PHP Magazin / PHP User - Übersicht

Dipl.-Inform. Carsten Eilers

• Startseite
• Über mich
• Angebotsspektrum
• Konferenzen
• Texte
  • About Security
  • Online-Artikel
  • Magazin-Artikel
    • Entwickler Magazin
    • PHP Magazin / PHP User
    • windows.developer
    • PHP Magazin Workshops
  • Aktuelle Bücher
  • Ältere Bücher
• Advisories
• Impressum
• Datenschutzerklärung

Einschränkung der Auswahl

Alle Artikel
oder nur Artikel des
Entwickler Magazin
PHP Magazin / PHP User
windows.developer / dot.Net Magazin
anzeigen.

---

HTML5, aber sicher!

HTML5-Angriffe verhindern: Den neuen Webstandard sicher einsetzen

Im PHP Magazin 4.2012 ist der zweite Teil eines zweiteiligen Artikels zur Sicherheit von HTML5 erschienen. In dieser Folge geht es um die Abwehr von Angriffen und allgemein dem sicheren Einsatz von HTML5.

Links

• [1] HTML5 Security Cheatsheet (auch auf Google-Code)
• [2] HTML5: 4.8.2 The iframe element - www.w3.org und www.whatwg.org
• [3] Chromium Blog: Security in Depth: HTML5's @sandbox
• [4] Eric Lawrence: Combating ClickJacking With X-Frame-Options
• [5] Mozilla Developer Network: The X-Frame-Options response header
• [6] Chromium Blog: Security in Depth: New Security Features
• [7] About the security content of Safari 4.0
• [8] Web specifications support in Opera Presto 2.6
• [9] Web Storage
• [10] Web SQL Database
• [11] HTML5 Security Cheatsheet: Web SQL Database Security
• [12] OWASP ESAPI for JavaScript
• [13] W3C: Cross-Origin Resource Sharing
• [14] HTML5 Security Cheatsheet: Cross Origin Request Security
• [15] RFC 6455 - The WebSocket Protocol

---

Die dunkle Seite des neuen Webstandards

HTML5 bringt neue Möglichkeiten – für Webentwickler und für Angreifer

Im PHP Magazin 3.2012 ist der erste Teil eines zweiteiligen Artikels zur Sicherheit von HTML5 erschienen, in dem sich alles um mögliche Angriffe über und auf HTML5-Features dreht.

Der Text wurde auch auf der Website des PHP Magazins veröffentlicht.

Leider haben sich im Verlag ein paar Fehler in den Text eingeschlichen. Korrekturen finden Sie hier.

Links

1. Gareth Heyes: HTML5 XSS
   Gareth Heyes: HTML5 NEW XSS VECTORS
   Gareth Heyes: HTML scriptless attacks
   Thread im sla.ckers.org-Forum
2. XSS (Cross Site Scripting) Cheat Sheet
3. HTML5 Security Cheatsheet auf Google Project Hosting
   HTML5 Security Cheatsheet
4. Carsten Eilers: Drive-by-Infektionen - Gefahren drohen überall
5. Browser Exploitation Framework (BeEF)
6. Artur Janc: Rootkits in your Web application
7. About Security #133: XSS-Angriffe (3): JavaScript Ping & Co.
   About Security #134: XSS-Angriffe (4): JavaScript Portscan
   About Security #135: XSS-Angriffe (5): JavaScript Portscan vorbereiten
8. Attack and Defense Labs: Port Scanning with HTML5 and JS-Recon
   Attack and Defense Labs: JS-Recon
9. Carsten Eilers: Clickjacking - Angriffe auf Seiten ohne Schwachstellen
10. Carsten Eilers: Der Angriff der Clickjacking-Würmer, "Likejacking" und "Buttonjacking"
    Carsten Eilers: Clickjacking - "Likejacking" unter die Haube geguckt
11. Carsten Eilers: Clickjacking - Gute und Schlechte Nachrichten
12. Paul Stone: Next Generation Clickjacking (Whitepaper)
13. Paul Stone: Clickjacking Tool
14. Rosario Valotta: UI redressing attacks
    Rosario Valotta: CookieJacking
    Präsentation von der "Hack in the Box"-Konferenz (PDF)
    Rosario Valotta: CookieJacking FAQ
    Carsten Eilers: Cookiejacking - Keksdiebe im Internet Explorer
15. Carsten Eilers: Clickjacking - Framebuster oder HTTP-Header verhindern Angriffe

---

Sicherheit in sieben Schritten

Ein SDL für PHP-Anwendungen

Im PHP Magazin 2.2012 ist ein Artikel zu sicheren Entwicklung in PHP erschienen, in dem ich einen Security Development Lifecycle für PHP-Anwendungen vorschlage.

