Sicherheit von SAP in Bezug auf neue Technologien
Sicherheit von SAP in Bezug auf neue Technologien
Sicherheit von SAP in Bezug auf neue Technologien
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
<strong>Sicherheit</strong> <strong>von</strong> <strong>SAP</strong> <strong>in</strong> <strong>Bezug</strong> <strong>auf</strong> <strong>neue</strong> <strong>Technologien</strong><br />
Log<strong>in</strong>daten werden unverschlüsselt übertragen: Durch die<br />
Verwendung <strong>von</strong> HTTP als Protokoll und nicht etwa mit SSL<br />
verschlüsseltes HTTP werden die Log<strong>in</strong>daten nicht verschlüsselt<br />
übertragen. Solche Daten sollten grundsätzlich besser über HTTPS<br />
gesendet werden.<br />
Remote-File-Inclusion: Bei e<strong>in</strong>er Remote-File-Inclusion kann e<strong>in</strong><br />
Angreifer, wie <strong>in</strong> Kapitel 2.3.4 beschrieben, e<strong>in</strong>en Code <strong>auf</strong> der<br />
Webseite zur Ausführung br<strong>in</strong>gen. So kann beispielsweise e<strong>in</strong>e<br />
sogenannte Web-bzw. Php-Shell genutzt werden, die weitgehende<br />
Möglichkeiten <strong>auf</strong> dem Zielserver erlaubt.<br />
Local-File-Inclusion: Die gefundene Local-File-Inclusion basiert bei<br />
der cirobank <strong>auf</strong> demselben verwundbaren Parameter wie die<br />
Remote-File-Inclusion. Der Unterschied bei der Local-File-Inclusion<br />
ist, dass hier Dateien e<strong>in</strong>gebunden werden, die sich lokal <strong>auf</strong> dem<br />
Webserver bef<strong>in</strong>den. Dass dies nicht PHP-Dateien se<strong>in</strong> müssen, zeigt<br />
schon dieses Beispiel. Hier ist es verbunden mit den weitgehenden<br />
Leserechten des Webservers möglich, sich Dateien <strong>auf</strong> dem Server,<br />
die nicht öffentlich verfügbar se<strong>in</strong> sollten, anzeigen zu lassen. Auf<br />
dem Screenshot: Abbildung 8: Local-file-<strong>in</strong>clusion ist die E<strong>in</strong>b<strong>in</strong>dung<br />
der Unix-passwd Datei zu sehen.<br />
Sehr bemerkenswert ist hier die Fähigkeit des Scanners, Angriffe zu<br />
komb<strong>in</strong>ieren. So ist es bei cirobank nicht <strong>auf</strong> direkte Art möglich, die<br />
erwähnte /etc/passwd anzuzeigen, da e<strong>in</strong> Anzeigen <strong>von</strong> nicht html-, phpoder<br />
Bilddateien verboten wurde. Jedoch ist es möglich, die Applikation zu<br />
täuschen <strong>in</strong>dem e<strong>in</strong> NULL-Byte (%00) and den Date<strong>in</strong>amen angehängt wird,<br />
gefolgt <strong>von</strong> e<strong>in</strong>em .html. Somit ist die angeforderte Ressource für die<br />
Webapplikation e<strong>in</strong>e HTML-Datei, also erlaubt zum anzeigen, die tatsächlich<br />
gelesene Datei ist aber nicht /etc/passwd.html sonder die existierende<br />
/etc/passwd (siehe Abbildung 8: Local-file-<strong>in</strong>clusion).<br />
Diese Anfrage alle<strong>in</strong>e ist schon komplex und komb<strong>in</strong>iert verschiedene<br />
Schwachstellen, die <strong>in</strong> Webapplikationen <strong>auf</strong>treten können und zusammen,<br />
so wie hier, zu e<strong>in</strong>em realen Angriff werden. Dies zeigt, wie weit entwickelt<br />
die automatisierten Scanner <strong>in</strong> <strong>Bezug</strong> <strong>auf</strong> das Auditieren <strong>von</strong><br />
Webapplikationen bereits s<strong>in</strong>d.<br />
Damian Schlager Seite 34
Change language