IT-Forensik Wiki - Benutzerbeiträge [de]

Server Side Request Forgery

2022-07-17T21:16:23Z

St212113: Die Seite wurde neu angelegt: „'''Server Side Request Forgery''' Server Side Request Forgery (SSRF) ist eine Lücke in Webapplikationen, bei der der Angreifer die serverseitige Anwendung da…“

'''Server Side Request Forgery'''

Server Side Request Forgery (SSRF) ist eine Lücke in Webapplikationen, bei der der Angreifer die serverseitige Anwendung dazu bringt eine Anfrage an ein beliebiges Ziel auszuführen.
Häufig tritt diese Lücke auf, wenn Benutzer eine URL an die Anwendung übergeben können und die Anwendung diese URL abfragt, um Informationen für den Benutzer abzuholen. Beispiele wären die Abfrage von RSS-Feeds, Aktienkurse oder das "Hochladen" von Bildern in eine Anwendung über die Angabe einer URL.

In diesem Fall übermittelt der Benutzer eine URL im Query-Parameter URL, von der die verwundbare Anwendung Informationen holen soll. Die Anwendung wiederum fragt selbst diese URL ab und leitet die Antwort (unter Umständen aufbereitet) an den Benutzer weiter.
Ein Angreifer kann über geänderte URLs in dem Parameter versuchen Informationen von anderen Diensten/Servern zu bekommen, die nicht für Benutzer der Anwendung bestimmt sind. So können auch Informationen von Servern abgefragt werden, die für den normalen Benutzer nicht erreichbar sind, weil diese evtl. in einem internen Netzwerk stehen.

Der zweite Server ist eigentlich von außen nicht zu erreichen und da die Anfrage dann von dem Server mit der verwundbaren Anwendung kommt, hilft auch keine Firewall. Über diesen Weg können z.B. auch die Metadaten von Cloudanbietern abgefragt werden, in denen dann unter Umständen Token und/oder Passwörter zu finden sind.
Die Anfragen sind nicht auf das HTTP-Protokoll beschränkt. Die verwundbare Anwendung könnte auch andere Protokolle wie file:// nutzen.
Neben der direkten Übergabe von URLs in Formularparametern oder Query-Parametern können weitere Wege zu einer Server Side Request Forgery führen. Ein solcher Weg den Server dazu zu bewegen andere Dienste zu kontaktieren ist über XML External Entities (XEE).

Das kann passieren, wenn die Anwendung dem Benutzer erlaubt XML-Dateien hochzuladen. XML-Dateien haben grundsätzlich die Möglichkeit eigene Entities zu definieren:

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE code [
<!ELEMENT cmd ANY>
<!ENTITY file_test SYSTEM "file:///etc/shadow">
<!ENTITY honey SYSTEM "http://honeypot.perl-services.de">
]>

Auf die dann später im Dokument zugegriffen werden kann:

<code>
<greeting>Hello WINGS</greeting>
<cmd>&file_test;</cmd>
<request_url>&honey;</request_url>
</code>

Bei der Entity &file_test; wird über das file:// -Protokoll auf eine Datei des Servers zugegriffen. Wenn der Inhalt des XML dem Benutzer angezeigt wird, gelangen so sensitive Daten zu dem Angreifer.

Durch das Verwenden der Entity &honey; wird der Zugriff auf die URL ausgelöst. Mit etwas mehr Aufwand schafft man es auch, den Inhalt der Datei an die URL zu schicken.

'''Mögliche Auswirkungen'''

Je nach Ausprägung der Schwachstelle, können Unbefugte darüber an Informationen gelangen. Welche Informationen das sind, hängt auch davon ab, welche Informationen von dem zuletzt abgefragten Server preisgegeben werden.

Hat der Benutzer die Möglichkeit, Dateien per URL auf dem Server abzulegen, könnte das auch zu Remote Code Execution führen.

Weitere Auswirkungen können sein:
• XML-Attacken
• XSS
• Denial of Service

'''Vorbeugung'''

Um sich vor Server Side Request Forgery zu schützen, können Allow und Deny Listen angelegt werden. Mit der Allow -Liste werden URLs/IPs festgelegt, die vom Benutzer genutzt werden dürfen. Alle anderen URLs/IPs werden abgelehnt.

