Unternehmen suchen vermehrt nach M\u00f6glichkeiten, die Sicherheit ihrer Anwendungen ohne gro\u00dfen Aufwand zu \u00fcberpr\u00fcfen. Unsere Security-Xperten sind dabei rasch auf Test-Tools, die in Python entwickelt wurden, gesto\u00dfen. Als High-Level-Programmiersprache erlaubt Python es, schnell einsatzf\u00e4hige Programme zu schreiben, die sich vergleichsweise einfach in bereits vorhandene Infrastrukturen einbinden lassen. Dieser Umstand f\u00fchrte in den letzten Jahren zu einer regelrechten Explosion an plattformunabh\u00e4ngigen Unterst\u00fctzungswerkzeugen mit Python.<\/p>\n\n\n\n
Um die Komplexit\u00e4t so gering wie m\u00f6glich zu halten, folgen die Open-Source-Anwendungen, die wir in diesem Beitrag unter die Lupe nehmen, dem bew\u00e4hrten KISS-Prinzip (keep it simple and stupid). Diese Simplizit\u00e4t hat zur Folge, dass sich die Programme ohne gro\u00dfen Aufwand in vorhandene Pipelines integrieren bzw. durch andere L\u00f6sungen austauschen lassen. Mithilfe von Das quelloffene Programm SSLyze erlaubt es, sich einen guten Gesamteindruck \u00fcber die Transportverschl\u00fcsselung eines Webservers zu verschaffen. Ein Einblick in die Hilfeseite mit Beispiel:<\/p>\n\n\n\n Dar\u00fcber hinaus beinhaltet SSLyze einen Test gegen g\u00e4ngige Angriffe gegen fehlerhaft konfigurierte Webserver. Der vollst\u00e4ndige Scan durch SSLyze dauert lediglich wenige Sekunden.<\/p>\n\n\n\n Um die Logausgabe f\u00fcr den Lauf in einer Pipeline stark zu verk\u00fcrzen, k\u00f6nnen weitere Argumente an SSLyze \u00fcbergeben werden. Mit Weitere Infos: https:\/\/github.com\/nabla-c0d3\/sslyze<\/a><\/p>\n\n\n\n Ein weiteres Einfallstor f\u00fcr ungewollte Akteure stellt eine SQL-Injektion dar.<\/p>\n\n\n\n Doch was ist eine SQL-Injektion eigentlich?<\/p>\n\n\n\n Wird ein Eingabefeld nicht korrekt validiert, bevor der Inhalt an den ausf\u00fchrenden Server weitergeleitet wird, kann es unter Umst\u00e4nden zu ungewollten Injektionen von Fremdcode kommen. Bei einer SQL-Injektion handelt es sich daher um das Ausf\u00fchren von ungewolltem SQL-Code. Das kann nicht nur einen Diebstahl von Daten, sondern auch eine vollst\u00e4ndige L\u00f6schung dieser aus der Ferne zur Folge haben. Um das zu verhindern, m\u00fcssen die Eingabefelder regelm\u00e4\u00dfig auf eine korrekte Validierung gepr\u00fcft werden.<\/p>\n\n\n\n Eine M\u00f6glichkeit hierf\u00fcr ist das Tool „sqlmap“. Es kann f\u00fcr einen ersten Scan im interaktiven Modus via Weitere Infos: https:\/\/github.com\/sqlmapproject\/sqlmap<\/a><\/p>\n\n\n\n Bei Commix handelt es sich um ein Tool, das sich in seiner Handhabung analog zu sqlmap verh\u00e4lt. Commix f\u00fchrt eine Reihe an Tests aus, die Injektionen in Richtung des ausf\u00fchrenden Betriebssystems abzielen, um direkt Zugriff auf die Systemebene zu erlangen. Durch die vielen m\u00f6glichen Einfallstore dauert ein Scan bis zu mehreren Stunden. Zus\u00e4tzlich sollte w\u00e4hrend dieser Zeit das Netzwerk nicht belastet werden, da Commix auch timingbasierte Angriffe ausprobiert.<\/p>\n\n\n\n Gerade weil es sich hier um einen Test der eigentlichen Anwendung der zugrundeliegenden Infrastruktur handelt, muss man diesen auch nicht mit jedem Build ausf\u00fchren. Wir empfehlen daher eine Einbindung in eine vom Build-Prozess getrennte Pipeline. Hierf\u00fcr bietet Commix ebenso eine Vielzahl an Parametern, die sich mit Weitere Infos: https:\/\/github.com\/commixproject\/commix<\/a><\/p>\n\n\n\n Im Gegensatz zu den zuvor vorgestellten Tools, die sich auf spezifische Sicherheitsl\u00fccken konzentrieren, zeichnet sich Wapiti durch seine F\u00e4higkeit aus, eine Vielzahl von Sicherheitsproblemen zu erkennen. Die Liste der identifizierten Schwachstellen ist auf der offiziellen Website verf\u00fcgbar: https:\/\/github.com\/wapiti-scanner\/wapiti<\/a>.