Links

• [1] Security Development Lifecycle
• [2] How SDL Builds More Secure Software
• [3] Rückblick auf 6 Jahre Security Development Lifecycle (SDL)
• [4] Simplified Implementation of the Microsoft SDL (Download)
• [5] Security Development Lifecycle
  Bedrohungsmodelle - Application Threat Modeling
  Trainings und Tools zum SDL Phase 1 bis 3
  Trainings und Tools zum SDL Phase 4 bis 7
• [6] Clickjacking
• [7] Exploit-Database

---

Das Gästebuch, bitte!

Aber sicher!

Im PHP Magazin 1.2012 ist ein Workshop zur sicheren Entwicklung einer Webanwendung am Beispiel eines Gästebuch-Skripts erschienen.

Links

• [1] STRIDE
• [2] PHP Filter
• [3] RFC 5322: Internet Message Format

---

Ready for take off! Sicher?

Mit w3af und Wapiti auf Schwachstellensuche

Im PHP Magazin 6.2011 ist ein Workshop zur Schwachstellensuche mit w3af und Wapiti erschienen.

Links

• [1] w3af
• [2] Wapiti (Sourceforge-Projektseite)
• [3] Metasploit Framework

---

Session Hijacking, Session Fixation, Session Futsch

Session-IDs als Beute von Cyberkriminellen

Im PHP Magazin 5.2011 ist ein Workshop zum Thema "Session Hijacking und Session Fixation" erschienen.

Links

• [1] Carsten Eilers: HTTPS und Cookies sicher einsetzen
• [2] PHP Manual: Session
• [3] Jordi Boggiano: MOPS Submission 04 – Generating Unpredictable Session IDs and Hashes
• [4] Suhosin: Session Protection

Nicht im Text erwähnt wurde das sehr ausführliche OWASP Session Management Cheat Sheet, da es erst nach dem Erscheinen des PHP Magazins 5.2011 veröffentlicht wurde.

---

Workshop: Zugriffsfehler aller Arten - 3 der 10 gefährlichsten Schwachstellen auf der Spur

Im PHP Magazin 4.2011 ist ein Workshop zum Thema "Zugriffsfehler" erschienen.

Links

• [1] OWASP Top 10, A4: Insecure Direct Object References
• [2] OWASP Top 10, A8: Failure to Restrict URL Access
• [3] OWASP Top 10, A10: Unvalidated Redirects and Forwards
• [4] Drive-by-Infektionen

---

Workshop: Die Sache mit den Headern - Auch Zeilenumbrüche können gefährlich sein

Im PHP Magazin 3.2011 ist ein Workshop zum Thema "Header-Injection" erschienen.

Links

• [1] RFC 2822: Internet Message Format
• [2] RFC 2047: MIME (Multipurpose Internet Mail Extensions) Part Three: Message Header Extensions for Non-ASCII Text
• [3] RFC 821: Simple Mail Transfer Protocol
• [4] RFC 5321: Simple Mail Transfer Protocol
• [5] RFC 5322: Internet Message Format
• [6] Regular Expression Library: E-Mail
• [7] Zend_Mail
• [8] PEAR Mail
• [9] Swift Mailer
• [10] Suhosin Direktive „suhosin.mail.protect“
• [11] PHP Security Blog: Goodbye HTTP Response Splitting, and thanks for all the fish
• [12] RFC 2616: Hypertext Transfer Protocol - HTTP/1.1
• [13] About Security #21: HTTP Response Splitting, 1

---

Workshop: Das kann schnell schief gehen! - Aufrufe externer Programme

Im PHP Magazin 2.2011 ist ein Workshop zum Thema "Aufruf externer Programme" erschienen.