Mit Deny-Listen werden nur bestimmte URLs/IPs (z.B. die Hostnamen und IP-Adressen der Server im internen Netzwerk) von der Verwendung ausgeschlossen. Alle anderen URLs/IPs können vom Benutzer genutzt werden.

Diese beiden Möglichkeiten haben den Nachteil, dass es viele Möglichkeiten gibt, wie Angreifer diese Einschränkungen umgehen. Z.B. über das "Maskieren" von URLs oder dass es Alternative Darstellungen gibt (localhost → 127.0.0.1, ::, ::1), die von der Anwendung nicht erkannt werden. Oder bei den erlaubten URLs/IPs eine Anwendung mit einem Open Redirect zu finden. Dann kann dem Server erstmal diese URL mitgegeben werden, die übergebene Anwendung antwortet mit einem Redirect der wieder eine URL enthält, die eigentlich nicht genutzt werden kann.

Die beste Möglichkeit, sich vor der SSRF-Lücke zu schützen ist es, dem Benutzer erst gar keine Möglichkeit einzuräumen, URLs zu übergeben.

'''Parsen von URLs ist nicht trivial'''

Allow/Deny-Listen zur Vorbeugung der Schwachstelle haben einen großen Nachteil: Es muss die Benutzereingabe geprüft werden. Dazu wird in der Regel die URL geparst und z.B. der Hostname und/oder Port geprüft. Unterschiedliche Bibliotheken verhalten sich aber
unterschiedlich.

Sprache / Bibliothek URL
http://foo@test:13@google.com http://127.0.0.1:11211:80
Python/ urllib Host: google.com Host: 127.0.0.1, Port: "Value Error"
Python / urllib3 Host: google.com Fehler beim Parsen!
Perl / Mojo::URL Host: test:13@google.com Host: 127.0.0.1:11211, Port: 80
Perl / URI Host: google.com Host: 127.0.0.1:11211, Port: 80
Perl / http::Tiny Host: test:13@google.com Host: 127.0.0.1:11211, Port: 80

Hauptseite

2022-07-17T21:12:03Z

St212113: /* S */

Willkommen beim IT-Forensik-Wiki der Hochschule Wismar. Hier werden wesentliche Begriffe zum Thema „Digitale Forensik“ erläutert.

== Literatur ==

[[Projektarbeiten]]

[[Abschlussarbeiten im Bachelor Studiengang "IT-Forensik"]]

[[Abschlussarbeiten im Master Studiengang "IT-Sicherheit und Forensik"]]

[[Forensik in DB]]

Michael Mundt, Maximilian Vogelei (Absolventen des Master-Fernstudienganges "IT-Sicherheit und Forensik"): IPython: Implementing distributed Processes of Computer Forensics: Combining Methods from Modern Data Science with those of Computer Forensics. Februar 2021, ISBN-13 : 979-8702298122 ([https://www.amazon.de/IPython-Implementing-distributed-Processes-Forensics/dp/B08WJTQF4G/ref=sr_1_6?__mk_de_DE=%C3%85M%C3%85%C5%BD%C3%95%C3%91&dchild=1&keywords=IPython&qid=1616347276&sr=8-6 hier zu erwerben])

== Stichworte IT-Forensik ==
=== A ===
[[ACPO]]

[[Aggregation]]

[[AmCache]]

[[Angriffe auf Forensik-Software]]

[[Anti-Forensik]]

[[Anwendungsarchitektur]]

[[Arbeitsspeicher]]

[[Asset Relocation]]

[[APT]]

[[Autopsy]]

=== B ===
[[BBED]]

[[Betriebssystem]]

[[Bitlocker]]

[[Blacklisting]]

[[BLOB]]

[[BlockchainForensik|Blockchain Forensik]]

[[Blockchainbasierte Datenbank]]

[[Broken Authentication]]

[[Brute Force]]

[[BSI-Vorgehensmodell]]

[[Bundesdatenschutzgesetz (BDSG)]]

[[BurpSuite]]

=== C ===
[[Cache]]

[[Canarytoken]]

[[CERT-Taxonomie]]

[[Chain of Custody]]

[[Cheat Engine]]

[[Checkliste IT-Forensik für Unternehmen]]

[[Chip-Off]]

[[Clickjacking]]

[[Cloud Log Forensik]]

[[Cold Backup]]

[[Command-and-Control-Server]]

[[Computer Sabotage]]

[[Containervirtualisierung]]

[[Cookies]]

