Sicherheit von SAP in Bezug auf neue Technologien

Sicherheit von SAP in Bezug auf neue Technologien
mögliche Local-File-Inclusion.
Das in der robots.txt erwähnte Verzeichnis admin/ ist durch ein Passwort
geschützt. In Zusammenhang mit der File Inclusion Schwachstelle lässt sich
der dazugehörige Benutzername und Passwort auslesen. Hierzu wird nicht,
wie bei dem automatisierten Audit gesehen, die /etc/passwd mit dem
Zusatz %00.html eingebunden, sondern wie in Abbildung 10: Manuelle
Local-File-Inclusion zu sehen die im admin-Verzeichnis liegende .htpasswd,
die Benutzernamen und Passwort enthält. Dieses ist zunächst natürlich
verschlüsselt, würde sich aber im konkreten Fall mittels eines Programms,
das Passworthashes testet, schnell gefunden werden.
Abbildung 10: Manuelle Local-File-Inclusion
Parameter-Tampering
Kontinuierliches Prüfen von Parametern in einer Webapplikation ist eine
Hauptaufgabe bei deren Überprüfung. Nicht immer findet ein
automatisiertes Audit auch nur Ansatzpunkte für die gezielte Veränderung
von Parametern. Hier ist es oft die Erfahrung, die entscheidet, welche
Parameter einer gründlicheren Überprüfung unterzogen werden sollen und
die am vielversprechendsten scheinen. Im Konkreten Fall handelt es sich
um einen Parameter, der zunächst kryptisch aussieht, sich jedoch mit
hoher Wahrscheinlichkeit als Base64 Codiert identifizieren lässt. Nach
Dekodierung des dem in der Webapplikation verwendeten Parameters
‚dXNlcl9pZD0xNQ==’ ergibt sich ‚user_id=15’. Durch gezieltes Verändern
dieser ID auf ‚user_id=1’, Base64 kodiert ‚dXNlcl9pZD0x’, wird im Menu
der Webapplikation das Feld ‚Kunden’ mit ‚Admin’ ersetzt und erlaubt den
Zugang zum Administrationsbereich.
Damian Schlager Seite 37