Skip to content

Drucksache: PHP Magazin 4.16 - Webbrowser und Webclient als Angriffsziel

Geschrieben von Carsten Eilers am um 10:20

Im PHP Magazin 4.2016 ist ein Artikel über Angriffe auf Webbrowser und Webclient erschienen.

Auf entwickler.de gibt es eine Leseprobe des Artikels.

Die Browser enthalten immer mehr Funktionen, die Webclients werden immer mächtiger. Das erste freut die Web-Entwickler, das zweite die Nutzer. Und die Angreifer freuen sich über beides, denn je mehr Funktionen der Browser bereit stellt, desto mehr können sie für ihre Zwecke missbrauchen. Und je mehr Funktionen in den schlechter zu schützenden Webclient ausgelagert werden, desto leichter lassen sie sich angreifen.

2015 wurden einige Tools und Angriffe auf den Sicherheitskonferenzen vorgestellt. Die neuen Tools sind natürlich alle zu begrüßen, auch die, die sich wie die Kombination von BeEF und WebRTC bzw. Google Drive für Angriffe missbrauchen lassen. Denn sie erlauben es auch, ein Netz auf die Anfälligkeit für solche Angriffe zu testen. Oder um mögliche Gegenmaßnahmen auf ihre Wirksamkeit zu überprüfen. Es wäre doch ziemlich peinlich, wenn die gerade geänderten Firewall-Regeln zur Verhinderung eines Angriffs gar nicht so funktionieren wie gedacht, oder?

Wirklich neue Angriffe auf den Webclient wurden nicht vorgestellt, dafür altbekannte in Erinnerung gerufen. Zum Glück lassen sich die meisten Angriffe schon dadurch verhindern, dass man keine XSS-Schwachstellen in der eigenen Webanwendung hat. Denn die ist bei den meisten Angriffen Grundvoraussetzung, da der Schadcode im Kontext des angegriffenen Webclients bzw. der angegriffenen Webanwendung laufen muss.

Auch die "neue" Cross-Site Script Inclusion (XSSI) ist eigentlich nur eine Variante des bereits seit langem bekannten JavaScript-/JSON-Hijacking, zeigt aber eine neue Gefahr auf: Daten haben in JavaScript-Dateien nichts zu suchen, da sie dort nicht angemessen geschützt werden können. Sie sollten daher darauf achten, Code und Daten immer strikt zu trennen und die Daten erst bei Bedarf zu laden. Dann werden sie im Browser auch von der SOP geschützt.

Auch die fehlende und/oder mangelhafte Unterstützung der Sicherheitsfunktionen durch die Browser ist kein wirkliches Problem. Auf den Client darf man sich bekanntlich nie verlassen, wenn es um die Sicherheit geht. So ist zum Beispiel die CSP ein zusätzlicher Schutz vor XSS-Angriffen, sie ersetzt aber nicht den Schutz durch die Webanwendung selbst.

Wirklich gefährlich ist nur der Missbrauch der Firefox-Erweiterungen. Zum Glück relativiert sich die Gefahr, so lange man nur bekannte, harmlose Erweiterungen installiert. Auf Experimente mit neuen, unbekannten Erweiterungen sollte man aber besser erst mal verzichten, die könnten sich als Einfallstor für einen Angriff erweisen.

Und hier noch die Links und Literaturverweise aus dem Artikel:

Carsten Eilers

Trackbacks

Keine Trackbacks