Zusammenfassung - Frank Schuermann

Concepts of Website Engineering [ZUSAMMENFASSUNG]
Reflektiertes XSS
normaler Aufruf: Input = http://some.broken.page/?name=SomeName, Output = Welcome:
SomeName
korrumpierter Useraufruf: Input = http://some.broken.page/?name=SomeName,
Output = du hast gesucht nach SomeName
für den Aufrufer transparent, da die URL einer vertrauten Domain gehört, die jedoch einen
Fehler in der Applikation besitzt
DOM-based XSS
Input und Output wie beim reflektierten XSS, aber Auswertung durch die AJAX-Engine auf
dem Browser
Schuld ist fehlerhafte AJAX-Bibliothek vom Server
Client kann fehlerhaften Skriptcode durch Virenscanner entdeckt werden
Unterschiede zwischen den XSS-Versionen
Auffindung des Fehlers, clientseitiger und serverseitiger Schutz, Haftung, Zielgruppe
Sicherheit durch Verschleierung
Undurchsichtigen Code schreiben, verhindert Reverse Engineering und Code-Klau, zusätzlich
teilweise Geschwindigkeitszuwachs (Variablen a, b und c)
Einfügen von Blind Code, der den Debugger verwirren soll
keine Kommentare, keine Debugginginformationen
Probleme: kann den Code kaputt machen, schwere Diagnose, potentielle Fehlerquelle, teuer
Zusammenfassung
saubere und angemessene Programmierung, Benutzung von Frameworks, Web Application Firewalls,
Software Tests
Frank Schürmann | Wintersemester 2009/2010 22