[[Cross Site Scripting (XSS)]]

[[CryptoLocker]]

[[CSA - Cloud Security Alliance]]

[[CVE - Common Vulnerabilities and Exposures]]

[[Cybercrime]]

=== D ===
[[Darknet]]

[[Dateiheader]]

[[Datenanalyse]]

[[Datenbank Firewall]]

[[Datenbankausführungsplan]]

[[Datenbankforensik]]

[[Datenbankmanagementsystem]]

[[Datenreduktion]]

[[Datensammlung]]

[[Datenschutz in der IT-Forensik]]

[[Datenvernichtung]]

[[Datenverschleierung]]

[[DDL & DML]]

[[Deep Packet Inspection]]

[[Deep Web]]

[[Wörterbuchangriff|Dictionary Attack]]

[[Diff]]

[[Digitale Artefakte]]

[[Digitale Forensik]]

[[DLL (.dll Dateien)]]

[[DLP]]

[[DNS-Tunneling]]

[[Dokumentation]]

[[DoS & DDoS]]

[[Doxing]]

[[.DS-Store]]

[[Dual Use Software]]

[[Dynamische Analyse]]

=== E ===
[[E-Mail-Header]]

[[E-Mail-Verschlüsselung und Signatur in der IT-Forensik]]

[[eDiscovery]]

[[Egg Hunting]]

[[ENISA]]

[[Ermittlungsprozess]]

[[Error Based SQL Injection]]

[[Exchangeable Image File Format (EXIF)]]

[[Exploit]]

=== F ===
[[File Carving]]

[[Fingerprinting (Browser)]]

[[Fingerprinting (Betriebssystem)]]

[[Flash Speicher]]

[[Flüchtige Daten]]

[[Footprinting]]

[[Forensik]]

[[Forensic Data Mining]]

[[Forensic Readiness]]

[[Forensische Duplikation]]

[[Forensischer Koffer]]

[[Fragmentierung]]

[[Fuzzing]]

=== G ===
[[Geotag]]

[[GeoIP-Datenbank]]

[[Gerichtsfestigkeit]]

[[Google Hacking]]

=== H ===
[[Hackback]]

[[Hardware-Sicherheitsmodul]]

[[Hashcat]]

[[Hashwert]]

[[Hilfstatort]]

[[Honeypot]]

=== I ===
[[ICMP - Internet Control Message Protocol]]

[[Identitätsanbieter]]

[[IDS - Intrusion Detection System]]

[[Image]]

[[Imaging]]

[[IMSI-Catcher]]

[[Incident-Response-Team]]

[[Indicator of Compromise]]

[[Inline (Queries) SQL Injection]]

[[Integrität]]

[[IT-Forensik]]

[[IT-Forensisches Gutachten]]

[[IPS - Intrusion Prevention System]]

=== J ===
[[Jailbreak]]

[[Journaling-Dateisystem]]

[[Jump Lists]]

=== K ===

[[Installieren eines Live-Kali-Linux-System auf USB-Stick|Kali-Linux-Live-System auf USB-Stick installieren]]

[[Kaltstartattacke]]

[[Kausalität in der Forensik]]

[[Kerberos]]

[[Keystroke Injection Attack Tool]]

[[Korrelation]]

=== L ===
[[Lateral Movement]]

[[LDAP-Injection]]

[[Litigation Hold]]

[[Live-Forensik]]

[[Local file inclusion]]

[[Locard'sche Regel]]

[[Lockheed Martin Cyber Kill Chain]]

[[Log-File]]

[[LogMining]]

=== M ===
[[Magnet Axiom]]

[[MariaDB-Audit-Plugin|MariaDB Audit Plugin]]

[[Memory Forensics]]

[[Metadaten]]

[[Mobiltelefon-Forensik]]

=== N ===
[[Netcat]]

[[Netflow]]

[[Never-Touch-Original]]

[[Nmap]]

[[NTFS]]

[[Nutzdaten]]

=== O ===
[[OCR]]

[[Online-Forensik]]

[[Offline-Forensik]]

[[Ontologie & Semantik]]

[[Oracle DB]] (Forensische Aspekte)

[[Order of Volatility]]

[[OSINT-Werkzeug]]

[[Out-of-Band]]

=== P ===
[[Pass-the-Hash-Attack]]

[[Passwortsicherheit]]

[[Payload]]

