Zero-Day-Schwachstellen finden und Angriffe verhindern
Um problematische Codestellen und gefährliches Verhalten von Anwendungen ausfindig zu machen, gibt es teils kostenlose Analysewerkzeuge.
- Jonas Hagg
- Stephan Brandt
Im ersten Artikel zu den Grundlagen der Schwachstellenanalyse wurde mit den passenden Werkzeugen der Code einer Anwendung systematisch nach möglichen Schwachstellen durchsucht. So entstand dort eine Liste potenzieller Anfälligkeiten für Exploits, die immer weiter verfeinert wurde.
Der zweite Teil soll zeigen, wie man die Authentifizierung, eines der Haupthindernisse für einen funktionierenden Angriff, umgeht und die Schwachstelle letztlich findet.
- Wenn es gelingt, die Authentifizierung zu umgehen, kann man einen funktionierenden Angriff für eine Applikation konstruieren und den unbekannten Schwachstellen auf die Spur kommen.
- Hilfreich bei der Suche ist neben einer Codeanalyse die Methode des Fuzzing, bei der man zahlreiche bekannte Angriffe durchprobiert.
- KI-Werkzeuge bieten bei der Schwachstellensuche noch keine Vorteile gegenüber den herkömmlichen Methoden.
Da für die Software Cacti bis Version 1.2.22 eine verwundbare Testumgebung zur Verfügung steht, kann man den im vorigen Artikel untersuchten Endpunkt im Browser ansprechen und einen Angriff konstruieren. Beim Aufrufen des Skripts remote_agent.php gibt die Applikation eine Fehlermeldung zurück.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Apple: Wie die Airpods Pro 2 in iOS 18.1 dem Gehör helfen
Festnetzanschluss mit Smartphone nutzen
Kindle Colorsoft: Erster Eindruck von Amazons E-Reader mit Farbdisplay
Gesundheitsdaten in Eigenregie analysieren: So macht man das mit iPhone und Mac
Elektroautos mit viel Platz: Was elektrische Siebensitzer tatsächlich kosten