---

Workshop: File-Uploads: Wer sie erlaubt, muss sie sorgfältig prüfen

Im PHP Magazin 1.2011 ist ein Workshop zum Thema "Sichere File-Uploads" erschienen.

Links

• [1] 42.zip: Download und Beschreibung
• [2] TYPO3 Security Bulletin TYPO3-20080611-1: Multiple vulnerabilities in TYPO3 Core
• [3] Advice on core security issue regarding fileDenyPattern
• [4] mod_mime - Apache HTTP Server, Files with Multiple Extensions

---

Workshop: File Inclusion: Das Einbinden von Dateien šffnet Schadcode TŸr und Tor

Im PHP Magazin 6.2010 ist ein Workshop zum Thema "File Inclusion Schwachstellen" erschienen.

Links

• [1] Justin Klein Keane ("Mad Irish"): Bypassing PHP PathInfo

---

Workshop: Schwachstellen in der Authentifizierung erkennen und vermeiden

Im PHP Magazin 5.2010 ist ein Workshop zum Thema "Schwachstellen in der Authentifizierung" erschienen.

Links

• [1] RFC 2616 - Hypertext Transfer Protocol -- HTTP/1.1
• [2] Clickjacking-Angriffe
• [3] Exploit Database

---

...und die Datenbank gehorcht dem Angreifer

Im PHP User 2/2010 ist ein Artikel über die Auswirkungen und Verhinderung von SQL-Injection-Schwachstellen erschienen.

Links

• [1] MySQL-Handbuch: Kommentare
• [2] Hash-Funktionen, About Security #102ff.
• [3] Rainbow Table
  Rainbow Tables (CCC)
• [4] SQL Injection Cheat Sheet
  SQL Injection Cheat Sheet
• [5] About Security #13: Prepared Statements und Stored Procedures
• [6] About Security #174: SQL-Injection 2. Ordnung

---

Cross-site Scripting - Angreifers Leatherman

Im PHP User 1/2010 ist ein Artikel über die Auswirkungen und Verhinderung von Cross-Site-Scripting-Schwachstellen erschienen.

Links

• [1] Amit Klein: DOM Based Cross Site Scripting or XSS of the Third Kind
• [2] Bericht über die Demo von Securitylab.ru
• [3] JavaScript-Portscanner auf GNUCITIZEN
• [4] AttackAPI
• [5] David F.Madrid: Using Java from Javascript, Mailingliste NT-Bugtraq, 1.4.2003
• [6] Stefan Esser: JavaScript/HTML Portscanning and HTTP Auth
• [7] Der MySpace-Wurm Samy
• [8] Webwürmer, About Security #138 ff
• [9] XSS Cheat Sheet
• [10] CAL9000-Projekt des Open Web Application Security Project (OWASP)
• [11] HTML_BBCodeParser
• [12] HTML Purifier
• [13] SafeHTML
• [14] XSS-Filter von Flux CMS
  Ergänzung

---

Exploits müssen draußen bleiben

Im PHP User 4/2009 ist ein Artikel über ModSecurity, mod_parmguard und PHPIDS erschienen.

Links

• [1] ModSecurity
• [2] mod_parmguard
• [3] PHPIDS
• [4] ModSecurity Core Rule Set
• [5] HTTP Request Smuggling, siehe About Security #17 ff

---

Sicherheit von Webanwendungen

Im PHP User 3/2009 ist ein Artikel über die Sicherheit von Webanwendungen erschienen.

Links

• [1] "About Security" auf entwickler.de
• [2] Übersicht aller "About Security"-Folgen auf ceilers-it.de
• [3] XSS-Angriffe, About Security #131 ff
• [4] MySpace-Wurm Samy in About Security #138/139
• [5] Carsten Eilers, Drive-by-Infektionen, entwickler magazin 2/09, S. 100 ff
• [6] Google-Dorks
• [7] Mailingliste Bugtraq
• [8] Mailingliste Full-Disclosure
• [9] Milw0rm wird nicht mehr gepflegt, eine Alternative ist die Exploit Database von Offensive Security Training
• [10] "Security aktuell" auf entwickler.de
• [11] PHP safe_mode

---

Webmaster, webmaster@ceilers-it.de

Letzte Änderung: 04.04.2012, 10:15