Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
Cross-Site-Tracing: Cross-Site-Tracing ist eine weniger bekannte
Variante des Cross-Site-Scripting und wird dazu benutzt, Cookies
von Opfern zu stehlen. Bei Cross-Site-Tracing wird eine HTTP TRACE
Anfrage des Clients auf einen Server angestoßen, von dem der
Angreifer die Cookies des Opfers erhalten möchte. Aufgrund der
HTTP Methode TRACE wird von diesem Server das Cookie des
Clients wieder zurück gegeben und danach zum Angreifer gesendet.
Dies ist in erster Linie ein Konfigurationsproblem und kann
vermieden werden, indem die Methode HTTP TRACE auf dem
Webserver verboten wird, wie es generell empfohlen wird, sofern
diese Methode nicht explizit benötigt wird.
Robots.txt: Die robots.txt wird verwendet, um Suchmaschinen
mitzuteilen, welche Seiten einer Internetpräsenz oder
Webapplikation von den Suchmaschinen-Robots durchsucht werden
sollen bzw. welche für die Suchmaschine und damit auch normalen
unbekannten Benutzern verboten ist. Da die robots.txt immer
aufrufbar sein muss um sie den Suchmaschinen bekannt zu machen,
ist sie natürlich auch von Angreifern einsehbar. Im Falle von Regeln,
die das Besuchen von Teilen der Internetpräsenz oder
Webapplikation verbieten, kann dies dazu führen, dass ansonsten
unentdeckte Verzeichnisse bekannt werden wie hier in Abbildung 6:
Robots.txt. In dieser Applikation ist das Verzeichnis /admin/ als für
Suchmaschinen verboten gekennzeichnet, offenbart aber dadurch
dessen Existenz.
Abbildung 6: Robots.txt
Miscellaneous Uncategorized Directories: Die auf dem ersten
Screenshot sichtbare ‘Miscellaneous Uncategorized Directories’ sind
das erste Beispiel der vom Scanner produzierten false Positives. Es
ist bei näherer Betrachtung allerdings schnell zu erkennen, dass die
Damian Schlager Seite 32