[[Partition]]

[[PCMCIA]]

[[Penetrationstest]]

[[PhotoDNA]]

[[PostgreSQL Command Execution]]

[[Post-Mortem-Analyse]]

[[Prepared Statement]]

[[Privilege Escalation]]

[[Prozess der Mobiltelefon Forensik]]

[[Prüfsumme]]

[[P2P (Peer-to-Peer) Software / Netzwerke]]

=== Q ===

[[Query Log]]

=== R ===

[[Radare 2 - Reverse Engineering Framework]]

[[Rainbow Table]]

[[Ransomware]]

[[Privilege_Escalation|Rechteausweitung]]

[[Redo Logs]]

[[Registry]]

[[Remote Access Trojaner (RAT)]]

[[Replay Attack]]

[[Reverse Engineering]]

[[Rogue Access Point & Evil Twin]]

[[Rootkit]]

=== S ===
[[SAP-Modell]]

[[Sandbox]]

[[Security Information and Event Management (SIEM)]]

[[Security Operations Center (SOC)]]

[[Seitenkanalattacke]]

[[Semantik]]

[[Server Side Request Forgery]]

[[ShimCache]]

[[Sigma]]

[[Skimming]]

[[Skript-Kiddie]]

[[Slack Space]]

[[Sleuthkit]]

[[Smishing]]

[[Sparse Image]]

[[Stack-basierte Buffer-Overflow Angriffe in Microsoft Windows]]

[[Statische Analyse]]

[[Sniffing]]

[[Sealbag]]

[[Secure Erase]]

[[SpiderFoot]]

[[Spuren]]

[[SQL Injection]]

[[SQL Stored Procedures]]

[[SQLite Datenbanken auslesen mittels Python]]

[[Sqlmap]]

[[SSL Inspection]]

[[Steganographie]]

[[Steghide]]

[[Supply Chain Attack]]

=== T ===
[[Tatort]]

[[Team Win Recovery Project]]

[[Threat Intelligence]]

[[Thunderspy]]

[[Timeline]]

[[Triage]]

[[Trigger in DBMS]]

[[Trugspur]]

[[Tsurugi-Linux]]

[[Totmannschalter]]

=== U ===
[[Unallocated Data (Nicht zugeordnete Daten)]]<br>
[[UNION Based SQL Injection]]

=== V ===
[[Verfügbarkeit]]

[[Vertraulichkeit]]

[[Vertraulichkeit in Datenbanksystemen]]

[[VPN]]

[[Volume Shadow Copies]]

[[Vorsorge für die IT-Forensik]]

[[Video-Forensik]]

=== W ===
[[W-Fragen]]

[[Watering-Holes]]

[[Web-Application-Firewall]]

[[Whitelisting]]

[[Why-Because-Analyse (WBA)]]

[[Windows-RAM auslesen]]

[[Windows-Prefetch]]

[[Wiping]]

[[Wireshark]]

[[Write Blocker]]

[[Wörterbuchangriff]]

[[Worm]]

=== X ===
[[Xmount]]

=== Z ===
[[Zeit]]

[[Zeitbasierte SQL Injection Attacken]]

[[Zenmap]]

[[Zero-Day-Exploit]]

[[Ziele einer forensischen Untersuchung nach A. Geschonneck]]

== Fernstudiengänge an der Hochschule Wismar (berufsbegleitend) ==

[https://www.wings.hs-wismar.de/de/fernstudium_bachelor/it_forensik IT-Forensik, Bachelor]

[https://www.wings.hs-wismar.de/de/fernstudium_master/it_sicherheit_und_forensik/ IT-Sicherheit und Forensik, Master]

== Starthilfen ==

* Hilfe zur Benutzung und Konfiguration der Wiki-Software finden Sie im [https://www.mediawiki.org/wiki/Special:MyLanguage/Help:Contents Benutzerhandbuch]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Configuration_settings Liste der Konfigurationsvariablen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:FAQ MediaWiki-FAQ]
* [https://lists.wikimedia.org/mailman/listinfo/mediawiki-announce Mailingliste neuer MediaWiki-Versionen]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Localisation#Translation_resources Übersetze MediaWiki für deine Sprache]
* [https://www.mediawiki.org/wiki/Special:MyLanguage/Manual:Combating_spam Erfahre, wie du Spam auf deinem Wiki bekämpfen kannst]