Suchen

Die Webanwendung als Sicherheitsrisiko – Teil 1

Wie Cross Site Scripting und Local File Inclusion funktionieren

Seite: 3/3

Firma zum Thema

Daten mithilfe von Local File Inclusions ausspähen

Eine weitere Gefahr für ein Unternehmen, welches sensible Daten auf Webanwendungen auslagert, besteht durch als File Inclusion bezeichnete Angriffe. Bei einer File Inclusion hängt die für das Opfer gegebene Gefahr von mehreren Faktoren ab.

Grundlegend gilt es zwischen Remote- und Local-File-Inclusion–Fehlern (RFI und LFI) zu unterscheiden. In diesem Teil der Artikelreihe betrachten wir die Local File Inclusion, die nicht zwangsläufig zum Erfolg eines Angriffes führt, ihn jedoch entscheidend begünstigen kann.

Ausschlaggebend sind die Rechte, mit denen die Webapplikation auf dem Server läuft. Fatal wäre es, diese mit den höchsten Rechten zu starten, was bei Linux/Unix Systemen „root“ entspricht und bei Windows Systemen „NT Authority/System“.

Ohne zusätzliche Schutzvorkehrungen, die den Zugriff auf Dateien außerhalb des Webverzeichnisses verhindern, kann ein Angreifer dank einer LFI-Schwachstelle bis auf die höchste Ebene des System-Verzeichnisbaums gelangen und so jegliche Datei auslesen, von deren Existenz er weiß. Da es vereinheitlichte Namen für Passwort- und Konfigurationsdateien gibt, stellt dies für einen geduldigen und geschickten Eindringling keine große Herausforderung dar.

Ist die Webanwendung mit geringen Rechten gestartet worden, sind Konfigurationsdateien sowie einige durchaus informative Systemdateien im Normalfall dennoch lesbar. So könnte der Angreifer etwa ermitteln, welche Nutzer Zugriff auf das System haben und anschließend gezielt versuchen schwache Passwörter zu erraten.

Gefahrenpotential indirekter Angriffe

Alle soeben beschriebenen Schwachstellen lassen sich unter dem Begriff „indirekte Angriffe“ auf eine Webapplikation zusammenfassen. Sie erlauben es im Normalfall nicht, Sicherheitsvorkehrungen direkt zu umgehen und sensible Daten zu erhalten. Mit Hilfe von Social Engineering jedoch, wie etwa dem gezielten Versenden von E-Mails oder durch das Erraten schwacher Passwörter aufgrund des Wissens um die Existenz der Benutzernamen, stellen sie eine ernstzunehmende Gefahr dar.

Artikelfiles und Artikellinks

(ID:2019217)