMTracer
• [10] Jeremiah Grossman: Breaking Browsers: Hacking Auto-Complete
• [11] Jeremiah Grossman: Stealing AutoComplete form data in Internet Explorer 6 & 7
• [12] Carsten Eilers: About Security #131: XSS-Angriffe (1)
• [13] Mike Bailey: Neat, New, and Ridiculous Flash Hacks
• [14] Prajakta Jagdale: Blinded by Flash: Widespread Security Risks Flash Developers Don't See
  (Material dazu)
• [15] Peleus Uhley: Creating more secure SWF web applications

---

XSS, SQL-Injection, Pufferüberlauf, CSRF ...

Die Top 10 der gefährlichsten Programmierfehler, Teil 1

Misstrauen, Path-Traversal und gefährliche Dateien

Die Top 10 der gefährlichsten Programmierfehler, Teil 2

Im Entwickler Magazin 4.2010 ist der erste Teil, im Entwickler Magazin 5.2010 der zweite Teil eines zweiteiligen Artikels über die Top 10 der laut SANS Institute gefährlichsten 25 Programmierfehler erschienen.

Links

• [1] SANS Top 25 Most Dangerous Programming Errors
• [2] Common Weakness Enumeration (CWE)
• [3] XSS (Cross Site Scripting) Prevention Cheat Sheet
• [4] SQL Injection Prevention Cheat Sheet
• [5] Aleph One: "Smashing The Stack For Fun and Profit"
• [6] Visual C++ Compiler Options: /GS (Buffer Security Check)
• [7] Norm Hardy: "The Confused Debuty (or why capabilities might have been invented)"
• [8] Peter Watkins: Cross-Site Request Forgeries
• [9] Johannes Ullrich: Common Apache Misconception

---

Drive-by-Infektionen

Im Entwickler Magazin 2/2009 ist ein Artikel über Drive-by-Infektionen erschienen.

Links

• [1] F-Secure Weblog: Mass SQL Injection
• [2] Handler's Diary des ISC: The 10.000 web sites infection mystery solved
• [3] Handler's Diary des ISC: MSIE 0-day Spreading Via SQL Injection
• [4] "About Security"-Folgen zu SQL-Injection:
  • About Security #11: SQL-Injection
  • About Security #12: SQL-Injection verhindern
  • About Security #13: Mit Stored Procedures gegen SQL-Injection
  • About Security #166: Schwachstellen-Suche: SQL-Injection Grundlagen
  • About Security #167: Schwachstellen-Suche: SQL-Injection über Strings
  • About Security #168: Schwachstellen-Suche: SQL-Injection statt Zahlen
  • About Security #169: Schwachstellen-Suche: SQL-Injection Statements
  • About Security #170: Schwachstellen-Suche: SQL-Injection mit UNION
  • About Security #171: Schwachstellen-Suche: SQL-Injection mit UNION (2)
  • About Security #172: Schwachstellen-Suche: SQL-Injection mit Filter
  • About Security #173: Schwachstellen-Suche: SQL-Injection mit Escape
  • About Security #174: Schwachstellen-Suche: SQL-Injection 2. Ordnung
  • About Security #175: Schwachstellen-Suche: Blind SQL-Injection
  • About Security #176: Schwachstellen-Suche: SQL-Injection verhindern
• [5] Dancho Danchev: ZDNet Asia and TorrentReactor IFRAME-ed
• [6] "About Security"-Folgen zu Cross-Site-Scripting:
  • About Security #14: Cross-Site-Scripting
  • About Security #15: Cross-Site-Scripting verhindern
  • About Security #129: Cross-Site-Scripting, reloaded
  • About Security #130: DOM-basiertes XSS abwehren
  • About Security #131: XSS-Angriffe (1)
  • About Security #132: XSS-Angriffe (2)
  • About Security #133: XSS-Angriffe (3): JavaScript-Ping & Co.
  • About Security #134: XSS-Angriffe (4): JavaScript-Portscan
  • About Security #135: XSS-Angriffe (5): JavaScript-Portscan vorbereiten
  • About Security #136: XSS-Angriffe (6): DSL-Router ausspähen
  • About Security #137: XSS-Angriffe (7): Weitere Ziele
  • About Security #158: Schwachstellen-Suche: Einfaches XSS
  • About Security #159: Schwachstellen-Suche: XSS trotz Filter
  • About Security #160: Schwachstellen-Suche: XSS finden
  • About Security #161: Schwachstellen-Suche: XSS verhindern
  • About Security #162: Schwachstellen-Suche: Persistentes XSS
  • About Security #163: Schwachstellen-Suche: Persistentes XSS (2)
  • About Security #164: Schwachstellen-Suche: Persistentes XSS (3)
  • About Security #165: Schwachstellen-Suche: DOM-basiertes XSS
• [7] Handler's Diary des ISC: Watch that .htaccess file on your web site
• [8] Handler's Diary des ISC: Mass website hosting = mass defacements
• [9] Microsoft Security Bulletin MS08-041
• [10] How to stop an ActiveX control from running in Internet Explorer

---

Clickjacking - Eine neue Bedrohung

Im Entwickler Magazin 1/2009 ist ein Artikel über Clickjacking erschienen.

Die zugehörige Demo steht hier als ZIP-Archive zum Download bereit.

Links

• [1] Jeremiah Grossman: (Cancelled) / Clickjacking - OWASP AppSec Talk
• [2] Guy Aharonovsky: Malicious camera spying using ClickJacking
• [3] Robert Hansen: Clickjacking Details
• [4] Grossman/Hansen: Clickjacking
• [5] Michal Zalewski: [whatwg] Dealing with UI redress vulnerabilities inherent to the current web
• [6] NoScript

---

AJAX, aber sicher

Im Entwickler Magazin 2/2008 ist ein Artikel über die Sicherheit von AJAX erschienen.

Links

• [1] Amit Klein: DOM Based Cross Site Scripting or XSS of the Third Kind
• [2] Brian Chess, Yekaterina Tsipenyuk O'Neil, Jacob West: JavaScript Hijacking; Fortify Software (PDF)
• [3] Beschreibung des MySpace-Wurms Samy
• [4] XSS (Cross Site Scripting) Cheat Sheet
• [5] Paros Proxy

---

Web Security Special

Im Entwickler Magazin 1/2008 gab es ein Web Security Special, zu dem ich drei Artikel beigetragen habe: "Spürhunde - Schwachstellenscans im Web 2.0", "LAMPenfiber - Linux, Apache, MySQL und PHP sicher konfigurieren" und "Firewall vor dem Wigwam" (ModSecurity - eine WebApplication Firewall (WAF) als Apache-Modul).

Links

"Spürhunde - Schwachstellenscans im Web 2.0"

• [1] Schwachstellen-Scanner (nicht nur) für das Web 2.0
• [2] XSS (Cross Site Scripting) Cheat Sheet

"LAMPenfiber - Linux, Apache, MySQL und PHP sicher konfigurieren"

• [1] PHP safe_mode

"Firewall vor dem Wigwam"

• [1] ModSecurity
• [2] ModSecuirty Core Rule Set
• [3] Christian Wenz: Reguläre Ausdrücke

---

Webmaster, webmaster@ceilers-it.de

Letzte Änderung: 04.04.2012, 10:15