<\/p>\n\n\n\n Wapiti umfasst auch den Scan von SSLyze, was seine Vielseitigkeit unterstreicht. Mit einem einfachen Befehl wie Weitere Infos: https:\/\/github.com\/wapiti-scanner\/wapiti<\/a><\/p>\n\n\n\n Einen sicherheitstechnischen \u00dcberblick im eigenen Softwareprojekt zu bekommen, muss nicht kompliziert sein. Ganz im Gegenteil \u2013 mit minimalen Mitteln lassen sich bereits wichtige Erkenntnisse erlangen, die potenziell kostspielige Sicherheitsprobleme effizient aufdecken. Damit dieser Blick nicht nur eine Momentaufnahme ist, sondern kontinuierlich erhalten bleibt, bietet sich eine Einbindung in die Pipelines des Projekts an.<\/p>\n\n\n\n Alle vorgestellten Tools sind Black-Box-Scanner und haben somit keinen Zugriff auf den Quellcode des Ziels. Zus\u00e4tzlich zu diesen Anwendungen sollten auch L\u00f6sungen zum Scan des Quellcodes auf Programmierfehler und der eingesetzten Bibliotheken auf bekannte Sicherheitsl\u00fccken (CVE) eingesetzt werden.<\/p>\n\n\n\n Die von unseren Xperten zusammengetragene \u00dcbersicht stellt nur eine Auswahl dar und ist somit keinesfalls vollst\u00e4ndig. Programme wie smbmap<\/a> und DNSRecon<\/a> k\u00f6nnen die Perspektive auf die eigene Infrastruktur weiter sch\u00e4rfen.<\/p>\n\n\n\n Da mit dem zunehmenden technischen Fortschritt auch die M\u00f6glichkeiten f\u00fcr Angriffe steigen, ist es wichtig, auf dem aktuellen Stand zu bleiben. Unsere Xperten arbeiten bereits an einem weiteren Beitrag zu Sicherheits-Tools, die sich nicht nur auf Python beschr\u00e4nken.<\/p>\n","protected":false},"excerpt":{"rendered":" Unternehmen suchen vermehrt nach M\u00f6glichkeiten, die Sicherheit ihrer Anwendungen ohne gro\u00dfen Aufwand zu \u00fcberpr\u00fcfen. Unsere Security-Xperten sind dabei rasch auf Test-Tools, die in Python entwickelt wurden, gesto\u00dfen. Als High-Level-Programmiersprache erlaubt Python es, schnell einsatzf\u00e4hige Programme zu schreiben, die sich vergleichsweise einfach in bereits vorhandene Infrastrukturen einbinden lassen. Dieser Umstand f\u00fchrte in den letzten Jahren zu […]<\/p>\n","protected":false},"author":4,"featured_media":741,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[19],"tags":[],"class_list":["post-740","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-beratung"],"acf":[],"yoast_head":"\npip<\/code>, dem Python-Paketmanager, k\u00f6nnen die Tools recht unkompliziert installiert werden.<\/p>\n\n\n\nPr\u00fcfen der Transportverschl\u00fcsselung mit SSLyze<\/h2>\n\n\n\n
sslyze -help<\/code> liefert eine \u00dcbersicht der unterst\u00fctzten Befehle. Soll bspw. ein Scan einer Dom\u00e4ne ausgef\u00fchrt werden, reicht es aus, wenn diese als Positionsargument an SSLyze \u00fcbergeben wird.<\/p>\n\n\n\nsslyze [Domain]<\/code><\/p>\n\n\n\n\n
--mozilla_config=intermediate<\/code> (bzw. modern oder old) l\u00e4sst sich bspw. auf eine starke Verschl\u00fcsselung mit guter R\u00fcckw\u00e4rtskompatibilit\u00e4t zu alten Browsern testen. Als Ausgabe erh\u00e4lt man in diesem Fall lediglich die Regelverst\u00f6\u00dfe zur angegebenen R\u00fcckw\u00e4rtskompatibilit\u00e4tsrichtlinie.<\/p>\n\n\n\nSQL-Injektionen mit sqlmap testen<\/h2>\n\n\n\n
sqlmap --wizard<\/code> ge\u00f6ffnet werden. In diesem Modus findet eine sequenzielle Abfrage der ben\u00f6tigten Daten mit anschlie\u00dfendem Scan statt. F\u00fcr den Einsatz in einer Pipeline empfehlen wir, die ben\u00f6tigten Parameter aus der Hilfeseite f\u00fcr den Scan als Argument mitzugeben. Au\u00dferdem sollte man den Scan nicht mit jedem einzelnen Build ausf\u00fchren, da er unter Umst\u00e4nden sehr lange dauern kann.<\/p>\n\n\n\nOS-Befehlsinjektionen mit Commix testen<\/h2>\n\n\n\n
commix --help<\/code> einsehen lassen.<\/p>\n\n\n\nVulnerabilityscan mittels Wapiti<\/h2>\n\n\n\n
wapiti -u [URL]<\/code> kann eine schnelle \u00dcberpr\u00fcfung durchgef\u00fchrt werden, und das Tool generiert daraufhin einen detaillierten HTML-Report mit den Ergebnissen.<\/p>\n\n\n\nFazit<\/h2>\n\n\n\n