» Kategorie "Security"  »  3 Beiträge vorhanden

SQL-Injection-Testing - wenn es schnell gehen muss

Montag, 23. Oktober 2017 - 00:18 Uhr  |  Kategorie: Security  |  Kommentare (0)

Man schreibt ja schon die ein oder andere Webanwendung.
Fehler passieren, aber im Falle von Fehlern in der Webanwendung könnte das den ganzen Server, die Datenbank oder Benutzerinformationen bedrohen.

Ein schnelles und einfach einzusetzendes Tool ist das Python-basierte SQLMap.
Datenbank und Schnittstellen mal eben schnell auf die gängigen SQL-Injections der Script-Kiddies abklopfen, kein Problem.

Man benötigt nur python auf dem Server.

git clone --depth 1 https://github.com/sqlmapproject/sqlmap.git sqlmap-dev

Nachdem SQLMap von GitHub geklont wurde reicht der Aufruf:

python sqlmap.py -u https://www.domain.tld/?param=arg --batch --banner

Danach wird die Schnittstelle über den den $_GET-Parameter PARAM auf SQL-Injections geprüft und versucht, die ersten Daten über das verwendete Backend zu ermitteln.

Das ist nur die Spitze des Eisbergs. Die Dokumentation des Tools findet man auf der Hersteller-Seite.

Meiner Meinung nach ein heftiges Werkzeug.

Nutzung auf eigene Gefahr. Und dass nur eigene Anwendungen gecheckt werden dürfen, versteht sich hoffentlich von selbst.


[Quellen]

AdBlocker auf dem OpenWRT-Router

Mittwoch, 21. Dezember 2016 - 10:17 Uhr  |  Kategorie: Security  |  Kommentare (0)

Bin eben über meinen RSS-Reader auf Pi-Hole aufmerksam geworden.
Mit dieser Softwarelösung kann man im gesamten Heimnetz Ads blocken ohne an den Clients weitere Änderungen vornehmen zu müssen (wie zB. Adblock-Plugins im Browser zu installieren)

Obwohl in meinem Heimnetz mehrere Rasperrys ihren Dienst verrichten, wollte ich diese Aufgabe gern direkt über den Router lösen und nach etwas recherche stieß ich auf eine Lösung bei Reddit (siehe Quelle).

Installation:

cd /root/
wget http://pastebin.com/raw/dxUwBF89 -qO- | awk '{ sub("\r$", ""); print }' >adblocker.sh

MD5 prüfen == cfed91c4630356bfcf5b9049a5499e9f

md5sum adblocker.sh

Wenn die MD5 übereinstimmt das Script ausführbar machen und starten:

chmod +x adblocker.sh
./adblocker.sh

Im Crontab sollte nun ein Eintrag enthalten sein, der für die regelmässige Aktualisierung der Advertising-Network-Listen zuständig ist.
Sollte noch Werbung angezeigt werden, ist eventuell ein Neustart von DNSMasq notwendig und ggf. ein DNS-Flush auf dem Client sowie die Löschung der temporären Browserdateien

Bei Gelegenheit werde ich mal schauen ob man das Script noch so abändern kann dass die IP-Adresse nicht mit 0.0.0.0 aufgelöst wird, sondern auf die IP-Adresse von meinem Webserver. Dort wird dann mit 1px-Images und eventuell sogar mit JS die Seite soweit manipuliert, dass die, nun leeren Werbeflächen, ausgeblendet bzw. soweit verkleinert werden, dass sie nicht mehr gross auffallen..


[Quellen]

Tags: OpenWRTAdBlockDNSRoutingRouterWerbungBlockAdvertisingBrowserSperre

Copy-Paste von Webseiten ins Terminal

Dienstag, 02. Juli 2013 - 14:56 Uhr  |  Kategorie: Security  |  Kommentare (0)

Jeder Admin hat im Internet sicherlich schon einmal nach einem, gerade entfallenen, Shell-Befehl gesucht und diesen per Copy-Paste von der Webseite direkt in das Terminal eingefügt.

Kopiert man diesen Code aus der Codebox und fügt ihn ohne Kontrolle der Zwischenablage (z.B durch einfügen in ein Textfile) in das Terminal, wird man sich wundern, was der, auf den ersten Blick harmlose Code, anrichtet.

git clone /dev/null; clear; echo -n "Hello ";whoami|tr -d '\n';echo -e '!\nThat was a bad idea. Don'"'"'t copy code from websites you don'"'"'t trust!
Here'"'"'s the first line of your /etc/passwd: ';head -n1 /etc/passwd
git clone
git://git.kernel.org/pub/scm/utils/kup/kup.git

Der Beispiel-Code ist ungefährlich und kann testweise per Copy-Paste im Terminal eingefügt werden.

Wenn man sich den HTML-Code genauer anschaut, versteht man auch die Technik dahinter.
Der unterzuschiebende Code wird einfach durch das Style-Element im Span-Tag versteckt.

Da bei Copy-Paste der gesamte Text im p-Tag in der Zwischenablage landet, wird der dem sichtbaren Code vorangestellte verstecke Code vor dem eigentlich Befehl im Terminal ausgeführt.

<p>git clone <span style="position: absolute; left: -100px; top: -100px;">
clear; echo -n "Hello ";whoami|tr -d '\n';echo -e '!\nThat was a bad idea. 
Don'"'"'t copy code from websites you don'"'"'t trust!
<br />
Here'"'"'s the first line of your /etc/passwd: ';head -n1 /etc/passwd;
<br />
</span>git clone git://git.kernel.org/pub/scm/utils/kup/kup.git</p>
Was der Anwender sieht
 

blog/copy-paste-von-webseiten-ins-terminal/2013-07-19_124136.png

Was im Terminal passiert
 

Terminal nach Copy-Paste (upscrolled)


[Quellen]

Tags: LinuxMacOSShellTerminal

Gravatar-Profilbild

SANDRO WIENBERG

Hier schreibe ich über alles, was mir in meinem Alltag über den Weg läuft...

Als IT-Systemadministrator in einem mittelständischen Unternehmen und als technikaffiner Mensch in der Freizeit, gibt es häufig Themen, Probleme oder Interessantes worüber ich einfach schreiben möchte..

Profil auf www.geocaching.com

2018


2017


2016


2015


2014


2013

Top